Belangrijkste punten
- Claude Mythos Preview van Anthropic bracht 271 Firefox-bugs aan het licht die 27 jaar onopgemerkt waren gebleven. Dat laat zien dat het ontdekken van kwetsbaarheden met AI de tijd tussen het uitbrengen van een patch en het reverse-engineeren van die patch tot een exploit steeds kleiner maakt.
- Uit de cijfers van Mandiant over 2026 blijkt dat de gemiddelde tijd tot exploitatie op min zeven dagen ligt. Aanvallen beginnen dus vaak al voordat een patch openbaar is.
- Effectief vulnerability management en patchbeheer vraagt nu om drie geïntegreerde mogelijkheden: een nauwkeurige software-inventaris, realtime identificatie van kwetsbaarheden en AI-gestuurde intelligence over patchrisico’s.
- Patchsnelheid wordt een overlevingsmaatstaf en niet langer alleen een hygiënemaatstaf voor de mate waarin een organisatie blootstaat aan risico.
Anthropic kondigde Claude Mythos Preview aan, een algemeen inzetbaar model dat softwarekwetsbaarheden op een nooit eerder vertoonde schaal kan ontdekken. Het bracht zelfs een softwarekwetsbaarheid aan het licht die 27 jaar onopgemerkt was gebleven. Mozilla bracht Firefox 150 uit met oplossingen voor 271 kwetsbaarheden die Mythos in één evaluatieronde had gevonden en betoogde dat het tijdperk van zerodays een houdbaarheidsdatum heeft, omdat verdedigers bugs gaan vinden voordat aanvallers dat kunnen.
Dat is een opmerkelijke claim en hij vat zowel de belofte als de druk van dit moment samen. Machinaal leren en inmiddels LLM’s worden al jaren stapje voor stapje beter in het ontdekken van softwarekwetsbaarheden. Mythos is geen breuk met die trend, maar een bevestiging ervan. Het verrassende is niet dat AI al lang sluimerende bugs vond. Het verrassende is hoe snel die stap kwam en hoe duidelijk die aangeeft waar we de komende jaren naartoe gaan.
De trend vertraagt niet
Zodra dit soort mogelijkheden breed beschikbaar worden (via open modellen, replicatie of parallelle innovatie), gaan beide kanten van de beveiligingsvergelijking sneller. Verdedigers en leveranciers zullen deze tools gebruiken om kwetsbaarheden met ongekende snelheid te vinden en te patchen. Aanvallers gebruiken dezelfde tools om ze te vinden en tot wapen te maken.
Het gevolg is een releasestroom die er heel anders uitziet dan vandaag. Verwacht dat meer software- en OS-updates vaker verschijnen en kwetsbaarheden verhelpen die onder het oude model maanden of jaren nodig hadden om boven water te komen. Firefox 150 is een voorproefje van hoe dat er in de praktijk uitziet.
Dat is goed nieuws voor de lange termijn van beveiliging. Maar het levert een direct probleem op voor de organisaties die die updates vandaag moeten verwerken.
De druk verschuift naar ITOps
Als patches sneller verschijnen en aanvallers kwetsbaarheden sneller tot wapen maken, valt het gat tussen disclosure en exploitatie weg. Organisaties die dagen of weken nodig hebben om updates uit te rollen, lopen risico’s die ze eerder niet liepen. Patchsnelheid is geen hygiënemaatstaf meer, maar een overlevingsmaatstaf.
Er speelt ook een tweede probleem dat in discussies over AI-gestuurde ontdekking van kwetsbaarheden vaak over het hoofd wordt gezien en dat misschien wel urgenter is: dezelfde mogelijkheden waarmee verdedigers nieuwe bugs vinden, stellen aanvallers in staat bestaande patches om te zetten in exploits. Wanneer een leverancier een fix uitbrengt, is de patch zelf een beschrijving van de kwetsbaarheid, oftewel een roadmap voor iedereen die hem kan lezen. Uit onderzoek van Anthropic zelf bleek dat Mythos bekende CVE’s binnen een dag omzette in werkende privilege-escalation-exploits, zonder enige menselijke tussenkomst.
De implicatie is ongemakkelijk. Nog voordat AI de ontdekking van nieuwe zerodays versnelt, verkort het nu al het venster bij N-days (kwetsbaarheden die bekendgemaakt en gepatcht zijn, maar nog steeds te misbruiken zijn op elk systeem dat niet is bijgewerkt). Volgens het M-Trends 2026-rapport van Mandiant is de gemiddelde tijd tot het exploiteren van een kwetsbaarheid gedaald tot naar schatting min zeven dagen. Exploitatie vindt dus routinematig plaats voordat een patch überhaupt is uitgebracht. AI vergroot de kloof aan beide uiteinden. Hoe sneller leveranciers patchen, hoe sneller aanvallers die patches kunnen reverse-engineeren tot wapens gericht op iedereen die ze nog niet heeft uitgerold.
Dat zet het patchmandaat in een ander daglicht: voorblijven op onbekende dreigingen is minder belangrijk dan voorkomen dat u het makkelijkste doelwit bent onder de bekende dreigingen.
Maar snelheid zonder oordeelsvermogen vormt een risico op zich. Wie ooit een slechte patch heeft meegemaakt, weet dat het agressief doorvoeren van updates in een omgeving kritieke bedrijfsprocessen net zo effectief kan platleggen als welke aanvaller dan ook. Het antwoord is niet om alles te patchen zodra het beschikbaar komt. Het antwoord is snel en met vertrouwen patchen: weten wat er in uw omgeving te misbruiken is, weten welke patches veilig zijn om uit te rollen en de automatisering hebben om daarnaar te handelen zonder voor elke wijziging op handmatige beoordeling te wachten.
Hoe dit er in de praktijk uitziet
Daarom is het werk dat NinjaOne doet op het gebied van AI-gestuurd vulnerability management en patchbeheer zo belangrijk. Drie mogelijkheden pakken het vraagstuk van snelheid én veiligheid direct aan:
- Een nauwkeurige software-inventaris vormt de basis. AI analyseert endpointtelemetrie om producten, versies en afhankelijkheden op alle apparaten te identificeren en normaliseert inconsistente naamgeving, zodat dezelfde applicatie overal wordt herkend. Zonder die basis is het matchen van kwetsbaarheden gokwerk.
- Realtime identificatie van kwetsbaarheden bouwt voort op die inventaris. Zodra nieuwe CVE’s bekend worden gemaakt, legt AI ze continu naast live endpointdata en brengt getroffen assets binnen enkele minuten aan het licht in plaats van pas bij de volgende geplande scan.
- Patch Intelligence AI maakt de cirkel rond. Niet elke patch is veilig om meteen uit te rollen en niet elke kwetsbaarheid brengt evenveel risico met zich mee. Door de kwaliteit van patches en het uitrolrisico te beoordelen op basis van signalen van leveranciers, feedback uit de community en praktijkgegevens over uitrol kunnen IT-teams snel handelen bij de patches die ertoe doen en de patches vermijden die waarschijnlijk operationele schade aanrichten.
Samen stellen deze mogelijkheden teams in staat het venster tussen het bekendmaken van een kwetsbaarheid en het verhelpen ervan te verkleinen zonder blind te varen.
Van inzicht naar uitvoering
Vulnerability management en patchbeheer zijn altijd behandeld als aangrenzende disciplines. In de wereld waar Mythos naar wijst, moeten ze functioneren als één gesloten lus: realtime zicht op wat er blootstaat, gecombineerd met autonoom en risicobewust patchen dat meebeweegt met de snelheid van de dreiging.
De organisaties die hier goed mee omgaan, zijn niet de organisaties met de meeste scanners of de langste patchachterstanden. Het zijn de organisaties die sneller dan aanvallers van inzicht naar uitvoering gaan, met genoeg vertrouwen in hun tooling om dat autonoom te doen en genoeg intelligence om het veilig te doen.
De komende jaren zullen er anders uitzien. Het aantal patches neemt toe. Het venster om ze uit te rollen wordt kleiner. De gevolgen van een verkeerde keuze, in welke richting dan ook, worden groter. Een patch die in de releasenotes van een leverancier staat, levert u niets op totdat hij veilig in uw omgeving is uitgerold.
Mythos en de modellen die volgen, zullen de snelheid en ernst van cyberdreigingen opnieuw vormgeven. Dat staat vast. De organisaties die voorop blijven lopen, zijn niet degene met de meeste scanners of de grootste beveiligingsteams. Het zijn de organisaties waarvan de IT-operatie de snelheid van de dreiging kan bijhouden zonder de stabiliteit van het bedrijf op te offeren.
