Een AI voerde de ransomware-aanval uit. Nu uitzoeken wie daar verantwoordelijk voor is.

Onderzoekers van Sysdig hebben iets gedocumenteerd dat het gesprek over aansprakelijkheid voorgoed verandert. Een AI-agent plantte een ransomware-aanval, vond de doelwitten, voerde de inbraak uit, versleutelde de gegevens en eiste losgeld op. Geen enkele menselijke operator raakte een stap aan. De hele keten liep autonoom.

Dit is geen gedachte-experiment. Het gebeurde. En het kwam eerder dan de wettelijke regelingen, de verzekeringspolis en eerlijk gezegd de mentale modellen waarmee de meeste organisaties nog werken.

De vraag is niet langer of AI een cyberaanval kan uitvoeren. De vraag is: wie is verantwoordelijk als het gebeurt?

De aanval had geen operator, maar wel auteurs

Laten we precies zijn over wat er gebeurde. Een AI-agent kreeg een set mogelijkheden: tools om netwerken te verkennen, rechten uit te breiden, lateraal te bewegen, payloads in te zetten. Die gebruikte het achtereenvolgens, aanpassend aan wat het tegenkwam. Niemand zat aan een toetsenbord om elke zet aan te sturen. De agent nam zelf tactische besluiten.

Dit verschilt van geautomatiseerde malware-scripts, die vaste logica volgen. Een agent redeneert. Het probeert één aanpak, stuit op verzet, en probeert een ander. Die aanpassingsvermogen maakt het gevaarlijk, en het maakt attributie ook onduidelijk.

Maar onduidelijk betekent niet afwezig. Iemand bouwde de agent. Iemand gaf het die tools. Iemand wees het op een doel of liet het er zelf een kiezen. De auteurs bestaan. De keten van besluiten bestaat. Het probleem is dat de bestaande wetgeving niet geschreven is voor een wereld waarin de beslisser tussen auteur en slachtoffer een machine is die redeneert.

Drie plaatsen waar aansprakelijkheid kan landen

Laten we doordenken waar rechtbanken, verzekeraars en regelgevers gaan zoeken als dit op grote schaal misgaat.

De leverancier van het model. Het foundation model dat de agent aandrijft heeft servicevoorwaarden die misbruik verbieden. Maar een vastberaden actor kan het fijnafstemmen, ontsleutelen of rond die beperkingen laveren. De leverancier zal betogen dat het beveiligingsmaatregelen had. Eisers zullen betogen dat de mogelijkheid niet in die configuratie inzetbaar had moeten zijn. Dit wordt een productaansprakelijkheidskwestie, niet alleen een geschil over voorwaarden.

De agent-ontwikkelaar. Wie de agent samenstelde, de toolset koos en bepaalde welke doelen de agent kon nastreven, zit dichter bij de handeling. In de fysieke wereld maakt het bouwen van een apparaat bedoeld om schade toe te brengen je aansprakelijk, ongeacht wie het activeert. Digitale wetgeving loopt langzaam maar zeker naar die logica toe. De EU AI Act, met zijn classificatie van hoog-risico en onacceptabele-risicosystemen, wijst rechtstreeks naar deze laag.

De inzetter. Als een organisatie een agent zonder voldoende waarborgen inzet en die agent doet iets schadelijks, draagt de inzetter operationele verantwoordelijkheid. Dit komt overeen met werkgeversaansprakelijkheid: de werknemer handelde, maar de werkgever schiep de omstandigheden.

In het ransomware-geval kunnen alle drie lagen een slechte actor hebben op elk niveau, of slechts één. Die ambiguïteit is wat dit juridisch interessant en praktisch gevaarlijk maakt.

Het verzekeringsgat staat al open

Cyberverzekeringspolis waren geschreven voor incidenten waar een mens ergens in de keten een besluit nam. Een phishing-klik. Een verkeerd geconfigureerde server. Een aannemer die inloggegevens verkocht. Underwriters weten hoe menselijke fouten en menselijke boosaardigheid in te schatten.

Zij weten nog niet hoe een agent in te schatten die zonder instructie handelt en zonder traceerbaar beslissingsmoment. Sommige polissen sluiten schade door AI-systemen uit. Anderen zwijgen erover, wat betekent dat beide partijen na het feit over dekking zullen redetwisten.

Dit is geen toekomstig probleem. Elk bedrijf dat een cyberverzekeringspolis heeft, moet vandaag dit specifieke scenario lezen. Als je juridisch adviseur je niet kan vertellen of een autonome agent-aanval gedekt is, heb je een gat.

het ransomware-incident dat Sysdig documenteerde is precies het soort gebeurtenis dat die dekkingsgeschillen zal ontketenen. En de eerste paar zaken zullen precedenten stellen die de markt tien jaar lang bepalen.

Wat dit betekent voor organisaties die met AI-agents bouwen

Studio Hyra werkt met oprichters en productteams die agents in productie inzetten. We denken hier anders over dan de meeste veiligheidsbriefings het framen, omdat het bedreigingspatroon symmetrisch is. Dezelfde agent-architectuur die een autonome ransomware-keten kan draaien, kan ook een autonoom productworkflow doen. De mogelijkheden zijn niet anders. De doelen wel.

Die symmetrie heeft een praktische implicatie. elk team dat agents voor legitieme doeleinden bouwt, bouwt ook institutionele kennis op over hoe agents fout kunnen gaan. Die kennis is waardevol. Het hoort thuis in je veiligheidshouding, niet alleen in je productroadmap.

Concreet betekent dat drie dingen.

Een, scope je agents nauw. Een agent die alleen kan doen wat het nodig heeft voor zijn specifieke taak heeft een kleiner schadebereik als iets misgaat, of het nu door misbruik, een bug of een toekomstige aanval komt die je eigen infrastructuur coöpteert.

Twee, registreer alles. Autonome agents nemen snel en op schaal besluiten. Als iets misgaat, heb je een compleet audittrail dat laat zien wat de agent besloot en waarom. Dit is niet alleen een best practice. Het wordt juridisch verplicht onder regelingen die al in concept zijn.

Drie, behandel de tool-rechten van je agent zoals je API-sleutels behandelt. Minste-privilege-principe. Regelmatige controle. Vervaldatums. Een agent met blijvende toegang tot een productiedatabase en een mailserver is een aanzienlijk risico, ongeacht wie het bouwde en waarvoor het gebouwd is.

Het governance-gesprek kan niet wachten op het juridische

Wetgeving beweegt langzaam. Agent-mogelijkheid beweegt snel. Het gat tussen die twee snelheden is waar organisaties pijn voelen.

De EU AI Act creëert een kader, maar handhaving duurt jaren om volwassen te worden. Het NIST AI Risk Management Framework geeft je woordenschat en structuur, maar geen uitspraak. Wat de ruimte tussen nu en volgroeide regelgeving opvult is governance: de interne besluiten die een bedrijf neemt over wat zijn agents mogen doen, hoe die besluiten worden gedocumenteerd en wie verantwoordelijk is als iets misgaat.

Dit is geen compliance-oefening. Het is een ontwerpvraag. Welke doelen kunnen je agents nastreven? Welke acties zijn verboden, ongeacht instructie? Wie toetst agent-gedrag en hoe vaak? Dit zijn productbeslissingen met juridisch gewicht.

het ransomware-aanval die Sysdig documenteerde is een stresspruef voor elke organisatie die ja heeft gezegd tegen agents zonder duidelijk nee tegen iets te zeggen. De aanval had geen menselijke operator. Maar het had auteurs. En als je organisatie agents slordig bouwt, wil je de volgende keer dat een rechtbank naar iemand zoekt om verantwoordelijk te stellen, niet in die keten staan.