AI- en LLM-penetratietesten in 2026: het nieuwe aanvalsoppervlak

AI heeft niet alleen de gereedschappen veranderd. Het heeft het doelwit veranderd.

Het grootste deel van het afgelopen decennium had penetratietesten een stabiele kaart: webapplicaties, API's, netwerken, cloudaccounts en mensen. In 2026 is er een nieuw gebied op die kaart, en het groeit sneller dan enig gebied daarvoor: het grote taalmodel (LLM) en de applicaties, agents en pipelines die eromheen zijn gebouwd. Bijna elk bedrijf dat we spreken heeft dit jaar een AI-functie toegevoegd, een supportchatbot, een documentassistent, een interne copilot die aan echte systemen is gekoppeld. Elk daarvan is een nieuwe deur, en de meeste zijn nooit getest door iemand die als een aanvaller denkt.

Tegelijkertijd verandert AI ook hoe het testen zelf gebeurt. Dezelfde modellen die dit nieuwe aanvalsoppervlak creëren, kunnen worden omgedraaid en erop worden gericht: ze redeneren over een applicatie, koppelen bevindingen aan elkaar en reproduceren het oordeel van een expert op een schaal die geen enkel menselijk team kan evenaren. Dit artikel bekijkt beide kanten van die verschuiving, en wat Obventum en ons in Nederland gevestigde zusterbedrijf ReactiveZero daarom aan het bouwen zijn.

Het nieuwe aanvalsoppervlak: hoe LLM-systemen echt breken

Een taalmodel beveiligen is niet hetzelfde als een traditionele applicatie beveiligen, en het als zodanig behandelen is waar de meeste teams de fout in gaan. Een model heeft geen vaste set invoer en uitvoer die je kunt opsommen. Het volgt instructies die in gewone taal zijn geschreven, en dat is precies het probleem. De problemen die we het vaakst vinden, en die de meeste schade aanrichten, vallen in een handvol patronen:

• Prompt-injectie. Instructies verborgen in een webpagina, een document, een e-mail of een supportticket die het model leest en gehoorzaamt alsof ze van de eigenaar komen. Wanneer het model ook acties kan uitvoeren, is injectie geen teksttruc meer maar afstandsbediening.
• Jailbreaks en het omzeilen van vangrails. Zorgvuldig geformuleerde invoer die een model om zijn veiligheidsregels heen leidt en zo zijn systeemprompt, interne beleid of inhoud lekt die het uitdrukkelijk moest achterhouden.
• Openbaring van gevoelige gegevens. Modellen die trainingsdata, gecachte context of de informatie van de ene gebruiker aan de andere prijsgeven, vaak omdat de applicatie erop vertrouwt dat het model grenzen bewaakt die het nooit is ontworpen af te dwingen.
• Onveilige agents en toolgebruik. Het snelst groeiende risico van allemaal. Zodra een LLM tools krijgt, de mogelijkheid om te browsen, code uit te voeren, een database te bevragen of mail te versturen, kan één geïnjecteerde instructie geld verplaatsen, gegevens exfiltreren of doordringen tot interne infrastructuur.
• Vergiftiging van retrieval en toeleveringsketen. Het corrumperen van de documenten die een assistent ophaalt, of van de modellen en plug-ins van derden waarvan hij afhankelijk is, zodat de aanval al is ingebakken lang voordat er ook maar één prompt wordt verstuurd.

Deze sluiten nauw aan bij de OWASP Top 10 voor LLM-applicaties en zijn rechtstreeks verbonden met problemen die we al jaren testen. Een agent die aan een database is gekoppeld, is onderhuids nog steeds een probleem van toegangscontrole en injectie, dezelfde klasse fouten die we opsporen bij beveiliging van applicaties en API's. Daarom hoort AI-assurance thuis bij een offensief beveiligingsteam, en niet alleen bij een datascienceteam.

Waarom geautomatiseerde penetratietesten eindelijk realistisch zijn

Jarenlang was "geautomatiseerd penetratietesten" een kwetsbaarheidsscanner met een zelfverzekerde naam. Scanners herkennen bekende signaturen. Ze begrijpen geen bedrijf, koppelen geen drie bevindingen met lage ernst tot één kritiek pad, en herkennen niet dat een endpoint dat zich precies gedraagt zoals ontworpen, toch misbruikt kan worden. Echt testen vraagt om oordeelsvermogen, en oordeelsvermogen is precies wat moderne modellen zijn gaan tonen.

Een capabel model kan een applicatie lezen zoals een tester dat doet: een hypothese vormen, die uitproberen, het resultaat waarnemen en zich aanpassen, en vervolgens de bevinding en de oorzaak ervan uitleggen in taal waar een ontwikkelaar mee aan de slag kan. Het wordt niet moe, slaat de saaie endpoints in het zesde uur niet over, en kan honderden paden tegelijk volgen. Het is geen vervanging voor een bekwame mens, de sterkste resultaten komen nog steeds voort uit een model en een expert die samenwerken, maar het verandert de economie van dekking volledig.

Wat we bouwen: AI-gedreven penetratietesten as a service

Dit is het deel dat we het liefst delen. Obventum en ReactiveZero hebben geïnvesteerd in serieuze infrastructuur om dit goed te bouwen: vier NVIDIA DGX-systemen, draaiend in onze eigen omgeving, gewijd aan het trainen en draaien van een lokaal offensief beveiligingsmodel. We kozen voor lokale hardware in plaats van een openbare AI-dienst om één reden boven alle andere: vertrouwelijkheid. Ons werk raakt de meest gevoelige systemen en bevindingen van onze klanten, en niets daarvan zou ooit onze controle mogen verlaten of gebruikt mogen worden om het model van iemand anders te trainen. Op ons eigen DGX-cluster blijven de gegevens bij ons.

Bovenop die infrastructuur trainen we een model en bouwen we er een platform omheen: penetratietesten as a service die klanten zelf kunnen uitvoeren, on demand, elke keer dat ze een wijziging uitbrengen, in plaats van te wachten op één geplande test per jaar. In de huidige omvang is het platform ontworpen om te dekken:

• Webapplicatietesten vanuit elk perspectief: white box met volledige broncode en inloggegevens, grey box met gedeeltelijke kennis, en black box met niets dan het doelwit, zodat u uw systemen ziet zoals ontwikkelaars, insiders en aanvallers van buitenaf ze elk zien.
• Infrastructuurtesten in elke omgeving: on-premise, cloud en hybride, met de netwerken, identiteiten en configuraties die alles bijeenhouden.
• Reverse-engineeringopdrachten: het uit elkaar halen van binaries en firmware om te begrijpen hoe ze zich werkelijk gedragen en waar ze gebroken kunnen worden.

We willen duidelijk zijn over waar dit staat: het platform is in bèta en wordt op dit moment actief getest. Elk resultaat wordt gevalideerd tegen dezelfde standaard als ons handmatige werk, want een bevinding die u niet kunt vertrouwen is erger dan geen bevinding, en een menselijke expert beoordeelt wat het systeem produceert voordat het ooit een klant bereikt. Zo geloven wij dat AI thuishoort in beveiliging: het vergroot wat een vertrouwd team kan dekken, zonder ooit stilletjes het vertrouwen zelf te vervangen.

Wat dit betekent voor uw organisatie

Uit dit alles volgen twee dingen. Ten eerste, als uw bedrijf dit jaar AI-functies heeft uitgebracht, moeten die worden getest door mensen die zowel het model als de aanvaller begrijpen, voordat die behulpzame assistent met databasetoegang de makkelijkste weg naar binnen wordt. Ten tweede staat continue, geautomatiseerde dekking op het punt een realistische verwachting te worden in plaats van een luxe, en de organisaties die dit vroeg omarmen zullen problemen vinden en verhelpen terwijl hun concurrenten wachten op de audit van volgend jaar.

Wilt u uw AI-functies vandaag laten beoordelen, of wilt u vroege toegang tot het bètaplatform zodra we het openstellen, dan gaan we graag in gesprek. Ontdek onze penetratietestdiensten, lees meer op de blog, of neem contact met ons op via de contactpagina. Het aanvalsoppervlak verandert snel. Wij zijn van plan het voor te blijven, en u te helpen dat ook te doen.