Het beschermen van IT-systemen voelt als een race tegen de klok. AI-gedreven aanvallen zullen beter worden. Wiz werkt er samen met Google DeepMind aan om de werkelijk exploiteerbare lekken en kwetsbaarheden bij kritieke infrastructuur te vinden via het nieuwe programma Scan for Good.
Wiz laat hierin AI-agents los op publiek bereikbare systemen van overheidsinstanties, ziekenhuizen, nonprofits en andere kritieke infrastructuur. Daarbij ligt de nadruk op exploits die meer dan alleen een ongepatchte kwetsbaarheid exploiteren. In plaats daarvan mikken Wiz en DeepMind op een simulatie van aanvallen die vaker voorkomen, die via misconfiguraties bijvoorbeeld een banaal ogende kwetsbaarheid uiterst nuttig maken om gevoelige data te ontfutselen of systemen te manipuleren.
Gemini Cyber
In navolging van Mythos en GPT-Cyber is er ook een Google-model dat een cybersecurityvariant is van de eigen LLM’s. Gemini 3.8 Flash Cyber is het motorblok achter Scan for Good. Waar dat toegestaan is, zal Wiz tevens gebruikmaken van de eigen Red Agent en intern AI-onderzoek om nog dieper op zoek te gaan naar gevoelige IT-infrastructuur.
Enkele organisatie werken samen met Anthropic of OpenAI via respectievelijk Project Glasswing of Daybreak. Scan for Good is een initiatief dat mikt op de minder bedeelde partijen die mogelijk zelfs geen red team hebben. Het klinkt meer democratiserend voor de beweging richting AI-gereedheid dan de genoemde initiatieven, maar geeft dan ook niet de controle van de LLM’s aan de organisaties zelf. Wiz scant met AI-agents websites, API’s en applicaties die vanaf het publieke internet bereikbaar zijn, zoekt naar aanvalspaden en meldt die privé bij de getroffen partij. Wiz Red Agent is een AI-pentester die volgens het bedrijf al duizenden blootstellingen in productieomgevingen heeft gevonden.
Wat de agents vonden
Wiz noemt enkele voorbeelden van succesverhalen tot nu toe. Zo gaf een blootgestelde adminsleutel lees-, schrijf- en verwijderrechten op 8,8 miljoen bestanden in een nationaal archief in het Midden-Oosten. Bij een niet nader genoemd ziekenhuis kon iedereen online het mobiele alarmkanaal overnemen. In een ander geval was er bij een spoorvervoerder een gelekte productiedatabase die toegang gaf tot routes, dienstregelingen en beheerdersaccounts.
Ook grote techplatformen zaten tussen de vroege detecties van Scan for Good. Een zero-day in een betaaldienst lekte klantnamen en gedeeltelijke kaartnummers. Eveneens was er bij een grote website een credential in publieke code die kwaadaardige software had kunnen verspreiden over ruim 500 container images.
Mens blijft eindverantwoordelijk
Wiz test alleen waar dat is toegestaan, via een bug bounty, een disclosure-beleid of expliciete toestemming. Elke bevinding wordt door een menselijke onderzoeker gevalideerd. Hypothetische scenario’s krijgen dus geen escalatie naar de potentieel getroffen organisatie.
“Onze belofte aan de organisaties die we via dit programma bedienen: we helpen je gaten te dichten voordat tegenstanders ze kunnen misbruiken”, aldus CTO en medeoprichter van Wiz Ami Luttwak.
Wiz heeft op incidentele schaal geruime tijd een inkijkje gegeven in eigen onderzoek. Zo vond het de open ClickHouse-database van DeepSeek die gevuld was met chatlogs en API-secrets.
Lees ook: