💻 computer science

Certifying Ghosts: How Cybersecurity AI Agents Break the EU Cyber Resilience Act

Dit artikel betoogt dat het statische, procesgebaseerde nalevingskader van de EU Cyber Resilience Act fundamenteel onverenigbaar is met de continue, door AI gedreven versnelling van kwetsbaarheidsontdekking en -exploitatie, wat een verschuiving noodzakelijk maakt van eenmalige certificering naar permanente, door agenten beheerde beveiliging.

Oorspronkelijke auteurs: Víctor Mayoral-Vilches

Gepubliceerd 2026-07-09

📖 6 min leestijd🧠 Diepgaand

CC0 1.0

Oorspronkelijke auteurs: Víctor Mayoral-Vilches

Oorspronkelijk artikel vrijgegeven aan het publieke domein onder CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Plaatje: Een Wet Gebouwd voor een Andere Wereld

Stel je voor dat de Europese Unie een nieuwe wet heeft aangenomen genaamd de Cyber Resilience Act (CRA). Het doel is om ervoor te zorgen dat de gadgets die we kopen (zoals slimme koelkasten, robots of camera's) veilig zijn.

De wet is slim op één punt: het geeft toe dat geen enkele software perfect is. Je kunt niet beloven dat een product nooit een bug zal hebben. Daarom eist de wet niet "nul bugs", maar een proces. De wet zegt: "Fabrikanten, jullie moeten controleren op bugs, ze repareren wanneer jullie ze vinden, en ons laten weten als iemand actief probeert jullie product te hacken."

De auteurs van dit paper betogen dat deze wet geschreven is voor een wereld die niet langer bestaat. De wet werd ontworig toen het vinden van computerbugs traag, duur en afhankelijk van menselijke experts was. Maar vandaag de dag hebben AI-agenten (computerprogramma's die handelen als autonome hackers) het spel veranderd. Ze kunnen bugs direct, goedkoop en in miljoenen aantallen vinden.

Het paper stelt dat hoewel de wet de hoeveelheid aan bugs kan aan, deze volledig instort wanneer zij geconfronteerd wordt met de snelheid en de aard van deze AI-hackers.

De Vier Regels waarop de Wet Vertrouwde (En hoe AI ze verbrak)

De wet gaat uit van vier aannames over hoe de wereld werkt. Het paper noemt dit "Premises" (vooronderstellingen). AI heeft alle vier weerlegd.

1. De "Menselijke Schaarste" Regel (Premise P1)

De Oude Wereld: Een bug vinden was als het zoeken naar een naald in een hooiberg. Het kostte een bekwame menselijke detective dagen of weken om er één te vinden. Omdat het moeilijk was, werden er niet veel bugs tegelijk gevonden.
De AI-Realiteit: AI-agenten zijn als een zwerm van 1.000 supersnelle detectives. Ze kunnen een hooiberg scannen en binnen een seconde 1.000 naalden vinden.
Het Resultaat: De wet buigt hier. Dit kan de wet aan. De wet zegt simpelweg: "Je hoeft niet elke naald te repareren; laat ons gewoon zien dat je een goed systeem hebt om te beslissen welke naald gevaarlijk is." Het proces is flexibel genoeg om de hoeveelheid op te vangen.

2. De "Snapshot" Regel (Premise P2)

De Oude Wereld: Wanneer je een product verkoopt, controleer je het. Als het vandaag schoon is, krijg je een "Veilig" certificaat. Je gaat ervan uit dat het een tijdje schoon blijft.
De AI-Realiteit: AI kan morgen naar een product kijken en een gloednieuwe bug vinden die vandaag nog niet bestond (of nog niet bekend was). Het product is niet veranderd, maar het "Veilig" certificaat is nu een leugen.
Het Resultaat: De wet breekt. Het certificaat is als een foto van een persoon die gisteren is genomen. Als die persoon vandaag een kapsel krijgt, is de foto nog steeds "waar" voor het verleden, maar is hij nutteloos voor het identificeren van de persoon nu. De wet certificeert een "ghost" (een geest): een veilig product dat niet meer bestaat.

3. De "Discrete Gebeurtenis" Regel (Premise P3)

De Oude Wereld: Hacken was als een inbreker die een raam inslaat. Je hoort een klap, je weet dat het gebeurd is, en je belt de politie (meld het incident).
De AI-Realiteit: AI-hackers zijn als een zachte, constante wind die tegen een muur erodeert. Ze tasten je product 24/7 af. Er is geen enkele "klap" om te melden; de aanval is nu gewoon de achtergrondruis van het internet.
Het Resultwoord: De wet breekt. De wet zegt: "Meld het als je actieve hacking ziet." Maar als hacking constant en onzichtbaar is, kun je de melding niet triggeren. Het alarmsysteem is kapot omdat het vuur nu een langzame smeulbrand is, geen plotselinge explosie.

4. De "Race naar Reparatie" Regel (Premise P4)

De Oude Wereld: Als een bug wordt gevonden, heeft het bedrijf tijd om het te repareren en een update te sturen voordat hackers het gebruiken.
De AI-Realiteit: AI-hackers kunnen een ontdekte bug binnen minuten omzetten in een wapen. Tegen de tijd dat een menselijk bedrijf een vergadering heeft afgerond om een patch te bespreken, heeft de AI de bug al op miljoenen apparaten misbruikt.
Het Resultaat: De wet breekt. De wet zegt: "Los het zonder uitstel op." Maar je kunt niet een kogel verslaan met een fiets. De tijdlijn is ingestort; de race is onwinnbaar voor mensen.

Het Kernprobleage: Certificeren van Geesten (Certifying Ghosts)

Het paper gebruikt de term "Certifying Ghosts".

Stel je voor dat een gezondheidsinspecteur een restaurant bezoekt, de keuken controleert en een "Gezond" stempel geeft. Maar op het moment dat de inspecteur vertrekt, verschijnt er een magisch virus in het eten. Het restaurant is nu onveilig, maar heeft nog steeds de "Gezond" stempel omdat de inspecteur alleen het proces en het moment heeft gecontroleerd.

De CRA doet dit met software. Het stempelt producten als "Veilig" op basis van een momentopname in de tijd. Maar omdat AI-hackers het beveiligingslandschap direct kunnen veranderen, is die stempel een leugen op het moment dat hij gedrukt wordt. De wet certificeert een beveiligingsstatus die alweer verdwenen is.

De Oplossing: Het "Robot Immuunsysteem"

Het paper zegt niet alleen dat de wet kapot is; het biedt ook een kuur. Het betoogt dat we niet terug kunnen naar mensen die dingen traag controleren. We moeten dezelfde wapens gebruiken als de hackers: AI-verdedigers.

De Analogie: In plaats van een beveiligingsbeambte die één keer per dag de gangen loopt (de huidige wet), heb je een digitaal immuunsysteem nodig dat in de robot of het apparaat leeft.
Hoe het werkt: Deze AI-verdediger houdt het apparaat constant in de gaten. Als een AI-hacker probeert in te breken, ziet de verdediger dit, blokkeert de aanval en dicht het gat in milliseconden — sneller dan de hacker kan reageren.
Het Bewijs: De auteurs testten dit op twee echte robots: een humanoïde robot en een robotgrasmaaier.
- Zonder de AI-verdediger: De hacker nam binnen enkele seconden de controle over de robots over.
- Met de AI-verdediger: De hacker werd geblokkeerd voordat ze echte schade konden aanrichten. De robot bleef veilig functioneren.

Conclusie

Het paper concludeert dat de Cyber Resilience Act een goed gemaakte wet is voor een wereld die al lang vertrokken is.

De Fix: We moeten stoppen met beveiliging te behandelen als een periodieke controle (zoals een jaarlijkig doktersbezoek) en het gaan behandelen als een continue, live verdediging (zoals een immuunsysteem).
De Waarschuwing: Als de EU wacht tot 2027 om deze wet volledig te handhaven zonder deze bij te werken, zullen ze "Veilig"-certificaten uitdelen aan producten die al kwetsbaar zijn voor AI-aanvallen.
De Oproep tot Actie: Beveiliging moet continu worden en worden uitgevoerd door AI-agenten. Het is geen keuze meer; het is de enige manier om te overleven in het huidige dreigingslandschap.

Kortom: Je kunt geen papieren kaart gebruiken om door een stad te navigeren die elke uur wordt herbouwd. De wet moet stoppen met naar de kaart kijken en beginnen met het real-time besturen van de auto.

Technische Samenvatting: Het certificeren van spoken: Hoe Cybersecurity AI-agenten de EU Cyber Resilience Act breken

Probleemstelling
De Cyber Resilience Act (CRA) van de Europese Unie, Verordening (EU) 2024/2847, stelt een procesgeoriënteerd regelgevend kader vast voor cybersecurity. In plaats van het garanderen van kwetsbaarheidsvrije producten, verplicht het fabrikanten om risico's te beoordelen, gebreken af te handelen en incidenten te melden. Het artikel betoogt dat dit kader rust op vier impliciete premissen over het kwetsbaarheidsecosysteem die geldig waren toen de wetgeving werd opgesteld (pre-ChatGPT, 2022), maar die nu worden weerlegd door de opkomst van Cybersecurity AI (CAI) agenten.

De vier premissen zijn:

P1 (Menselijke schaarste bij ontdekking): Het vinden van kwetsbaarheden is traag, specialistisch en mensintensief.
P2 (Kenbaarheid op een specifiek moment): De exploiteerbare gebreken van een product zijn kenbaar en statisch op het moment van marktplaatsing.
P3 (Discrete exploitatie): Actieve exploitatie is een zeldzame, detecteerbare gebeurtenis.
P4 (Herstel-tempo): De tijd tussen ontdekking en wapening is lang genoeg zodat geplande updates het tempo kunnen bijhouden.

Het artikel stelt dat CAI-agenten—AI-systemen ontworpen om kwetsbaarheden in andere producten te ontdekken, te wapenen en te exploiteren—de snelheid, economie en symmetrie van de kwetsbaarheidslevenscyclus doen instorten, waardoor het "point-in-time" certificeringsmodel van de CRA al verouderd is voordat het volledig in werking treedt in december 2027.

Methodologie
De auteurs hanteren een juridisch-technische stress-testmethodologie, waarbij specifieke mechanismen van de aangenomen CRA-tekst worden afgezet tegen de capaciteiten van huidige CAI-agenten.

Textuele Reconstructie: De auteurs reconstrueren de procesoriëntatie van de CRA aan de hand van de artikelen en bijlagen van de verordening, waarbij zij de vier dragende premissen identificeren.
Capaciteitsmapping: Zij correleren specifieke CRA-mechanismen (bijv. Artikel 14 meldingsverplichtingen, Bijlage I conformiteitbeoordelingen) met empirische gegevens over de prestaties van CAI-agenten. Dit omvat het citeren van gedateerde primaire bronnen (bijv. GPT-4 die 87% van de one-day CVE's exploiteert, DARPA AIxCC die zero-days identificeert, agent-teams die echte zero-days bereiken).
Bend vs. Break Analyse: De auteurs categoriseren de impact van CAI-agenten in twee regimes:
- Bends (Buigzaamheid): Waar het regime meebeweegt onder belasting (volume) maar logisch intact blijft.
- Breaks (Breuk): Waar het regime fragmenteert omdat de omgevingspremissen (P2–P4) worden ingetrokken, waardoor de certificering ongeldig wordt, ongeacht de procesmatige zorgvuldigheid.
Empirische Validatie: De voorgestelde oplossing wordt getest op twee robots binnen de reikwijdte van de CRA (een Unitree G1 humanoïde en een Hookii robotgrasmaaier). Deze werden eerst onderworpen aan offensieve CAI-agenten in een onverdedigde staat, en daarna aan een "Agent-Native Remedy", het Robot Immune System (RIS), een continue, door agenten aangestuurde defensieve laag.

Kernbijdragen

Decompositie op premisseniveau: Het artikel biedt de eerste bepaling-voor-bepaling mapping van de CRA tegen CAI-dynamiek, waarbij onderscheid wordt gemaakt tussen mechanismen die "buigen" (herinterpreteerd kunnen worden) en mechanismen die "breken" (nieuwe regelgevende constructen vereisen).
Het "Bend vs. Break" Framework:
- Bends (P1): Het regime houdt stand onder het enorme volume van door agenten ontdekte kwetsbaarheden. Compliance verschuift van "alles herstellen" naar "demonstrabel prioriteren".
- Breaks (P2–P4): Het regime faalt door de snelheid en symmetrie van agenten. Een product dat op tijdstip $t$ als veilig gecertificeerd is, wordt op tijdstip $t+1$ exploiteerbaar zonder enige productwijziging, omdat het vermogen van de omgeving om gebreken te vinden is veranderd. Dit maakt de "point-in-time" certificering ongeldig.
Agent-Native Remedy: Het artikel stelt voor dat de enige levensvatbare oplossing is om conformiteit te verschuiven van een periodiek menselijk proces naar een continue, door agenten aangestuurde houding. Dit houdt in dat defensieve CAI-agenten producten continu opnieuw testen tegen de huidige offensieve capaciteiten, waardoor beveiliging effectief een live abonnement wordt in plaats van een statische momentopname.
Hardware Validatie: De auteurs demonstreren dat een agentische verdediger (RIS) frontier-class offensieve agenten kan bevatten op fysieke robots, waarbij het succespercentage van aanvallers wordt teruggebracht van ~75–79% naar ~8–14%, terwijl de systeembeschikbaarheid behouden blijft.

Resultaten

Regime Stress: De analyse bevestigt dat hoewel de CRA het volume van door agenten ontdekte kwetsbaarheden kan absorberen (Bend), het niet kan overleven bij de instorting van de kwetsbaarheidslevenscyclus (Break). Specifiek verliest de trigger "actief geëxploiteerd" (Art. 14) zijn onderscheidend vermogen wanneer exploitatie alomtegenwoordig wordt, en de voorwaarde "geen bekende exploiteerbare kwetsbaarheden" (Bijlage I) wordt praktisch leeg wanneer latente gebreken op aanvraag opnieuw ontdekt kunnen worden.
Voorspellingen: Het artikel schetst zes toetsbare voorspellingen voor 2028, waaronder het verlies van onderscheidend vermogen in de "actief geëxploiteerd" trigger, de uitdaging voor point-in-time conformiteit wanneer conforme producten worden gecompromitteerd door omgevingsverschuivingen, en de uiteindelijke voorstel van door de omgeving getriggerde herbeoordelingsmechanismen.
Defensieve Effectiviteit: In gecontroleerde evaluaties slaagde het Robot Immune System (RIS) erin om offensieve CAI-agenten binnen seconden te detecteren, te classificeren en te bevatten ( <8s voor de humanoïde, <12s voor de maaier), waarbij root-toegang en veiligheidsoverrides werden voorkomen. Dit bewijst dat defensieve agenten offensieve agenten kunnen bijhouden, waardoor een statistisch evenwicht ontstaat in plaats van een ongecontroleerde aanval door de aanvaller.

Betekenis en Claims
Het artikel claimen dat de CRA niet "fout" is in haar ontwerp, maar "te vroeg is voor haar eigen veroudering", omdat zij is gekalibreerd op een dreigingsmodel dat jaren voor haar volledige handhaving al is verlaten.

Het Kernargument: De mismatch ligt niet bij het gereguleerde product, maar bij het landschap van de tegenstander. Een statisch certificaat kan geen zekerheid bieden over een beveiligingshouding in een wereld waar de capaciteit van de tegenstander een dynamische, externe variabele is.
De Noodzaak van Verandering: De auteurs betogen dat beveiliging moet transformeren van een periodiek, door mensen beheerd proces naar een continu, door agenten aangestuurd proces. Dit is geen kwestie van voorkeur, maar van overleving; het "point-in-time" certificaat certificeert "spoken"—beveiligingshoudingen die niet langer bestaan.
Constructieve Houding: Het artikel positioneert zich als een constructieve kritiek vanuit de Europese cybersecurity-gemeenschap. Het stelt dat dezelfde AI-capaciteit die de wet breekt (offensieve agenten), ook het materiaal biedt om het te herstellen (defensieve agenten). De auteurs dringen er bij regelgevers op aan om de komende herziening niet te beschouwen als een routine-update, maar als een cruciaal moment om "adversary-capability baselines" en continue conformiteitsmechanismen te introduceren, met de waarschuwing dat wachten tot 2027 zal resulteren in een regelgevingsmachine die een landschap certificeert dat al lang verdwenen is.