💻 computer science

ISVEX: A method for the assessment of the risk exposure of intelligent systems

Dit artikel introduceert ISVEX, een uitgebreide methode voor het scoren van kwetsbaarheden met zowel "Strong" als "Lite" varianten, ontworpen om de specifieke beperkingen van bestaande standaarden aan te pakken door unieke AI-risico's zoals modelmanipulatie, datavergiftiging en agentische kwetsbaarheden te kwantificeren via een op maat gemaakt multi-metrisch framework.

Oorspronkelijke auteurs: Eduardo Arriols-Núñez, Mary Luz Mouronte-López

Gepubliceerd 2026-07-06

📖 6 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Eduardo Arriols-Núñez, Mary Luz Mouronte-López

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je probeert te beoordelen hoe gevaarlijk een nieuw type auto is. Decennialang hebben we een standaard checklist gebruikt (genaamd CVSS) om gewone auto's te beoordelen. Die checklist vraagt: "Kan een dief een ruit inslaan? Kunnen ze de motor hotwiren? Als ze de auto stelen, hoeveel schade wordt er dan aangericht?"

Maar vandaag de dag hebben we Zelfrijdende Auto's (Intelligente Systemen). Dit zijn niet alleen metalen dozen; ze kunnen praten met andere auto's, hun eigen software aanpassen, zelf beslissingen nemen en zelfs hun sensoren misleiden met stickers op stopborden. De oude checklist werkt hier niet omdat het niet weet hoe het een auto moet meten die kan "hallucineren" dat een licht is op groen, of een robot die zijn eigen remmen kan hacken.

Dit artikel introduceert ISVEX, een nieuwe, gespecialiseerde "gevaarsmeter" die specifiek is ontworpen voor deze slimme, autonome systemen.

Het Probleem: De Oude Liniaal Past Niet

De auteurs stellen dat de huidige instrumenten om risico te beoordelen als het meten van een wolk met een liniaal zijn.

CVSS (De Oude Standaard): Geweldig voor gewone software, maar het behandelt een chatbot hetzelfde als een zelfrijdende auto. Het mist zaken als "prompt injection" (een AI misleiden met woorden) of "data poisoning" (slechte informatie voeren om de AI verkeerde lessen te laten leren).
AIVSS (De Nieuwere Poging): Dit was een eerste stap om CVSS voor AI te verbeteren, maar de auteurs zeggen dat het een "halve maatregel" is. Het middelt de scores, wat het gevaar vaak verzwakt. Als een systeem een piepklein defect heeft maar een enorme, catastrofale potentie, maakt de gemiddelde score het een "medium risico", terwijl het "kritiek" zou moeten zijn.

De Oplossing: ISVEX (De AI Gevaarsmeter)

ISVEX is een scoresysteem dat een getal van 0 tot 10 geeft om aan te geven hoe risicovol een AI-systeem is. Het komt in twee varianten:

1. De "Sterke" Versie (Het Volledige Examen)

Dit is een diepe duik, zoals een volledige medische check-up. Het gebruikt 38 verschillende vragen gegroepeerd in 7 categorieën.

De Basis: Het controleert nog steeds de oude zaken (kan iemand het netwerk hacken?).
De AI-Kern: Het vraagt: "Kan iemand het AI-brein misleiden?" (Prompt injection) of "Kunnen ze de AI-geheimen stelen?"
De Agent-Laag: Dit is het nieuwe deel. Het vraagt: "Kan deze AI met andere AI's praten en hen slechte bevelen geven?" of "Kan het zijn eigen code aanpassen?" Het behandelt de verbinding tussen robots (protocollen zoals MCP en A2A) als een kritieke beveiligingszone.
De Context: Het vraagt: "Hoeveel mensen worden getroffen?" en "Kunnen we de schade ongedaan maken?" (Als een AI een nepvideo van een CEO verspreidt, is die schade permanent. Als een gewone website plat ligt, kun je hem gewoon opnieuw opstarten).

De "Anti-Verwatering"-Truc:
Het artikel benadlicht een slimme wiskundige truc. In de oude systemen, als je één "Kritiek" defect en negen "Lage" defecten had, zou het gemiddelde de hele boel als "Medium" laten lijken. ISVEX zegt: "Nee." Als één onderdeel kritiek is, krijgt het hele systeem een hoge waarschuwing, zelfs als de rest veilig is. Het heeft ook "vloeren" (minimumwaarden) om te garanderen dat als een systeem iets gevaarlijks bestuurt (zoals een ziekenhuisrobot), het geen lage score kan krijgen simpelweg omdat het moeilijk te hacken is.

2. De "Lite" Versie (De Triage)

Stel je een beveiligingsbeambte voor bij een drukke luchthaven. Ze hebben geen tijd voor een volledige medische keuring van elke passagier. Ze hebben een snelle scan nodig.

ISVEX Lite gebruikt slechts 12 kernvragen.
Het duurt ongeveer 3 minuten om uit te voeren.
Het is ontworpen voor noodteams (SOC's) om snel te beslissen: "Is dit een klein glitch, of moeten we het hele team bellen?"
Als de Lite-score hoog is, schakelen ze over naar de "Sterke" versie voor een volledig onderzoek.

Hoe het Werkt in de Praktijk (De Scenario's)

De auteurs hebben hun nieuwe meter getest tegen 10 verschillende "wat als"-scenario's om te bewijzen dat het beter werkt dan de oude. Hier zijn enkele voorbeelden:

Het "Vertekende Bord" (Adversarial Attack): Iemand plakt een sticker op een stopbord die er normaal uitziet voor mensen, maar de zelfrijdende auto vertelt dat het een snelheidslimietbord is.
- Oude Meter: Zegt "Medium Risico."
- ISVEX: Zegt "Kritiek (10/10)" omdat er levens op het spel staan en de schade onomkeerbaar is.
De "Nep CEO" (Deepfakes): Criminelen gebruiken AI om een nepvideo te maken van een CEO die een bankoverschrijving beveelt.
- Oude Meter: Zegt "Medium Risico" (slechts een datalek).
- ISVEX: Zegt "Hoog Risico" omdat de schade aan de reputatie permanent is en het hele bedrijf treft.
De "Saai Gestunt" (Interne DoS): Een ontevreden werknemer laat een kleine interne chatbot die door 50 mensen wordt gebruikt, 2 uur lang crashen.
- Oude Meter: Zegt "Medium Risico" (het is een standaard onderbreking).
- ISVEX: Zegt "Laag Risico (1.3/10)" omdat het slechts 50 mensen trof en gemakkelijk te herstellen was. De oude meter was hier te alarmerend; ISVEX kalmeert de situatie.

De Connectie met "Red Teaming"

Het artikel legt ook uit hoe je deze risico's daadwerkelijk vindt. Het suggereert het gebruik van AI Red Teaming.

Denk aan Red Teaming als het inhuren van een groep "ethische hackers" om te proberen jouw AI te breken.
ISVEX dient als de scorekaart voor deze hackers. In plaats van alleen te zeggen "We hebben het gebroken," gebruikt het Red Team ISVEX om te zeggen: "We hebben het gebroken met een score van 8.5 omdat we de AI hebben misleid om geheimen te onthullen."
Dit verandelt vage klachten in harde cijfers die beveiligingsteams kunnen gebruiken om prioriteiten te stellen bij het oplossen van problemen.

De Kernboodschap

Het artikel beweert dat ISVEX een noodzakelijke upgrade is. Het stelt dat we niet langer dezelfde veiligheidsliniaal voor een broodrooster kunnen gebruiken als die voor een zelfrijdende robot. Door specifieke vragen toe te voegen over AI-gedrag, communicatie tussen agenten en de reële gevolgen van falen, biedt ISVEX een nauwkeurigere, eerlijkere en actiebaardere manier om risico's te meten in het tijdperk van intelligente machines.

Technische Samenvatting: ISVEX – Een methode voor de beoordeling van het risico-expositie van intelligente systemen

1. Probleemstelling

Systemen voor Kunstmatige Intelligentie (AI), variërend van Large Language Models (LLM's) tot autonome agenten en multi-agent architecturen, zijn overgegaan van onderzoeksprototypes naar productieomgevingen. De huidige standaarden voor kwetsbaarheidsbeoordeling, specifiek CVSS v4.0 en OWASP AIVSS v0.5, missen echter de specifieke metrieken die nodig zijn om de risico's die inherent zijn aan deze systemen te kwantificeren.

Het artikel identificeert verschillende kritieke tekortkomingen in de huidige standaarden:

Ontbrekende AI-specifieke vectoren: Ze adresseren geen modelmanipulatie (prompt injection, jailbreaking), data poisoning, adversariële aanvallen en modeldiefstal.
Gebrek aan differentiatie in autonomie: Ze behandelen passieve chatbots en autonome agenten (die code kunnen uitvoeren, API's kunnen aanroepen en beslissingen kunnen nemen) identiek, waarbij de "agentic amplification" wordt genegeerd waarbij een agent privileges escaleert via meerdere tools.
Protocolblindheid: Ze houden geen rekening met kwetsbaarheden in inter-agent communicatieprotocollen zoals MCP (Model Context Protocol) en A2A (Agent-to-Agent).
Granulariteit en context: Ze falen in het differentiëren van de schaal van affectie (bijv. 50 gebruikers versus 50 miljoen), negeren de omkeerbaarheid van schade en missen metrieken voor de detecteerbaarheid van aanvallen en cascade-effecten over verbonden systemen.
Berekeningsfouten: AIVSS v0.5 gebruikt een eenvoudige gemiddeldeformule die kritieke scores verzwakt wanneer één component laag is, en het mist impactvloeren om ervoor te zorgen dat veiligheidskritische systemen een passende ernstbeoordeling krijgen.

2. Methodologie: ISVEX

De auteurs stellen ISVEX (Intelligent System Vulnerability Exposure Index) voor, een methode voor het scoren van kwetsbaarheden die ontworpen is om het volledige spectrum van AI-risico's te vatten. De methode wordt aangeboden in twee alternatieven: Strong (omvattend) en Lite (snelle triage).

2.1 Het Strong Alternatief

De Strong-versie maakt gebruik van 38 metrieken georganiseerd in 7 groepen en een 8-staps berekeningspijplijn.

Metriekgroepen:

Base – Exploitability (5 metrieken): Overgenomen van CVSS v4.0 (Attack Vector, Complexity, Requirements, Privileges, User Interaction).
Base – Impact (6 metrieken): Overgenomen van CVSS v4.0 (Confidentiality, Integrity, Availability voor zowel kwetsbare als daaropvolgende systemen).
AI-Core (6 metrieken): Specifiek voor het model, inclusief Model Behavior Evasion (MBE), Data Pipeline Integrity (DPI), Explainability Risk, Autonomy Level, Model Theft, en Trust Boundary Violation.
Agentic & Protocol (8 metrieken): Specifiek voor autonome agenten en protocollen, dekking van Tool & Channel Integrity (TCX), Multi-Agent Interaction, Self-Modification, Goal-Driven Planning, Memory Persistence, Dynamic Identity, Secure Comm. Protocol, en Non-Determinism. Deze gebruiken een 5-niveau schaal (N/L/M/H/C).
AI-Extended (3 metrieken): Training Data Quality, Detectability, en Cascading Impact.
Environmental (6 metrieken): Organisatorische context, inclusief Confidentiality/Integrity/Availability eisen, AI System Criticality (ASC), Exploit Maturity, en Mitigation Controls.
Contextual Modifiers (4 metrieken): Scale of Affectation, Reversibility, Governance/Societal impact, en Attack Operationalization.

Berekeningspijplijn:

Exploitability & Impact: Berekend met behulp van CVSS v4.0 formules.
AI Score: Berekend als een gewogen som van AI-Core en Agentic & Protocol metrieken. Een cruciale innovatie is de 85% vloerregel: de uiteindelijke AI-score kan niet lager zijn dan 85% van de hoogste individuele metriek, wat voorkomt dat kritieke kwetsbaarheden worden verzwakt door laag-risico metrieken.
Combined Score: Gebruikt een max-gewogen formule ( $0.6 \times \text{max} + 0.4 \times \text{mean}$ ) om Base, AI, en Environmental scores te combineren. Dit voorkomt het verzwakkingseffect van eenvoudige gemiddelden terwijl contextuele informatie behouden blijft.
Amplification: Multipliers worden toegepast voor kritikaliteit (tot $\times 2.0$ voor veiligheidskritische systemen), stealth aanvallen, en cascade-effecten.
Graduated Impact Floors: Een set regels (R1–R5) en bonussen (B1–B7) zorgt ervoor dat specifieke hoog-risico combinaties (bijv. veiligheidskritische systemen met integriteitscompromis) een minimale score ontvangen (bijv. 8.0), ongeacht de lage exploitability.
Final Score: Contextuele multipliers (Scale, Reversibility, Governance, Operationalization) worden toegepast, gecapt op 10.0.

2.2 Het Lite Alternatief

Ontworpen voor Security Operations Centers (SOC) en incident response teams, reduceert ISVEX Lite de beoordeling tot 12 hoog-discriminatieve metrieken (geselecteerd uit de Strong-versie). Het gebruikt een vereenvoudigde formule om in ongeveer drie minuten een score te produceren. Validatie toont aan dat het afwijkt met $\pm 0.8$ punten van de volledige versie in 80% van de gevallen, hoewel het het risico in complexe multi-agent scenario's kan onderschatten.

3. Belangrijkste Bijdragen

Het artikel claimt de volgende primaire bijdragen:

Omvattende Metriekarchitectuur: Een 38-metrieken framework dat traditionele IT-risico's, AI-specifieke modelrisico's en de opkomende "Agentic & Protocol" laag (MCP/A2A) dekt.
Nieuwe Berekeningslogica:
- Een max-gewogen combinatie (60/40 split) om scoreverzwakking te voorkomen.
- Graduated Impact Floors om een minimale ernst te garanderen voor veiligheidskritische scenario's.
- Contextuele Multipliers om scores te schalen op basis van gebruikersimpact, omkeerbaarheid en regelgevende context.
Operationele Integratie: Een formeel protocol dat ISVEX-metrieken koppelt aan AI Red Teaming frameworks (HarmBench, garak, AutoRedTeamer, AART, MITRE ATLAS), waardoor Red Team bevindingen direct de metriekwaarden kunnen invullen.
Dual-Mode Nut: Een "Lite" versie voor snelle triage en een "Strong" versie voor uitputtende analyse.

4. Resultaten en Validatie

De methode werd gevalideerd tegen 10 hypothetische scenario's die een risicospectrum dekken van 0 tot 10, inclusief prompt injection, adversariële aanvallen op autonoom rijden, supply chain backdoors, multi-agent privilege escalatie en data poisoning.

Vergelijkende bevindingen:

vs. AIVSS v0.5: In 9 van de 10 scenario's scoorde ISVEX hoger dan AIVSS, met een gemiddelde stijging van +2.3 punten in hoog-risico scenario's. De grootste delta was +3.4 punten in een multi-agent privilege escalatie scenario, toegeschreven aan de specifieke protocolmetrieken en impactvloeren van ISVEX.
vs. CVSS v4.0: CVSS onderschatte AI-specifieke risico's consequent, waarbij het ze vaak als "Medium" classificeerde terwijl ISVEX ze als "High" of "Critical" beoordeelde. Omgekeerd, in een scenario met lage impact (DoS op een interne chatbot met 50 gebruikers), scoorde ISVEX 2.7 punten lager dan CVSS, wat zijn vermogen aantoont om het risico naar beneden te schalen wanneer context (omkeerbaarheid, kleine schaal) dit rechtvaardigt.
Precisie: De methode slaagde erin om scenario's te differentiëren die vorige standaarden identiek behandelden (bijv. het onderscheid maken tussen een lek van een passieve chatbot en een autonome agent escalatie).

5. Betekenis en Claims

De auteurs positioneren ISVEX als een noodzakelijke evolutie in kwetsbaarheidsbeheer voor het tijdperk van autonome AI. Het artikel claimt dat:

Huidige standaarden ontoereikend zijn: CVSS en AIVSS missen de granulariteit en specifieke metrieken om de unieke risico's van modelmanipulatie, agent autonomie en protocol-niveau aanvallen te kwantificeren.
ISVEX de kloof overbrugt: Door specifieke metrieken voor agent gedrag en communicatieprotocollen op te nemen, en door een berekeningspijplijn te gebruiken die kritieke risico's voorkomt te worden verzwakt, biedt ISVEX een nauwkeuriger reflectie van de real-world AI-risico's.
Operationele Relevantie: De methode is ontworpen om actiegericht te zijn, direct koppelbaar aan Red Teaming outputs en bestaande security workflows (SIEM, ticketing), en biedt een snelle triage optie voor omgevingen met beperkte tijd.

Het artikel concludeert dat ISVEX een preciezere, schaalbare en contextbewuste benadering van risicobeoordeling biedt, in staat om het volledige spectrum van moderne AI-dreigingen te behandelen, van laag-impact interne tools tot veiligheidskritische autonome systemen.