De SANS AI-enquête 2026: Waarom AI-gestuurde aanvallen nog steeds een kritische menselijke analist vereisen
Securityteams hebben dit jaar een groeiend deel van hun dagelijkse werk overgedragen aan generatieve AI, en de tools lieten hen vaak genoeg in de steek dat professionals het opmerkten. De 2026 SANS AI-enquête, gebaseerd op 536 IT- en securityprofessionals, kwantificeert beide kanten van deze ontwikkeling: het gebruik neemt toe, maar de betrouwbaarheid blijft achter, en de professionals die het dichtst bij het probleem staan, komen uit op een oud antwoord op een nieuwe vraag: een getrainde, sceptische mens ziet nog steeds wat het model mist.
De enquête komt op een kantelpunt. Generatieve AI is in ongeveer een jaar tijd van pilotprojecten naar dagelijkse productie in security operations centers gegaan, waarbij het log-triage, het samenvatten van waarschuwingen, het prioriteren van kwetsbaarheden en het opstellen van incidentrapportages overneemt.
Tegelijkertijd meldde 78% van de organisaties AI-gedreven aanvallen, waarvan minder dan de helft werd bevestigd met forensisch bewijs en de rest nog als vermoedelijk wordt beschouwd. Kiteworks signaleert dezelfde spanning in enterprise data-omgevingen: hoe sneller organisaties AI adopteren, hoe kwetsbaarder ze worden voor ongecontroleerde datastromen, niet-geverifieerde content die modellen bereikt en beslissingen die worden genomen op basis van context die niemand heeft gecontroleerd. De SANS-resultaten beschrijven de security operations-variant van datzelfde probleem.
Wat de enquête meet, en wat een werkende incident responder aan Help Net Security vertelde over het toepassen ervan onder druk, wijst op een vraag waar elk security- en gegevensbeheerteam nu mee worstelt: hoe kalibreer je vertrouwen in een tool die meestal gelijk heeft, maar soms, vol vertrouwen, fout zit?
Kiteworks veilige gegevensuitwisseling pakt een gerelateerd maar afzonderlijk deel van dat probleem aan. Wanneer AI-systemen — SOC-copiloten of autonome agenten — redeneren over gevoelige content, moet iemand die content eerst hebben geverifieerd, bepalen wie en wat er toegang toe heeft, en de hele keten loggen, in plaats van simpelweg aan te nemen dat het betrouwbaar is.
Belangrijkste inzichten
1. AI-adoptie in security operations is sterk gestegen, maar het vertrouwen is niet meegegroeid.
Actief gebruik van generatieve AI onder securityprofessionals bereikte in 2026 78%, tegenover ongeveer de helft een jaar eerder, terwijl 63% nu aanzienlijke tekortkomingen meldt in AI-gedreven dreigingsdetectie en respons.
2. AI-gedreven aanvallen treffen nu de meeste organisaties.
De 2026 SANS AI-enquête vond dat 78% van de organisaties het afgelopen jaar AI-gedreven aanvallen detecteerde, waarvan 45% bevestigd en nog eens 33% vermoed maar niet bewezen.
3. Twee derde van de professionals is het afgelopen jaar minstens één keer misleid door AI-advies.
Negen procent gaf aan dat dit meer dan twintig keer gebeurde, wat aangeeft hoe vaak AI-uitvoer die zelfverzekerd klinkt uiteindelijk onjuist blijkt te zijn.
4. Aanvallersnelheid, niet de complexiteit van de aanvaller, verkort de reactietijd van verdedigers.
AI-ondersteunde inbraken kunnen binnen enkele minuten van het eerste toegangspunt naar laterale beweging gaan, waardoor de verblijftijd verdwijnt waarop detectiedrempels en wachtdiensten zijn gebaseerd.
5. Professionals geven mensgerichte controles de voorkeur boven AI-specifieke tools om AI-gedreven dreigingen te stoppen.
Gedragsdetectie, security awareness training, menselijke analistenreview en zero trust-architectuur scoren allemaal hoger dan gespecialiseerde AI-verdediging in de effectiviteitsranglijst van de enquête.
Je vertrouwt erop dat je organisatie veilig is. Maar kun je het verifiëren?
Lees nu
Adoptie loopt voor op betrouwbaarheid: het vertrouwensgat dat securityteams niet kunnen negeren
Het opvallende adoptiecijfer staat op zichzelf al. Actief gebruik van generatieve AI in cybersecuritywerk bereikte in 2026 78% van de professionals, tegenover ongeveer de helft een jaar eerder. In de praktijk betekent dit dat de meeste securityteams nu een deel van hun dagelijkse workflow via een AI-laag laten lopen, of dat nu een copilot is die een wachtrij met waarschuwingen samenvat, een model dat de ernst van kwetsbaarheden beoordeelt, of een assistent die de eerste versie van een incidentrapport opstelt.
De betrouwbaarheid bleef daarbij achter. Drieënzestig procent van de professionals meldt aanzienlijke tekortkomingen wanneer AI dreigingen detecteert of erop reageert, een aandeel dat ver boven het cijfer van een jaar eerder ligt. De fouten zijn geen willekeurige ruis — ze clusteren rond drie terugkerende patronen: false positives die analystentijd verspillen, moeite met het herkennen van nieuwe of onbekende dreigingen die niet in de trainingsdata voorkomen, en zelfverzekerde output die simpelweg fout blijkt te zijn.
Matt Bromiley, SANS-gecertificeerd instructeur en incident responder, beschreef waar professionals de grens trekken. “Onze data laat zien dat professionals AI gerust bedreigingen laten classificeren of kwetsbaarheden laten prioriteren, maar veel minder comfortabel zijn om AI een true positive te laten bevestigen of gedragsafwijkingen te laten beoordelen,” vertelde hij aan Help Net Security.
Dat onderscheid is belangrijk: het scheidt taken met een grote, goed gelabelde trainingsset van oordelen die afhangen van context waar een AI-model zelden volledig zicht op heeft. “Deze tools zijn goed in gestructureerde problemen en zwak in nieuwe, contextafhankelijke beslissingen,” aldus Bromiley. “Je ontwikkelt het instinct door het faalprofiel van een tool te leren kennen en te verifiëren in verhouding tot wat een fout je kost.”
Dat instinct — weten wanneer je het vertrouwen van een model moet accepteren en wanneer je het moet controleren — is precies de vaardigheid waarvan de enquête suggereert dat de sector die niet snel genoeg heeft opgeschaald. Adoptie ging sneller dan de benodigde security awareness training en risicobeoordeling om deze tools veilig te gebruiken, en dat gat zie je direct terug in de misleidingscijfers hieronder.
Wanneer AI-advies misleidt: de kosten van zelfverzekerde foute antwoorden
Een respondent vergeleek werken met AI-tools met het managen van een digitale stagiair — nuttig, soms scherp, maar altijd een tweede paar ogen nodig voordat iets naar buiten gaat. Bromiley schaart zich in hetzelfde kamp. “Ik kan het hier alleen maar mee eens zijn: ’twee keer meten, één keer knippen,'” zei hij. “Helaas zijn de meeste teams niet ingericht om dat instinct te ontwikkelen.”
De schaal van het probleem onderstreept de metafoor. Twee derde van de professionals is het afgelopen jaar minstens één keer misleid door AI-advies, en 9% zegt dat het meer dan twintig keer gebeurde. Dit is geen verhaal over AI die niet nuttig is. Het is een verhaal over AI die vaak genoeg zelfverzekerd fout zit dat verificatie in de workflow moet worden ingebouwd, in plaats van aan het individuele oordeel te worden overgelaten.
Zelfverzekerd foute output is een bijzonder risico in security operations omdat de kosten van handelen ernaar niet symmetrisch zijn. Een false positive kost een uur. Een gemiste true positive, die door een AI-systeem als onschuldig wordt bestempeld zonder dat iemand het dubbelcheckt, kan een actieve inbraak dagenlang onopgemerkt laten. De resulterende datalekblootstelling — vooral voor organisaties die PII, PHI of gereguleerde financiële gegevens verwerken — vergroot het beveiligingsfalen met meldings- en herstelverplichtingen die hun eigen tijdlijn volgen.
Een deel van het onderliggende probleem is data-oorsprong: modellen genereren zelfverzekerde antwoorden op basis van de context die ze krijgen, en als die context onvolledig, verouderd of afkomstig van niet-geverifieerde bronnen is, ziet de output er net zo gezaghebbend uit als wanneer de data schoon was. Hier kruisen gegevensbeheer en audittrail zich met AI-betrouwbaarheid — een analist kan het vertrouwen in de output van een model makkelijker kalibreren als hij precies kan traceren welke data het model heeft gezien en kan bevestigen dat niets in die keten is gemanipuleerd, verkeerd geclassificeerd of vanaf het begin fout was. Waar die traceerbaarheid ontbreekt, moeten teams het vertrouwen alleen op de output baseren, zonder de input te kunnen controleren.
Bromiley’s trainingsargument onderstreept dit punt. “Als instructeur kan ik bevestigen dat het klaslokaal meer doet dan mensen denken,” zei hij. “Je kunt faalmodi, instrumentatie, wat je moet verifiëren vóór actie en hoe je een systeem lang genoeg parallel laat draaien om te zien waar het afwijkt, onderwijzen. Wat je niet kunt doceren is calibratie, oftewel hoeveel twijfel een bepaalde output verdient. Goede training comprimeert die ervaring tot een plek waar fouten goedkoop zijn.” Training bouwt de checklist. Alleen ervaring — bij voorkeur onder toezicht en met lage inzet — bouwt het oordeel om die toe te passen onder druk.
De verkorte tijdlijn: hoe AI-ondersteunde aanvallen de reactietijd van verdedigers verkleinen
De offensieve kant van de enquête zet hier een deadline op. Bromiley beschreef een incident waarbij niet de techniek van de aanvaller doorslaggevend was, maar het tempo. “Ik werkte aan een incident waarbij het tempo ons verraste,” zei hij.
De inbraak begon als een toeleveringsketenrisicobeheer-falen: een malafide pakket dat via de software supply chain een aanvaller een toegangspunt gaf binnen een vertrouwde softwareomgeving. Vanaf daar ging de inbraak van interne verkenning naar laterale beweging binnen enkele minuten, waarbij de aanvaller snel achter elkaar scripts inzette. “Het tempo voelde hoog — de aanvaller bracht ook scripts in die duidelijk waren becommentarieerd en goede stap-voor-stap instructies hadden, wat typisch is voor een ‘vriendelijk AI-ontwikkeld script,'” aldus Bromiley.
Hij was voorzichtig met hoe ver hij die conclusie trok. “Ik zou voorzichtig zijn met attributie. We beoordeelden die scripts als waarschijnlijk AI-gegenereerd op basis van hun structuur en de snelheid van iteratie, niet omdat we bewijs vonden,” zei hij.
Dat onderscheid sluit aan bij hoe de enquête de cijfers zelf presenteert: van de 78% van de organisaties die AI-gedreven aanvallen melden, bevestigde 45% het met bewijs en 33% vermoedde het alleen.
Het incident van Bromiley valt in de tweede groep — een redelijke aanname, geen forensische zekerheid, en de auteurs van de enquête zijn expliciet over het handhaven van die grens.
Wat hij verdedigers wil meegeven is niet de attributievraag — het is de rekensom. “Wat veranderde was het ritme. Verkenning naar laterale beweging geeft verdedigers normaal tijd omdat het traag en handmatig is. Hier leverde het nauwelijks tijd op,” aldus Bromiley. “Detectiedrempels en wachtdiensten gaan uit van enige verblijftijd van de aanvaller, en die aanname wordt nu verkleind.”
Verkenning naar laterale beweging is normaal het traagste, meest handmatige stadium van een inbraak, en de vertraging die het oplevert is het venster dat een securityteam doorgaans gebruikt om bij te komen. Als die vertraging verdwijnt, verdwijnt ook de foutmarge.
Advanced persistent threats die draaien op AI-ondersteunde tools hoeven geen nieuwe techniek te gebruiken om gevaarlijk te zijn — ze hoeven alleen sneller te bewegen dan het reactieproces aankan. Een SIEM-platform dat realtime egress- en laterale bewegingstelemetrie verwerkt, is de detectielaag die verkorte verblijftijd omzet van een onoverkomelijk snelheidsnadeel naar een zichtbaar, te signaleren alarm.
Waar professionals op vertrouwen: gedragsdetectie, menselijke review en zero trust winnen
Terugkijkend op het incident somde Bromiley op wat het team graag op orde had gehad voordat het eerste alarm afging. “Ze wilden een nauwkeurige inventaris van hun software supply chain, egress-logging die de verkenningsfase realtime zichtbaar maakte, en serviceaccounts met beperkte reikwijdte zodat het toegangspunt niet zo ver kon reiken als nu, wat overeenkomt met de enquête-uitkomsten,” zei hij.
Deze drie prioriteiten sluiten direct aan bij wat de bredere enquête vond toen werd gevraagd welke controles professionals het meest vertrouwen tegen AI-gedreven dreigingen. Gedragsdetectie, security awareness training, menselijke analistenreview en zero trust-architectuur staan bovenaan. Gespecialiseerde AI-specifieke tooling staat onderaan. “Gedragsdetectie werkt omdat het kijkt naar wat een aanvaller doet, niet naar wat het script heeft geschreven,” aldus Bromiley. “Snelheid vereist geen nieuwe tegenmaatregel; het haalt juist de speling weg die teams in staat stelt te improviseren als er iets ontbreekt.”
Het patroon is duidelijk: verdedigers vertrouwen controles die beperken wat een aanvaller — menselijk of AI-ondersteund — daadwerkelijk kan doen binnen een omgeving, boven controles die proberen de tools van de aanvaller te slim af te zijn.
Een toegangscontrole-model gebaseerd op least privilege en rolgebaseerde toegangscontrole beperkt hoe ver een gecompromitteerd serviceaccount kan komen, ongeacht hoe snel de aanvaller beweegt. Op attributen gebaseerde toegangscontrole (ABAC) voegt de contextbewuste laag toe die RBAC alleen niet kan bieden: toegangsbeslissingen die gelijktijdig bij elk verzoek de gevoeligheid van de content, de gebruikersrol en de status van het apparaat evalueren, zodat een gecompromitteerd account buiten zijn normale gedragsprofiel een beleidsblokkade triggert in plaats van alle bestaande rechten te erven.
Risicobeheer door derden dat een accurate inventaris van de software supply chain bijhoudt, dicht precies het gat waardoor het malafide pakket van Bromiley ongezien binnenkwam. Geen van deze zijn AI-specifieke verdedigingsmaatregelen. Het zijn fundamentele beveiligingscontroles die overeind blijven, ongeacht of de aanvaller een persoon of een script is.
Gekalibreerd scepticisme opbouwen: training, governance en de mens-in-de-loop
De centrale conclusie van de enquête is dat de sector een calibratieprobleem heeft, geen intelligentieprobleem. AI-systemen zijn goed genoeg om te vertrouwen met gestructureerde, duidelijk afgebakende taken, maar nog niet goed genoeg voor oordelen die volledige context vereisen. De professionals die hier goed mee omgaan, zijn niet degenen die AI vermijden — het zijn degenen die, vaak door schade en schande, hebben geleerd welke output een tweede blik nodig heeft en welke niet.
Die calibratie ontstaat niet in een vacuüm. Ze hangt af van het vermogen van de analist om te zien wat de AI zag: welke data het model voedde, of die data actueel en geverifieerd was, en wie er nog meer bij kon voordat het model ermee werkte.
Hier wordt governance meer dan een compliance-oefening; het wordt een betrouwbaarheidsinstrument. AI-gegevensbeheer dat beleid afdwingt op het moment dat content een model bereikt — in plaats van achteraf — verkleint de kans dat een AI-systeem een zelfverzekerd antwoord genereert op basis van verouderde, ongeautoriseerde of gemanipuleerde data.
Dataclassificatie toegepast op de content die AI-systemen mogen benaderen is de noodzakelijke controle: een governance-laag kan geen gedifferentieerd toegangsbeleid afdwingen op data die niet is gecategoriseerd. Kiteworks Compliant AI past precies dit soort controle toe op de data-naar-AI-grens. Het filtert en beheert welke content generatieve en agentic systemen kunnen bereiken, zodat het antwoord dat een analist ziet gebaseerd is op content die daadwerkelijk is geverifieerd, niet op wat het model toevallig vond.
Hetzelfde principe geldt voor agentic AI. Naarmate securityteams AI-agenten direct verbinden met interne systemen en datastores via protocollen als MCP, blijft de calibratie-uitdaging van Bromiley bestaan — sterker nog, hij wordt groter, want een agent die op basis van verkeerde context handelt, kan actie ondernemen in plaats van alleen advies geven.
Een Secure MCP Server die bepaalt wat een agent mag lezen, elke toegang logt en dezelfde beleidscontroles afdwingt als voor menselijke gebruikers, geeft securityteams een manier om gekalibreerd vertrouwen uit te breiden naar autonome systemen, op dezelfde manier als Bromiley beschrijft voor menselijke analisten: door het faalprofiel te kennen, daarop te instrumenteren en te verifiëren in verhouding tot de kosten van een fout.
Het gereedheidsgat dichten: governance als de ontbrekende laag
De auteurs van de enquête zien de komende 12 maanden als een test of organisaties het gereedheidsgat kunnen dichten ten opzichte van de AI-inzet waar ze zich al aan hebben gecommitteerd. Drie prioriteiten springen eruit: validatie die daadwerkelijk precisie en recall meet in plaats van leveranciersclaims, governance die wordt geïntegreerd in de dagelijkse controles van analisten in plaats van alleen in beleidsdocumenten, en personeelsontwikkeling die als een directe operationele noodzaak wordt behandeld in plaats van als een trainingsbudget voor volgend jaar.
Het incident van Bromiley maakt de urgentie concreet. Het tempo van een AI-ondersteunde inbraak neemt precies de tijd weg die verdedigers het afgelopen jaar hebben gebruikt om hun instincten te ontwikkelen.
Dat gat dichten is geen kwestie van een betere AI-detectietool kopen — de enquête is duidelijk dat AI-specifieke controles onderaan staan in het vertrouwen van professionals. Het gaat erom de ruimte te verkleinen waarin zelfverzekerd foute output, of die nu van de tools van een aanvaller of van de eigen AI-assistent van een verdediger komt, schade kan aanrichten voordat een mens het opmerkt.
Gegevensbeheer dat content verifieert voordat het een model bereikt, audittrail-zichtbaarheid in wat een AI-systeem daadwerkelijk heeft benaderd, en toegangscontroles die de impact beperken, verkleinen allemaal dat venster.
Een gedocumenteerd incident response plan dat expliciet het scenario “AI-agent handelde op basis van verkeerde context” modelleert — met gedefinieerde rollbackprocedures en menselijke escalatiedrempels — is de operationele aanvulling op de governance-architectuur: het bepaalt wat er na detectie gebeurt, niet alleen hoe detectie werkt.
Geen van deze maatregelen vervangt de sceptische analist waar de enquête steeds op terugkomt. Ze geven die analist iets betrouwbaars om sceptisch over te zijn.
Wil je meer weten over hoe je regelt welke data je AI-systemen bereiken en hoe je een verifieerbare audittrail van elke toegang bijhoudt? Plan vandaag nog een persoonlijke demo.
Veelgestelde vragen
De 2026 SANS AI-enquête ondervroeg 536 IT- en securityprofessionals over hoe zij generatieve AI inzetten in cybersecurity en hoe betrouwbaar die AI in de praktijk is gebleken. Er wordt gemeten hoe snel AI wordt geadopteerd, waar professionals AI-output vertrouwen versus waar ze handmatig verifiëren, hoe vaak AI-advies hen heeft misleid, en hoe organisaties AI-gedreven aanvallen ervaren. De bevindingen sluiten nauw aan bij het soort risicobeoordeling en gegevensbeheer dat bepaalt of AI-inzet in de eerste plaats betrouwbaar is. Organisaties die onderworpen zijn aan nalevingsverplichtingen — HIPAA, GDPR, CMMC — moeten de bevindingen over data-oorsprong uit de enquête als direct toepasbaar beschouwen: dezelfde governancegaten die zelfverzekerd foute AI-output in een SOC-context veroorzaken, zijn de gaten die gereguleerde data blootstellen aan AI-gerelateerde risico’s.
Professionals vertrouwen AI vooral bij gestructureerde, goed gelabelde problemen zoals het classificeren van dreigingen of het prioriteren van kwetsbaarheden, waarbij veel trainingsdata beschikbaar is en de taak duidelijke juiste antwoorden kent. Het bevestigen van een true positive of het beoordelen van een gedragsafwijking vereist contextafhankelijke oordeelsvorming waar AI-modellen slecht mee omgaan, wat verklaart waarom 63% van de respondenten aanzienlijke tekortkomingen meldt in AI-gedreven detectie en respons. Sterke toegangscontroles en geverifieerde data-oorsprong helpen dat gat te verkleinen door ervoor te zorgen dat AI redeneert over accurate, actuele informatie. Dataminimalisatie op wat AI-systemen mogen benaderen — elk model beperken tot de minimale data die nodig is voor de toegewezen taak — verkleint ook het oppervlak waarop zelfverzekerd foute antwoorden operationele schade kunnen veroorzaken.
In het incident dat Bromiley beschreef, ging een supply chain-compromittering binnen enkele minuten van het eerste toegangspunt naar laterale beweging, in plaats van de dagen of weken die handmatige verkenning normaal kost. Detectiedrempels en wachtdiensten zijn gebaseerd op de aanname van verblijftijd van de aanvaller, en AI-ondersteunde tools nemen veel van die buffer weg. Minder afhankelijk zijn van die buffer vereist controles zoals zero trust-architectuur en egress-zichtbaarheid die niet afhankelijk zijn van het betrappen van een aanvaller tijdens de verkenning. Een SIEM met realtime telemetrie-inname en gedragsbaselining is de detectie-infrastructuur die de verkorte verblijftijd omzet van een overweldigend snelheidsvoordeel naar een gemarkeerde afwijking — organisaties die deze zichtbaarheid missen, zijn structureel blind voor het aanvalspatroon dat de enquête beschrijft.
Gedragsdetectie, security awareness training, menselijke analistenreview en zero trust-architectuur scoren het hoogst in vertrouwen van professionals, terwijl AI-specifieke tools onderaan staan. De gemene deler is dat deze controles beperken wat een aanvaller daadwerkelijk kan doen binnen een omgeving, in plaats van te proberen de tools van de aanvaller te slim af te zijn. Risicobeheer door derden, waaronder een accurate inventaris van de software supply chain, komt ook duidelijk naar voren in wat professionals nodig achten. ABAC-beleid dat bij elk verzoek de gevoeligheid van de content en de gebruikerscontext evalueert — niet alleen bij de eerste authenticatie — is de toegangscontrole-implementatie die de least-privilege handhaving levert waarop de best beoordeelde controles uit de enquête zijn gebaseerd.
AI-systemen genereren zelfverzekerde antwoorden op basis van de context die ze krijgen, en als die context verouderd, niet geverifieerd of ongeautoriseerd is, ziet de output er net zo gezaghebbend uit als bij schone data. Governance afdwingen op het moment dat content een model bereikt — via tools als Kiteworks Compliant AI en een beheerde Secure MCP Server voor agentic toegang — geeft analisten een verifieerbare audittrail van wat de AI daadwerkelijk heeft gezien, waardoor het makkelijker wordt om te kalibreren hoeveel vertrouwen een bepaalde output verdient. Een gedocumenteerd incident response plan dat AI-agent-misfirescenario’s dekt — inclusief het draaiboek voor wanneer een AI-systeem handelde op basis van verkeerde of ongeautoriseerde data — is de operationele laag die die governance-infrastructuur omzet van een preventieve controle naar een volledige responsmogelijkheid.
Aanvullende bronnen
- Blog Post
Zero‑Trust-strategieën voor betaalbare AI-privacybescherming - Blog Post
Hoe 77% van de organisaties faalt in AI-gegevensbeveiliging - eBook
AI Governance Gap: Waarom 91% van de kleine bedrijven Russisch roulette speelt met gegevensbeveiliging in 2025 - Blog Post
Er is geen “–dangerously-skip-permissions” voor je data - Blog Post
Toezichthouders zijn klaar met vragen of je een AI-beleid hebt. Ze willen bewijs dat het werkt.