Artificial intelligence is niet langer alleen verantwoordelijk voor het veranderen van de manier waarop applicaties worden ontwikkeld of taken worden geautomatiseerd. Het wijzigt ook de manier waarop beveiligingslekken in software worden opgespoord. Gartner plaatst het ontdekken van kwetsbaarheden met behulp van AI als het belangrijkste opkomende risico voor organisaties in het tweede kwartaal van 2026, nog vóór agentgerichte AI, kwesties rond gegevensintegriteit of het voorbereiden van sjablonen.
De kernpunten over AI en kwetsbaarheden in 20 seconden
- Gartner plaatst voor het eerst het detecteren van kwetsbaarheden via AI op de eerste plek van haar opkomende risico’s.
- Het onderzoek verzamelde antwoorden van 316 leiders en risicomanagers.
- Agentgerichte AI stijgt naar de derde positie.
- Het risico ontstaat wanneer het detecteren van fouten sneller verloopt dan de validatie en patching ervan.
- Voor IT-afdelingen kan dit de weg versnellen naar een meer continue en geautomatiseerde kwetsbaarheidsbeheer.
Het rapport is vooral relevant voor systeem-, beveiligings- en ontwikkelingsverantwoordelijken, omdat het wijst op een schaalvergroting. AI-tools kunnen grote hoeveelheden code analyseren, kwetsbare patronen opsporen en delen van het werk automatiseren dat vroeger veel tijd van specialisten vergde.
Dit komt ook ten goede aan beschermende teams. Het probleem ontstaat wanneer de snelheid waarmee fouten worden gevonden groter wordt dan de organisatie aankan om ze te controleren, prioriteren en de benodigde correcties uit te voeren.
De nieuwe knelpunt kan liggen in het corrigeren, niet in het vinden
Gartner baseerde haar rapport op een enquête onder 316 senior verantwoordelijken voor risico’s en leidinggevenden uit diverse sectoren en regio’s, uitgevoerd in april en mei 2026.
De uitkomst laat een zeer technologisch gedreven toplijst zien:
| Positie | Opkomend risico | Vorige positie |
|---|---|---|
| 1 | Detectie van kwetsbaarheden via AI | Nieuw |
| 2 | Geopolitieke crises in de energievoorziening | Nieuw |
| 3 | Agentgerichte AI | 4 |
| 4 | Gegevensintegriteit | 1 |
| 5 | Voorbereiding van personeel op AI | 5 |
Het eerste risico betekent niet dat elk AI-model automatisch kritieke kwetsbaarheden kan ontdekken en onmiddellijk aanvallen kan uitvoeren.
Het proces bestaat uit meerdere fasen: een potentieel kwetsbaar gedrag identificeren, aantonen dat er echt een probleem is, de getroffen versies bepalen, mogelijke exploits onderzoeken en een oplossing ontwikkelen.
Het verschil is dat een deel van dat proces nu op schaal kan worden geautomatiseerd, wat moeilijk of onmogelijk zou zijn met alleen menselijke analyses.
Google bijvoorbeeld, heeft systemen gedocumenteerd die AI gebruiken om kwetsbaarheden in softwareprojecten op te sporen. Het bedrijf werkt samen met initiatieven zoals Big Sleep en OSS-Fuzz en ontwikkelt ook CodeMender, gericht op het inzetten van AI-agenten om te helpen bij het repareren van kwetsbaarheden.
De paradox is dat betere tools voor het opsporen van fouten initially kunnen leiden tot een toename van bekende kwetsbaarheden.
Vanuit het perspectief van een systeembeheerder is dat niet per se slecht nieuws. Een fout die wordt ontdekt en gecorrigeerd voordat deze wordt uitgebuit, is beter dan een kwetsbaarheid die jaren verborgen blijft in een bibliotheek die door duizenden applicaties wordt gebruikt.
Het echte probleem ontstaat wanneer de capaciteit om kwetsbaarheden te ontdekken groter wordt dan de capaciteit om ze te corrigeren.
Van patchcycli naar een meer continue beveiliging
Veel bedrijven beheersten kwetsbaarheden jarenlang volgens relatief voorspelbare processen: periodieke scans, risicobeoordelingen, tests, onderhoudsvensters en het uitrollen van updates.
AI kan dit model onder druk zetten.
Als agents repositories, dependencies, firmware en applicaties continu gaan controleren, kan het volume van potentiële bevindingen sterk toenemen. Beveiligingsteams zullen dan moeten bepalen welke bevindingen echt risico vormen.
Dit maakt prioritering steeds belangrijker.
Een kritieke kwetsbaarheid in een bibliotheek die op honderden servers aanwezig is, hoeft niet altijd te exploiteren in iedere configuratie. Tegelijkertijd kan een minder belangrijk probleem dat zich bevindt in een direct internet-exposed service, onmiddellijke actie vereisen.
De ernstscore blijft nuttig, maar moet worden aangevuld met informatie over blootstelling, configuratie, bekende exploits en de relevantie van het actief.
Gartner benadrukt de noodzaak om responsstrategieën te versnellen, oplossingen te verbeteren en te herzien hoe risico’s worden geëvalueerd in een wereld waar ontdekking voortdurend plaatsvindt.
Voor IT-afdelingen betekent dit een grotere integratie tussen activa beheer, software-inventaris, kwetsbaarhedanalyses, ontwikkeling en geautomatiseerd patchen.
Daarnaast wordt het nog belangrijker om precies te weten welke software binnen de infrastructuur aanwezig is.
Het vinden van een kwetsbaarheid heeft weinig nut als een organisatie dagen nodig heeft om te achterhalen op welke servers de getroffen bibliotheek draait.
AI ook inzet voor verdedigingswerk
Dezelfde technologie die zorgen baart bij risicomanagers, kan ook worden gebruikt om de beveiliging te versterken.
AI-agenten kunnen helpen bij het controleren van code, analyseren van dependencies, identificeren van gevaarlijke configuraties, genereren van tests en voorstellen voor oplossingen. Dit opent de deur voor gelijktijdige ontdekking en remediering.
Het technische doel kan uiteindelijk liggen in een cyclus die steeds meer geautomatiseerd wordt:
detecteren → valideren → prioriteren → corrigeren → testen → uitrollen.
Menselijke interventie blijft nodig. Vooral bij kritieke infrastructuren of zakelijke applicaties is het essentieel om te controleren dat patches geen bijkomende problemen veroorzaken.
Het bijwerken van een bibliotheek in een moderne webapp is niet hetzelfde als het wijzigen van industriële software, legacy-systemen of platforms die 24/7 in bedrijf moeten blijven.
Hier ligt een ander bekend probleem voor systeembeheerders: legacy-software.
Veel bedrijven blijven oude applicaties draaien die afhankelijk zijn van verouderde bibliotheken, niet-ondersteunde versies of componenten die niet eenvoudig kunnen worden geüpdatet. Automatisch meer kwetsbaarheden vinden in deze omgevingen maakt probleemoplossing niet eenvoudiger.
Wanneer directe patching niet mogelijk is, krijgen maatregelen zoals netwerksegmentatie, service-isolatie, minimale privileges, verkeerscontrole en vermindering van het blootgestelde oppervlak extra gewicht.
Agentgerichte AI als nieuwe risicofactor
Het rapport geeft een andere belangrijke indicatie voor de techsector. Agentgerichte AI stijgt van de vierde naar de derde plek op de lijst van opkomende risico’s.
Hier verandert de zorg.
Agents kunnen tools gebruiken, toegang krijgen tot applicaties, databases raadplegen en acties uitvoeren. Hoe autonomer ze worden, des te belangrijker worden permissies en controlemechanismen.
Voor systeemteams is een bekende vraag, al vóór de komst van AI: wat kan een identiteit binnen de infrastructuur doen?
Een agent met te veel permissies kan een probleem worden, ongeacht of zijn verkeerd gedrag het gevolg is van een aanval, een verkeerd geïnterpreteerde instructie of een slechte configuratie.
De traditionele beveiligingsprincipes blijven van kracht: minimale privileges, scheiding van functies, activiteitentracering, tijdelijke credentials en monitoring van kritieke operaties.
Het verschil is dat identiteiten niet langer alleen betrekking hebben op mensen, services en applicaties. Organisaties moeten ook agents managen die volledige operaties kunnen uitvoeren.
Gartner noemt daarnaast gegevensintegriteit» als vierde op de lijst en de onvoorbereidheid van sjablonen op AI als vijfde. Drie van de vijf belangrijkste opkomende risico’s zijn dus direct gerelateerd aan deze technologie.
Voor IT-teams is de boodschap minder toekomstgericht dan het lijkt. AI versnelt bestaande processen: het opsporen van fouten, software-analyse, besluitvorming en actie ondernemen.
De infrastructuur moet gelijke tred houden door haar controlemechanismen te versnellen.
Veelgestelde vragen
Kan AI automatisch kwetsbaarheden in software opsporen?
Er bestaan al systemen die helpen bij het lokaliseren van kwetsbaarheden en potentieel onveilige gedragingen in code. Maar het vinden van een mogelijk lek betekent niet automatisch dat het uit te buiten is en blijft validatie noodzakelijk.
Waarom beschouwt Gartner dit als een risico?
Omdat de geautomatiseerde capaciteiten om kwetsbaarheden te ontdekken mogelijk sneller voortschrijven dan de processen van bedrijven om ze te analyseren en te corrigeren.
Kan AI ook worden ingezet om kwetsbaarheden op te lossen?
Zeker. Een ontwikkelingsgebied is het gebruik van agenten die code analyseren, patches voorstellen en correcties verifiëren. Organisaties zoals Google doen hier al onderzoek naar.
Wat betekent dit voor systeembeheerders en IT-teams?
Het vereist een accuraat overzicht van software-activiteiten, prioriteiten stellen op basis van echte blootstelling, en de tijd verkorten voor testen en implementeren van updates.