116 techbedrijven waarschuwen voor AI-cyberaanvallen — maar er is kritiek

TL;DR

• Wat: 116 techbedrijven, waaronder OpenAI, Google en Microsoft, publiceerden een open brief die oproept tot collectieve actie tegen AI-gestuurde cyberaanvallen.
• Waarom relevant: AI maakt cyberaanvallen sneller en gerichter — ook voor het MKB. De brief erkent dat huidige beveiligingspraktijken niet meer volstaan.
• Wat je ermee kunt: Bekijk of jouw cybersecuritymaatregelen nog passen bij de dreigingen van vandaag, zeker nu de Cyberbeveiligingswet (NIS2) per 15 augustus 2026 van kracht is.

Op 27 augustus 2026 publiceerden meer dan 116 organisaties — van OpenAI en Anthropic tot CrowdStrike en Mastercard — een gezamenlijke open brief onder de titel "A Call for Collective Action on Cyber Defense". Ik viel erover omdat het een ongebruikelijke combinatie is: AI-bouwers, cloudproviders, cybersecuritybedrijven én financiële instellingen die samen zeggen dat de huidige beveiliging niet meer voldoet. Tegelijkertijd verscheen er een scherpe reactie van @the_hulster op X, en ook vanuit de securitywereld klinkt er stevige kritiek.

Wat staat er in de brief?

De kern van de open brief draait om drie principes:

1. Erken dat de huidige beveiligingspraktijken niet genoeg zijn. De ondertekenaars waarschuwen dat AI-gestuurde cyberaanvallen "in de komende maanden veel wijdverbreider en geavanceerder" zullen worden.
2. Geef verdedigers toegang tot AI-tools. Denk aan AI die verdachte patronen in netwerkverkeer herkent, of die phishingmails filtert voordat een medewerker ze opent.
3. Mobiliseer een collectief antwoord. Samenwerking tussen bedrijfsleven, overheid en internationale partners.

De brief benoemt expliciet dat kritieke infrastructuur — ziekenhuizen, waterzuiveringsinstallaties, internetinfrastructuur — kwetsbaar is. Het citaat dat eruit springt: "We have a limited window to strengthen cyber defenses."

Wat mij opvalt: de brief noemt geen concrete budgetten, geen deadlines en geen harde afspraken. Het blijft bij een oproep om "full weight" in te zetten, zonder meetbare verplichtingen.

De kritiek: brandstichter verkoopt brandblussers

De reactie van The Register vatte het bondig samen: de industrie die het probleem heeft gebouwd, biedt nu aan om je de oplossing te verkopen. En dat is geen onredelijk punt.

De bedrijven die deze brief ondertekenden zijn in veel gevallen dezelfde partijen die steeds krachtigere AI-modellen ontwikkelen. OpenAI, Anthropic en Google bouwen de frontier-modellen die aanvallers straks inzetten. Tegelijkertijd lanceren ze verdedigingsproducten — OpenAI met Daybreak, Anthropic met Mythos, Microsoft met het Perception-platform.

Security-expert John Gallagher verwoordde het volgens Security Magazine zo: "The purpose of the letter does seem to be for self-serving PR and perhaps to pre-emptively shift liability from the frontier AI developer to the organizations about to be attacked. Kind of like an arsonist selling fire extinguishers."

Ik vind dat een stevige uitspraak, maar ik snap de redenering. Als je zelf de technologie bouwt die aanvallen mogelijk maakt, en vervolgens zegt "koop onze verdediging", dan roept dat vragen op over motieven.

Nuance is hier wel op z'n plaats

Tegelijkertijd denk ik dat het te simpel is om de brief alleen als marketingactie af te doen. Het feit dát deze partijen publiekelijk erkennen dat hun eigen technologie een dreigingsvector is, heeft waarde. De vraag is alleen: volgen er daden?

Chris Hughes, een andere securityanalist geciteerd door Security Magazine, wijst op een fundamenteel probleem: "We unfortunately can't call to action or will our way to better security, there needs to be sufficient market and regulatory incentives to change the behavior of business." Met andere woorden: een brief schrijven is niet genoeg — er moeten echte prikkels zijn.

Wat betekent dit voor een Nederlands bedrijf?

Voor wie denkt dat dit een Amerikaans verhaal is: de cijfers dichter bij huis vertellen een vergelijkbaar verhaal. Volgens onderzoek van Awareways wordt in 2026 één op de vijf Nederlandse organisaties geraakt door een cyberincident. Phishing is nog altijd de meestgebruikte aanvalsmethode (64 procent van de getroffen bedrijven), en de gemiddelde tijd tussen het binnendringen en echte schade is nog maar 29 minuten.

Daar komt bij: de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van de Europese NIS2-richtlijn, is op 15 augustus 2026 in werking getreden. Die raakt ruim 8.000 organisaties in achttien sectoren. Als je bedrijf in een van die sectoren valt, ben je wettelijk verplicht om je cybersecurity op orde te hebben.

Kun je je voorstellen wat er gebeurt als AI-gestuurde phishingmails niet meer te onderscheiden zijn van echte berichten van je leverancier of bank? Dat is waar deze brief het over heeft — en dat is geen toekomstmuziek meer.

Concreet: drie vragen om jezelf te stellen

De open brief geeft geen stappenplan voor het MKB, maar op basis van wat ik lees zijn er drie vragen die ik relevant vind:

• Hoe oud is je huidige beveiligingsaanpak? Als je securitybeleid van vóór 2024 is en sindsdien niet is herzien, loop je waarschijnlijk achter op de dreigingen.
• Val je onder de Cyberbeveiligingswet? Check of jouw sector erbij hoort. De wet geldt breder dan veel ondernemers verwachten.
• Wie in je organisatie is verantwoordelijk voor cybersecurity? Als het antwoord "niemand specifiek" is, is dat op zich al een signaal.

Wat vind ik hiervan?

Ik vind het eerlijk gezegd een gemengd signaal. Aan de ene kant is het goed dat meer dan honderd organisaties publiekelijk zeggen: de dreigingen worden groter en we moeten samenwerken. Dat is op zichzelf zinvol, zeker als het druk legt op beleidsmakers en bij ondernemers awareness creëert.

Aan de andere kant mis ik concrete verplichtingen. Geen cijfers over investeringen, geen tijdslijnen, geen onafhankelijk toezicht. De kritiek dat het deels een verkooppraatje is voor nieuwe AI-beveiligingsproducten is niet ongegrond.

Voor mij is dit vooral een signaal dat cybersecurity niet langer iets is wat je "erbij doet" of uitbesteedt aan een IT-leverancier zonder er verder over na te denken. De wereld waarin AI-tools breed beschikbaar zijn voor zowel verdedigers als aanvallers, is er nu — niet over vijf jaar.