128 techbedrijven waarschuwen voor AI-cyberaanvallen — en de kritiek

TL;DR

• Wat: 128 organisaties — waaronder OpenAI, Anthropic, Google en Microsoft — publiceerden een open brief die oproept tot collectieve cyberverdediging tegen AI-gestuurde aanvallen.
• Waarom relevant: Als ondernemer ben je doelwit, en de bedrijven die de dreiging vergroten bieden nu ook de oplossing aan.
• Wat je ermee kunt: Controleer of je bedrijf een actueel responsplan voor cyberincidenten heeft — uit onderzoek blijkt dat slechts 26 procent van het MKB dat op orde heeft.

Op 27 augustus 2026 verscheen er een open brief ondertekend door meer dan honderd organisaties: van AI-bedrijven tot cybersecurityfirma's en financiële instellingen. Ik viel erover omdat het een zeldzame combinatie is — directe concurrenten die samen één waarschuwing uitbrengen. Maar de reacties erop zijn minstens zo interessant als de brief zelf.

Wat staat er in de brief?

De brief, gepubliceerd via OpenAI onder de titel "A Call for Collective Action on Cyber Defense", draagt de handtekeningen van onder meer Anthropic, Google, Microsoft, AWS, CrowdStrike, Cloudflare, Oracle, Cisco, Shopify en Mastercard. De kernboodschap is bondig: "We have a limited window to strengthen cyber defenses."

De ondertekenaars formuleren drie principes:

1. Huidige beveiliging volstaat niet. Legacy-systemen bevatten opgestapelde kwetsbaarheden die niet bestand zijn tegen geautomatiseerde aanvallen.
2. Verdedigers moeten AI-tools inzetten. Organisaties met beperkte securitycapaciteit zouden AI-gedreven bescherming moeten adopteren.
3. Samenwerking is noodzakelijk. Concurrenten moeten dreigingsinformatie delen en gezamenlijk standaarden verhogen.

Wat mij opvalt: de brief richt zich niet alleen op de techsector. Ziekenhuizen, waterzuiveringsinstallaties en andere vitale infrastructuur worden expliciet genoemd als doelwit. De boodschap is dat AI-gestuurde cyberaanvallen "in de komende maanden" veel wijdverbreider en geavanceerder worden.

De tegenreactie: wie creëerde het probleem?

De brief was nog geen dag oud of de kritiek volgde. Op X deelde @the_hulster een "Open Reply" aan de ondertekenaars. En The Register kopte treffend: "Industry that built the problem offers to sell you the solution."

De kern van de kritiek draait om een ongemakkelijke spanning:

• De AI-bedrijven die waarschuwen voor AI-cyberaanvallen zijn dezelfde bedrijven die steeds krachtigere modellen bouwen — modellen die diezelfde aanvallen mogelijk maken.
• Rond de publicatie van de brief lanceerden meerdere ondertekenaars betaalde defensieve AI-producten. Volgens TechCrunch brachten OpenAI en Anthropic producten als respectievelijk Daybreak en Mythos uit, precies in deze periode.
• De brief bevat geen concrete bedragen, bindende afspraken of deadlines. Bedrijven worden gevraagd hun "full weight" in te zetten, maar dat is vrijblijvend.

Ik vind het eerlijk gezegd begrijpelijk dat die kritiek er is. Als dezelfde partij zowel de dreigingsbron als de oplossing levert, mag je daar vraagtekens bij zetten. Tegelijkertijd denk ik dat de waarschuwing op zichzelf wél serieus is — alleen het aanbod om het op te lossen is minder neutraal dan het lijkt.

Opvallende afwezigen

Meerdere bronnen melden dat Meta, Nvidia en Apple de brief niet hebben ondertekend. Waarom niet is onduidelijk, maar het valt op bij een initiatief dat "collectief" heet.

Wat betekent dit voor het Nederlandse MKB?

Dit is het deel dat ik het meest relevant vind voor ondernemers die dit lezen. Want de brief gaat over wereldwijde dreigingen, maar de kwetsbaarheid zit dicht bij huis.

Uit het ABN AMRO Cybertrends-rapport van juni 2026 blijkt dat het Nederlandse MKB niet klaar is voor nieuwe digitale risico's. Een paar cijfers:

• 26 procent van de MKB-bedrijven heeft een formeel responsplan voor cyberincidenten.
• 43 procent heeft nog nooit een cyberaanval geoefend.
• Nauwelijks een derde voerde het afgelopen jaar een risicoscan uit.
• De gemiddelde tijd tussen een inbraak en daadwerkelijke schade is nog maar 29 minuten.

Kun je je voorstellen wat dat betekent als je een webshop runt, een accountantskantoor hebt, of een productiebedrijf? Negenentwintig minuten. Dat is minder dan een lunchpauze.

De open brief van die 128 bedrijven spreekt over AI-versnelde aanvallen. Maar de realiteit is dat veel MKB-bedrijven niet eens beschermd zijn tegen de huidige generatie dreigingen — laat staan tegen wat er aankomt.

Moet je nu iets doen?

Ik denk dat de waarde van deze brief niet zit in wat de ondertekenaars beloven, maar in het feit dát ze het zo openlijk zeggen. Als 128 organisaties — inclusief de bedrijven die de modellen bouwen — zeggen dat het venster om je verdediging op orde te brengen beperkt is, dan is dat op zijn minst een signaal om serieus te nemen.

Wat ik niet zou doen: in paniek een AI-beveiligingsproduct aanschaffen omdat een open brief dat suggereert. Wat ik wél zou overwegen:

• Heeft je bedrijf een incident-responsplan? Niet een document dat ergens in een la ligt, maar een plan dat mensen kennen en dat getest is.
• Wanneer is je laatste risicoscan gedaan? Als het antwoord "weet ik niet" is, is dat een antwoord op zich.
• Wie is verantwoordelijk voor cybersecurity? Bij veel kleinere bedrijven is dat "niemand specifiek". Dat is een kwetsbaarheid die geen AI-product oplost.

Dit zijn geen dure maatregelen. Het zijn basisstappen die weinig kosten maar veel schade kunnen voorkomen.

Een brief met twee gezichten

Voor mij is deze brief vooral een document met twee gezichten. Aan de ene kant een legitieme waarschuwing: AI maakt cyberaanvallen goedkoper, sneller en toegankelijker voor kwaadwillenden. Dat is een feit dat door meerdere onafhankelijke bronnen wordt bevestigd.

Aan de andere kant is het ook een stuk positionering. De bedrijven die het probleem mede veroorzaken, presenteren zich nu als de oplossing — en lanceren daar producten bij. Dat maakt de brief niet onwaar, maar het maakt hem ook niet onpartijdig.

Wat ik er vooral uit meeneem: de urgentie is reëel, ongeacht wie de afzender is. En die urgentie geldt niet alleen voor multinationals met een eigen SOC-team, maar juist voor het bedrijf met twintig medewerkers dat denkt dat het te klein is om een doelwit te zijn.