AI-modellen krijgen een cybersecurity-rapportcijfer

TL;DR

• Wat: Artificial Analysis lanceert de Cyber Index, een benchmark die meet hoe goed AI-modellen kwetsbaarheden in bedrijfssystemen vinden, valideren en dichten — samen met IBM, Nvidia, Vercel en Collinear.
• Waarom relevant: Als ondernemer wil je weten welk AI-model daadwerkelijk helpt bij cyberverdediging, niet welk model het beste marketingverhaal heeft.
• Wat je ermee kunt: Bij de keuze voor AI-tools voor cybersecurity kun je straks vergelijken op basis van onafhankelijke scores in plaats van leveranciersclaims.

Ik viel over een aankondiging van Artificial Analysis: ze lanceren een Cyber Index die AI-modellen beoordeelt op hun vermogen om bedrijven te verdedigen tegen cyberdreigingen. Wat mij direct triggerde, is dat dit precies het soort meetlat is dat er nog niet was — en dat het Nederlandse MKB hard nodig heeft.

Wat is de Cyber Index precies?

De Cyber Index is een nieuw benchmarksysteem dat meet hoe effectief AI-modellen het volledige traject van kwetsbaarheidsbeheer doorlopen. Dat klinkt abstract, dus laat ik het ontleden. Het gaat om drie dingen: kwetsbaarheden vinden in software, controleren of ze echt gevaarlijk zijn, en vervolgens repareren. Van begin tot eind.

Artificial Analysis — het bedrijf van mede-oprichter Micah Hill-Smith dat eerder al benchmarks maakte voor AI in de financiële, juridische en zorgsector — combineert hiervoor drie gespecialiseerde tests:

• CWE-Bench-AA — test hoe goed een AI-model omgaat met gestandaardiseerde kwetsbaarheidstypen (CWE staat voor Common Weakness Enumeration, een soort catalogus van bekende zwakke plekken in software).
• DeepsecBench-AA — richt zich op diepgaandere beveiligingsanalyses.
• CyberGym-E2E-AA — simuleert realistische scenario's van begin tot eind: kan het AI-model een volledig aanvalsoppervlak doorlopen en de juiste verdedigingsstappen zetten?

Wat ik hier opvallend vind, is de nadruk op verdediging. Volgens de beschikbare bronnen richt de Cyber Index zich nadrukkelijk op defensieve cybersecurity. Het meet dus niet hoe goed een AI-model kan inbreken, maar hoe goed het bedrijven helpt om kwetsbaarheden proactief te beheren. Dat is een bewuste en wat mij betreft verstandige keuze.

Wie zitten erachter?

De Cyber Index Alliance — het samenwerkingsverband dat de benchmark ontwikkelt en onderhoudt — bestaat uit een opvallend gezelschap. Volgens Techmeme zijn de partners IBM, Nvidia, Vercel en Collinear.

IBM en Nvidia spreken voor zich als zwaargewichten in enterprise-technologie en AI-hardware. Vercel is vooral bekend van webinfrastructuur en developer tools. Collinear is minder bekend bij het brede publiek, maar actief op het gebied van AI-evaluatie.

Ik vind het interessant dat dit geen clubje is van alleen cybersecuritybedrijven. De mix van hardware, software, evaluatie en enterprise IT suggereert dat ze een standaard willen neerzetten die breed gedragen wordt — niet alleen door securityspecialisten, maar door de hele keten.

Waarom dit ertoe doet voor ondernemers

Kun je je voorstellen dat je een alarmsysteem koopt voor je bedrijfspand, maar dat er geen enkele onafhankelijke test bestaat die zegt of dat systeem ook echt werkt? Dat is min of meer de situatie met AI-tools voor cybersecurity op dit moment. Leveranciers maken claims, maar een gestandaardiseerde vergelijking ontbrak.

De Cyber Index biedt daar een begin van een antwoord op. Als ondernemer kun je straks — in theorie — AI-modellen vergelijken op basis van scores die door een onafhankelijke partij zijn vastgesteld, in plaats van blind te varen op een salesverhaal.

De Nederlandse context maakt dit extra relevant

En dan de Nederlandse situatie. Die is, eerlijk gezegd, zorgwekkend. Uit recent onderzoek blijkt dat het Nederlandse MKB de laagste cyberinvesteringen rapporteert van tien onderzochte landen: gemiddeld zo'n 23.210 euro per jaar, tegenover een internationaal gemiddelde van circa 44.700 euro. Tegelijkertijd staat bij 39 procent van de Nederlandse cyberbeslissers AI-gerelateerde securityrisico's in de top drie van grootste zorgen.

Dat is een opvallende kloof: de zorgen groeien, maar de investeringen blijven achter. De Rijksoverheid kondigde in april 2026 aan meer geld vrij te maken voor digitale veiligheid van het MKB, maar de praktijk is dat veel ondernemers nog zoeken naar wat ze concreet moeten doen.

Een benchmark als de Cyber Index kan daarbij helpen. Niet omdat elke MKB-ondernemer zelf AI-modellen gaat draaien voor kwetsbaarheidsbeheer, maar omdat hun IT-leverancier, managed service provider of securitypartner die modellen wél gebruikt. En als er een onafhankelijke meetlat is, kun je als opdrachtgever in ieder geval de vraag stellen: "Welk model gebruiken jullie, en hoe scoort dat?"

Wat de Cyber Index nog niet is

Ik wil ook eerlijk zijn over de beperkingen. De Cyber Index is net gelanceerd — versie 1, sinds 25 september 2026. Welke specifieke AI-modellen al scores hebben gekregen op deze benchmark, is uit de beschikbare bronnen nog niet duidelijk. Er zijn wel resultaten bekend van de CyberGym-benchmark afzonderlijk (daar scoort MiMo-V2.6-Flash het hoogst met 95,1%), maar of dat één op één vertaalt naar de gecombineerde Cyber Index-score is niet bevestigd.

Ook is het nog de vraag hoe snel deze standaard geaccepteerd wordt door de markt. Benchmarks zijn nuttig als ze breed worden gebruikt, en pas dan ontstaat de vergelijkbaarheid die je als ondernemer nodig hebt.

Bovendien, en dat is een belangrijk punt: een benchmark meet prestaties in gecontroleerde omstandigheden. De echte wereld is rommelig, onvoorspelbaar en vol met situaties die geen enkel testscenario volledig vangt. Een hoge score op de Cyber Index is geen garantie dat een AI-model jouw specifieke systemen foutloos beschermt.

Wat ik hiervan meeneem

Voor mij is dit vooral een signaal dat de AI-industrie volwassener wordt op het gebied van cybersecurity. Het feit dat er nu een gestandaardiseerde meetlat komt — met serieuze partners — betekent dat we voorbij het stadium zijn van "AI kan vast ook iets met security." Er wordt nu gemeten, vergeleken en openlijk geëvalueerd.

Voor Nederlandse ondernemers die zich afvragen of AI iets voor hun cyberverdediging kan betekenen, is mijn observatie simpel: de tools worden beter én meetbaarder. Maar de eerste stap blijft dezelfde als altijd — weten wat je beschermt, en welke risico's je loopt. Geen enkele benchmark vervangt dat.