Cybermes 2.0: AI die zelfstandig pentests uitvoert

TL;DR

• Wat: Cybermes 2.0.0 is een open-source AI-agent die zelfstandig pentests uitvoert — van verkenning tot rapportage.
• Waarom relevant: AI maakt offensieve security goedkoper én toegankelijker, maar dezelfde tools zijn ook beschikbaar voor kwaadwillenden.
• Wat je ermee kunt: Bespreek met je IT-partner of je huidige beveiligingstest nog past bij de snelheid waarmee aanvalstechnieken veranderen.

Ik stuitte deze week op een bericht over Cybermes versie 2.0.0 — een open-source project dat zich positioneert als een AI-agent die zelfstandig penetratietests kan draaien. Dat vond ik het signaleren waard, niet omdat je als ondernemer morgen zelf zo'n tool gaat installeren, maar omdat het iets laat zien over de richting waarin cybersecurity beweegt.

Wat is Cybermes precies?

Cybermes is een framework voor offensieve beveiliging, ontwikkeld door een developer die online bekendstaat als Zyrexnn. Het project staat op GitHub en draait om wat de makers de Hermes reasoning engine noemen: een AI-systeem dat bestaande beveiligingstools aanstuurt en combineert tot een geautomatiseerde keten.

Concreet betekent dat: de AI doorloopt het volledige traject dat een menselijke pentester normaal handmatig doet. Denk aan het in kaart brengen van het aanvalsoppervlak, het onderzoeken van kwetsbaarheden, het valideren van exploits en het opleveren van een rapport. Volgens de projectbeschrijving doet Cybermes dat met "minimal human oversight" — minimaal menselijk toezicht.

Wat mij opvalt, is dat de tool meer dan 50 ingebouwde beveiligingsvaardigheden heeft, variërend van het testen op authenticatie-bypasses tot het detecteren van injectie-aanvallen. De resultaten worden verwerkt in vier formaten: een managementsamenvatting in markdown, JSON-metadata, een interactief HTML-dashboard en een PDF-rapport met CVSS v3.1-scores (dat is een gestandaardiseerde manier om de ernst van kwetsbaarheden uit te drukken).

Wat is er nieuw in versie 2.0.0?

De sprong naar 2.0.0 is geen kleine update. De architectuur is ingrijpend gewijzigd: prestatiekritieke onderdelen zijn herschreven van Python naar Go, een programmeertaal die doorgaans sneller is voor dit soort taken.

Een component dat smart_pipe heet — ook in Go geschreven — filtert de ruis uit verkenningstools en reduceert het tokenverbruik volgens de makers met 70 tot 85 procent. Tokens zijn de eenheden waarmee AI-modellen tekst verwerken; minder tokens betekent lagere kosten en snellere verwerking.

Daarnaast heeft Cybermes 2.0.0 een zogenaamde zero-false-positive gate. Dat klinkt ambitieus: elk gevonden probleem moet onderbouwd zijn met een concreet HTTP-bewijs en een reproduceerbaar Python-script, voordat het als bevinding wordt gerapporteerd. Het idee is dat je geen valse alarmen krijgt. Ik vind dat een interessante aanpak, al zou ik willen zien hoe dit in de praktijk presteert — want zoals het artikel op Cyber Security News terecht opmerkt, moeten prestatie-claims van dit soort tools behandeld worden als "vendor-stated until independently benchmarked".

Wat betekent dit voor de veiligheid van je bedrijf?

Hier wordt het voor ondernemers relevant, en eerlijk gezegd een beetje tweesnijdend.

Aan de ene kant: als AI pentests goedkoper en toegankelijker maakt, kunnen meer bedrijven — ook in het MKB — hun beveiliging regelmatig laten testen. Dat is positief. Een pentest was tot voor kort iets dat je als kleiner bedrijf misschien één keer per jaar deed, als je het überhaupt deed. Tools als Cybermes kunnen die drempel verlagen.

Aan de andere kant: dezelfde technologie is ook beschikbaar voor kwaadwillenden. Als een AI-agent zelfstandig kwetsbaarheden kan vinden en valideren, dan kan iemand met slechte bedoelingen dat in theorie ook inzetten. Cybermes vereist weliswaar dat je alleen geautoriseerde doelen test, en het project valt onder een niet-commerciële licentie (PolyForm Noncommercial License 1.0.0), maar het is open-source software. De code is voor iedereen toegankelijk.

Dit is geen reden voor paniek, maar het onderstreept wel dat de snelheid van aanvallen toeneemt. Uit het HDI Cyberonderzoek 2026 blijkt dat cyberaanvallen ook voor het MKB een voortdurende zakelijke uitdaging zijn geworden. En ABN AMRO rapporteerde eerder dit jaar dat het MKB niet klaar is voor nieuwe digitale risico's.

De NIS2-context

Daar komt bij dat de Cyberbeveiligingswet — de Nederlandse implementatie van de Europese NIS2-richtlijn — naar verwachting in het tweede kwartaal van 2026 van kracht wordt. Naar schatting raakt dit zo'n 10.000 bedrijven direct, en nog eens 50.000 als toeleverancier. Als jouw bedrijf in die keten zit, wordt het aantonen van adequate beveiliging geen vrijblijvende keuze meer.

Kun je je voorstellen wat het betekent als een potentiële opdrachtgever vraagt of je recent een pentest hebt laten uitvoeren — en je hebt daar geen antwoord op?

De bredere trend: AI als aanvaller én verdediger

Cybermes staat niet op zichzelf. Er is een groeiend aantal projecten dat AI inzet voor offensieve beveiliging. Onderzoekers van onder andere AutoPenBench en PenForge werken aan benchmarks en frameworks voor AI-gestuurde pentests. Het is een actief onderzoeksgebied.

Wat ik interessant vind, is de dubbelrol van AI hierin. Dezelfde technologie die je helpt kwetsbaarheden te vinden, kan ook hallucineren — AI-jargon voor het genereren van resultaten die er overtuigend uitzien maar niet kloppen. Een recent academisch paper met de titel "Hackers or Hallucinators?" analyseert precies dit probleem bij LLM-gestuurde pentests.

Voor een ondernemer is het daarom belangrijk om te weten: een AI-pentest is niet hetzelfde als een menselijke pentest. Het is een aanvulling, geen vervanging. De hybride aanpak — een intern risicoanalyse maken en vervolgens externe specialisten inhuren voor de daadwerkelijke test — wordt in meerdere Nederlandse bronnen nog steeds als de verstandigste route beschouwd voor het MKB.

Wat dit praktisch betekent

Stel dat je als ondernemer een webshop runt, of een platform waarop klanten inloggen. De vraag is niet of jouw systemen ooit getest worden op kwetsbaarheden — de vraag is door wie. Als jij het niet doet, doet iemand anders het mogelijk wel, en dan niet met jouw toestemming.

Tools als Cybermes maken het aannemelijk dat geautomatiseerde scans van buitenaf frequenter en geavanceerder worden. Dat is geen doemscenario, het is een logisch gevolg van technologie die breder beschikbaar wordt.

Ik denk dat de belangrijkste les hier is: de kosten van niets doen stijgen sneller dan de kosten van wel iets doen. Een periodieke beveiligingscheck — hoe basaal ook — is geen luxe meer.

Voor mij is dit vooral een signaal dat de kloof tussen wat aanvallers kunnen en wat verdedigers doen, kleiner moet worden. En dat begint bij bewustzijn, niet bij het installeren van een tool.