BIS: AI verkort tijd tussen kwetsbaarheid en cyberaanval van weken tot minuten

Het venster tussen het ontdekken van een softwarekwetsbaarheid en de effectieve uitbuiting ervan is geslonken van weken tot minuten, waarschuwt de Financial Stability Institute (FSI) van de Bank for International Settlements (BIS) in een paper van september 2026. Volgens de auteurs is autonome kwetsbaarheidsdetectie en -exploitatie “de belangrijkste ontwikkeling” die frontier-AI met zich meebrengt voor de cyberveiligheid van de financiële sector, en dat verandert wat toezichthouders van banken verwachten op het vlak van patchbeheer.

De studie citeert het jongste Data Breach Investigations Report van Verizon Business: voor het eerst is het uitbuiten van een niet-gepatchte kwetsbaarheid de meest gebruikte toegangsweg bij een inbraak (31% van de gevallen), vóór gestolen inloggegevens (13%). Tegelijk werd in 2025 slechts 26% van de door het Amerikaanse CISA als kritiek bestempelde kwetsbaarheden volledig verholpen, tegenover 38% een jaar eerder. In een test waarbij AI-modellen 898 bekende kwetsbaarheden moesten omzetten in een werkend exploit, scoorde Anthropics Claude Mythos Preview het hoogst met 157 geslaagde pogingen (17%), gevolgd door OpenAI’s GPT-5.5 met 120 (13%) — een orde van grootte meer dan het model van een generatie eerder, Claude Opus 4.6, dat op 15 geslaagde pogingen bleef steken.

De BIS benadrukt dat toezichthouders geen nieuwe AI-specifieke regels invoeren, maar bestaande kaders voor operationele veerkracht versneld laten toepassen: snellere patchgoedkeuring, striktere logging van AI-agenten en scherper toezicht op de afhankelijkheid van een klein aantal cloud- en AI-leveranciers. De Europese Centrale Bank stuurde op 7 juli 2026 een “Dear CEO”-brief naar de banken onder haar rechtstreeks toezicht met de vraag om tegen 31 oktober 2026 een concreet actieplan in te dienen tegen AI-gedreven cyberdreigingen, inclusief tijdlijnen en verantwoordelijken.

Wat betekent dit voor banken in België?

De ECB-brief van 7 juli geldt voor de banken onder haar rechtstreeks toezicht binnen het Single Supervisory Mechanism (SSM). Voor België staan daar onder meer KBC Group, Belfius, BNP Paribas Fortis, ING België, Argenta en Crelan op, blijkt uit de ECB-lijst van significante instellingen. Diezelfde namen keren, samen met Euroclear Holding, terug op de lijst van acht Belgische systeemrelevante (“O-SII”) instellingen die de Nationale Bank van België aanduidt — al valt Euroclear zelf niet onder het rechtstreekse ECB-toezicht maar onder het lichtere, nationale regime voor minder significante instellingen. Voor de banken die wél rechtstreeks onder de ECB vallen, betekent de deadline van 31 oktober niet zomaar een extra rapport, maar de vraag om aan te tonen dat een kwetsbaarheid binnen dagen of uren kan worden verholpen in plaats van binnen de gebruikelijke onderhoudsvensters van weken.

Die versnelling raakt ook het bredere DORA-kader waaraan Belgische banken en verzekeraars al moeten voldoen: de verordening verplicht hen om kritieke ICT-diensten en de afhankelijkheid van derde partijen in kaart te brengen en te testen tegen ernstige maar plausibele scenario’s. Een testscenario waarin een kwetsbaarheid binnen het uur wordt uitgebuit, is een ander scenario dan de klassieke oefening met een aanval die dagen duurt — en dat is precies het soort aanpassing dat de BIS-studie bepleit, niet nieuwe regels maar snellere uitvoering van de bestaande.