English version: scroll down

Hoe AI de zekerheden van Big Tech ondermijnt en Europa dwingt opnieuw na te denken over digitale soevereiniteit.

De perfecte storm

De recent ontdekte kwetsbaarheid in PHP zou wel eens het Wuhan-moment van het internet kunnen markeren: het moment waarop een dreiging zich exponentieel begint te verspreiden. Er verandert iets fundamenteels en het gaat heel snel. De meeste mensen hebben het nog niet door. Degenen die het wel zien, maken zich terecht zorgen.

Er zijn momenten waarop ontwikkelingen samenkomen en je beseft dat de wereld fundamenteel verandert. Niet door één gebeurtenis, maar omdat zekerheden die jarenlang onaantastbaar leken tegelijk afbrokkelen. We zagen het bij energie (afhankelijkheid van Russisch gas), bij producten (China), bij defensie (Amerikaanse bescherming) en bij onze digitale infrastructuur, waar de commerciële cloud van Big Tech steeds meer vragen oproept over soevereiniteit, afhankelijkheid en veiligheid.

Nu komt daar de AI-agent bij. Precies die innovatie – grotendeels ontwikkeld door dezelfde Big Tech-bedrijven die onze digitale wereld domineren – kan de fundamenten onder hun eigen succesmodel aantasten. Een paradox die we serieus moeten nemen.

Het succes dat zijn eigen kwetsbaarheid creëert

Vanaf ongeveer 2005 bouwden Amazon, Microsoft, Google en anderen een wereldwijd netwerk van clouddiensten. Losse computers en datacenters groeiden uit tot een uiterst efficiënt platform met schaalvoordelen, professionele beveiliging en wereldwijde beschikbaarheid. Organisaties hoefden niet langer alles zelf te bouwen.

Dat succes had een keerzijde. Hoe meer diensten naar de cloud gingen, hoe afhankelijker organisaties werden van die infrastructuur, techniek en contracten van hun leveranciers. Applicaties, gegevens, identiteiten en processen raakten verweven met één ecosysteem. Overstappen werd steeds moeilijker. Efficiëntie veranderde in vendor-lock-in.

We accepteerden dat. De voordelen waren groot en de risico’s leken beheersbaar. Maar daarmee concentreerden we ons niet alleen op techniek, maar ook afhankelijkheid. In mijn eerdere blog “De cloud kan worden gebombardeerd” beschreef ik al de kwetsbaarheid wanneer digitale voorzieningen samenkomen in een beperkt aantal fysieke knooppunten. Nu dient zich een nieuwe test aan.

De innovatie die de cloud tegen zichzelf keert

De grote technologiebedrijven ontwikkelen AI om hun diensten slimmer te maken. AI-agents kunnen zelfstandig taken uitvoeren, software analyseren en processen automatiseren. Diezelfde mogelijkheden kunnen echter worden ingezet tégen de infrastructuur waarop onze samenleving leunt. Duizenden intelligente agents voor die tegelijkertijd systemen onderzoeken op verouderde software, vergeten interfaces, configuratiefouten en kwetsbaarheden die jarenlang onopgemerkt bleven. Ze combineren bevindingen en schalen hun zoekwerk massaal op. ‘Unknown unknowns’ worden opeens bekend, waardoor de impliciete beveiliging van ‘het niet weten’ opeens verdwijnt: duizenden zwakheden worden blootgelegd. 

Niet iedere agent vindt een zwakheid. Wel verandert de verhouding tussen de kosten van zoeken en de hoeveelheid systemen die onderzocht kunnen worden. Het ontdekken van onbekende kwetsbaarheden vereiste vroeger specialistische kennis, veel tijd en soms geluk. Dat gebrek was een onbedoeld veiligheidsnet. Nu wordt stom toeval slim en gericht toeval. Wat daarmee opeens verdwijnt, is de onterechte geruststelling dat onbekende kwetsbaarheden (nog) geen gevaar opleveren. Nu ontstaat de paradox: de cloudbedrijven hebben zelf de AI-revolutie aangejaagd die het steeds moeilijker maakt te vertrouwen op de onontdektheid van fouten in hun eigen systemen. Met AI schieten ze (ook) in hun eigen voet . . .  

Eén kasteel, duizenden aanvallers

Een commerciële cloud is geen eenvoudig kasteel. Grote aanbieders beschikken over omvangrijke beveiligingsteams, redundante infrastructuur en geavanceerde detectie. Ze kunnen aanvallen opvangen die kleinere organisaties nauwelijks overleven. Maar schaal heeft een keerzijde. Wanneer enorme hoeveelheden diensten afhankelijk zijn van dezelfde identiteitsvoorzieningen, softwarecomponenten of fysieke locaties, kan één kwetsbaarheid buitenproportionele gevolgen hebben.

De verdediging moet het geheel beschermen. Aanvallers hoeven niet ieder onderdeel te verslaan. Soms is één bruikbare opening voldoende. Fysieke concentratie, softwarematige afhankelijkheid en organisatorische centralisatie versterken elkaar. Het is alsof één kasteel wordt aangevallen door duizenden drones. Elke drone onderzoekt een andere muur, poort of vergeten opening. De verdediger heeft een indrukwekkende krijgsmacht, maar moet tegelijkertijd alle kritieke onderdelen beschermen.

Dat is de nieuwe asymmetrie. De centrale cloud hoeft niet morgen om te vallen. Maar haar vanzelfsprekende veiligheid kan niet langer worden aangenomen. De combinatie van schaal, afhankelijkheid en krachtiger geautomatiseerd onderzoek maakt weerbaarheid tot een vraagstuk dat verder gaat dan de volgende beveiligingspatch. 

Europa ontdekt dat afhankelijkheid ook onveiligheid betekent

Een jaar geleden zat ik met AWS aan een rondetafel over Europese digitale soevereiniteit. Mijn stelling was dat nu de Europese soevereiniteitsgedachte eenmaal was losgekomen, deze niet meer te stoppen was. De Europese behoefte om minder afhankelijk te zijn van enkele buitenlandse leveranciers zou niet verdwijnen door lokale vestigingen of hubs zoals AWS overwoog, te bouwen. Het ging om de moeder, niet waar zij eventuele kinderen zouden huisvesten. 

Digitale soevereiniteit gaat over meer dan waar gegevens staan. Het gaat over wie de regels bepaalt, wie toegang heeft, wie diensten kan uitschakelen en hoe gemakkelijk een organisatie kan overstappen. De AI-ontwikkeling geeft die discussie een extra dimensie.

Afhankelijkheid is niet langer alleen een economisch of geopolitiek risico. Ze wordt ook een digitaal veiligheidsvraagstuk. Een organisatie kan haar infrastructuur uitstekend laten beheren door een grote cloudleverancier en toch afhankelijk blijven van een beperkt aantal kritieke voorzieningen. Een leverancier kan zijn beveiliging verbeteren, maar niet garanderen dat alle onbekende kwetsbaarheden verdwenen zijn.

Dat is geen verwijt aan Big Tech, maar een structurele beperking van ieder complex systeem. Europa kan niet langer volstaan met de vraag welke leverancier de beste diensten aanbiedt. We moeten ook vragen hoeveel afhankelijkheid we accepteren en hoe we blijven functioneren wanneer een centrale voorziening uitvalt of wordt aangevallen.

Het bestuur dat de verkeerde vragen stelde

Waarom lieten we die afhankelijkheid zo ver oplopen? Omdat het model werkte. Omdat de cloud goedkoper, sneller en gemakkelijker was. Omdat bestuurders resultaten moesten leveren en uitbesteden aan een bekende leverancier een verdedigbare beslissing leek. Wie koos voor Microsoft, IBM, AWS of Google kon wijzen op schaal, expertise en reputatie. Een veilige keuze, zeker als – zoals de overheid – bestuurders van huis uit al riscomijdend zijn. 

Zo ontstond een bestuurlijke reflex: kies de gevestigde leverancier en minimaliseer het directe risico. Maar bestuurlijk verdedigbaar is niet hetzelfde als de samenleving op lange termijn weerbaar maken. We beloonden efficiëntie en wogen de kosten van afhankelijkheid onvoldoende mee. Individuele organisaties optimaliseerden, terwijl de gezamenlijke infrastructuur steeds sterker concentreerde.

Nu komen meerdere afhankelijkheden tegelijk onder druk: energie, grondstoffen, defensie en digitale infrastructuur. We kunnen bestuurders niet verwijten dat ze de toekomst niet exact voorspelden. Wel mogen we constateren dat waarschuwingen over concentratie en systeemrisico’s te gemakkelijk ondergeschikt raakten aan de voordelen van het bestaande model. De verrassing zit niet in het bestaan van risico’s, maar in onze verbazing wanneer ze zich gelijktijdig manifesteren.

Van centrale efficiëntie naar gedistribueerde weerbaarheid

Wat is het alternatief? Niet de cloud afschaffen. Niet doen alsof iedere organisatie haar eigen infrastructuur veiliger kan beheren. En zeker niet veronderstellen dat decentralisatie automatisch veiligheid oplevert. De oplossing ligt in het opnieuw ontwerpen van onze afhankelijkheden.

We moeten systemen bouwen die niet volledig afhankelijk zijn van één leverancier, van één identiteitssysteem of van één fysieke locatie. Gegevens en applicaties moeten overdraagbaar zijn, alternatieve voorzieningen daadwerkelijk bruikbaar en kritieke functies zo ontworpen, dat ze bij uitval kunnen blijven functioneren. Een beetje terug naar vroeger dus. 

Dat was en is nog steeds de belofte van een meer gedistribueerde digitale architectuur: niet dat ieder onderdeel onkwetsbaar wordt, maar dat het falen van één onderdeel niet automatisch het falen van het geheel betekent. Web3 is daarvoor een mogelijke inspiratiebron, geen kant-en-klare oplossing. Nieuwe decentralisatie moet ook gepaard gaan met goede beveiliging, onafhankelijke componenten en duidelijke verantwoordelijkheden.

Daarnaast hebben we net als een vliegtuig een flight-recorder nodig, een digitale black box. Om te kunnen reconstrueren wat AI-agents doen, hoe aanvallen verlopen, waar fouten worden gemaakt en systemen tekortschieten. Zoals de luchtvaart leert van incidenten, moet ook onze digitale infrastructuur systematisch leren van iedere aanval. Dat is de overgang van security by obscurity naar security by evidence. De zwarte doos kan immers ook aantonen dat iets wél goed functioneerde en – dus – het systeem op dat moment voldeed aan alle compliancy die vereist was. 

Het einde van de vanzelfsprekendheid

Big Tech heeft geen mislukt systeem gebouwd. Het heeft een buitengewoon succesvol systeem gebouwd dat ons afhankelijk maakte van de voorwaarden waaronder dat succes mogelijk was. AI maakt onze wereld weer slimmer, maar ook beter doorzoekbaar voor aanvallers. De cloud maakte onze wereld efficiënter, maar concentreerde afhankelijkheden. En economische optimalisatie is niet hetzelfde als strategische zelfstandigheid, zoals we nu opeens ontdekken.

De toekomst vraagt niet om minder technologie, maar om (weer) op een andere manier te denken over technologie. Niet meer de vanzelfsprekendheid dat de grootste leverancier automatisch de veiligste keuze is. Weg met het idee dat centralisatie alleen efficiëntie oplevert. En – last but not least –  weg met de gedachte dat onbekende kwetsbaarheden ons niet raken zolang niemand ze kent. De AI-zwermen rammelen inmiddels aan de poorten van onze digitale kastelen. Dat is een serieus veiligheidsprobleem, maar ook een kans om onze architectuur opnieuw te doordenken.

Voor wie al langer waarschuwde, zit daar iets wrangs in. Gelijk krijgen is weinig waard wanneer de rekening door de hele samenleving wordt betaald. 

Photo by Pixabay

————————-   Translated by Grok  ————————–

The End of Unknown Security Flaws

How AI is undermining Big Tech’s certainties and forcing Europe to rethink digital sovereignty.

The Perfect Storm

The recently discovered PHP vulnerability may mark the internet’s Wuhan moment: the point at which a threat begins to spread exponentially. Something fundamental is changing, and it is happening fast. Most people haven’t noticed yet. Those who have are worried.

There are moments when developments converge and you realise the world is fundamentally changing. Not because of a single event, but because long-held certainties start eroding at the same time.

We saw it with energy (dependence on Russian gas), with products (China), with defence (assumed US protection), and with our digital infrastructure, where the commercial cloud of Big Tech raises growing questions about sovereignty, dependence and security.

Now the AI agent has been added. Precisely this innovation — largely developed by the same Big Tech companies that dominate our digital world — can undermine the foundations of their own success model. It is a paradox we must take seriously.

Success That Creates Its Own Vulnerability

From around 2005, Amazon, Microsoft, Google and others built a global network of cloud services. Separate computers and data centres grew into a highly efficient platform offering scale, professional security and global availability. Organisations no longer had to build and manage everything themselves.

That success had a downside. The more services moved to the cloud, the more dependent organisations became on their suppliers’ infrastructure, technology and contracts. Applications, data, identities and processes became intertwined with a single ecosystem. Switching grew increasingly difficult. Efficiency turned into vendor lock-in.

We accepted it. The benefits were large and the risks seemed manageable. But we concentrated not only technology — we also concentrated dependence. In my earlier blog “The Cloud Can Be Bombed” I already described the vulnerability that arises when digital services converge in a limited number of nodes. Now a new test is emerging.

The Innovation That Turns the Cloud Against Itself

The major technology companies develop AI to make their services smarter and more efficient. AI agents can independently perform tasks, analyse software and automate processes. Those same capabilities can, however, be turned against the infrastructure on which our society relies.

Imagine thousands of intelligent agents simultaneously examining systems for outdated software, forgotten interfaces, configuration errors and vulnerabilities that have gone unnoticed for years. They combine findings and scale their search massively.

Not every agent breaks every defence. What changes is the relationship between the cost of searching and the number of systems that can be examined. In the past, unknown vulnerabilities existed. Discovering them required specialist knowledge, time and sometimes luck. That lack of discovery capacity was an unintended safety net. Now blind chance is becoming smart chance.

The unknown vulnerability does not literally disappear. What disappears is the reassurance that a vulnerability is likely to remain unknown. That is where the paradox arises: the cloud companies themselves have driven the AI revolution that makes it increasingly difficult to rely on the undiscovered nature of flaws in their own systems.

One Castle, Thousands of Attackers

A commercial cloud is not a simple castle. Large providers have extensive security teams, redundant infrastructure and advanced detection. They can absorb attacks that smaller organisations would barely survive. But scale has a downside. When vast numbers of services depend on the same identity systems, software components or physical locations, a single vulnerability can have outsized consequences.

The defence must protect the whole. Attackers do not need to defeat every part. Sometimes one usable opening is enough. Physical concentration, software dependence and organisational centralisation reinforce one another.

It is as if one castle is being attacked by thousands of drones. Each drone examines a different wall, gate or forgotten opening. The defender has an impressive force, but must simultaneously protect every critical component.

That is the new asymmetry. The central cloud does not have to fall tomorrow. Its assumed security can no longer be taken for granted. The combination of scale, dependence and ever more powerful automated research turns resilience into a question that goes far beyond the next security patch.

Europe Discovers That Dependence Also Means Insecurity

A year ago I sat at the table with AWS during a roundtable on European digital sovereignty. My position was that something had been set in motion that could no longer be reversed. The sovereignty idea had been unleashed. Europe’s desire to become less dependent on a few foreign suppliers would not disappear simply by offering a new commercial product.

Digital sovereignty is about more than where data is stored. It is also about who sets the rules, who has access, who can switch services off, and how easily an organisation can switch when circumstances change. The AI development gives that discussion an extra dimension.

Dependence is no longer only an economic or geopolitical risk. It is also becoming a question of digital security. An organisation can have its infrastructure excellently managed by a large cloud provider and still remain dependent on a limited number of critical facilities. A provider can improve its security, but cannot guarantee that all unknown vulnerabilities have disappeared.

This is not a reproach to Big Tech. It is a structural limitation of any complex system. Europe can no longer content itself with the question of which supplier offers the best services. We must also ask how much dependence we are willing to accept and how we continue to function when a central facility fails or is attacked.

The Governance That Asked the Wrong Questions

Why did we allow that dependence to grow so far? Because the model worked. Because the cloud was cheaper, faster and easier. Because executives had to deliver results and outsourcing IT to a well-known supplier seemed a defensible decision. Anyone who chose Microsoft, IBM, AWS or Google could point to scale, expertise and reputation.

This created a governance reflex: choose the established supplier and minimise the immediate risk. But an administratively defensible choice is not the same as making society resilient in the long term. We rewarded efficiency while insufficiently weighing the costs of dependence. Individual organisations optimised while the collective infrastructure became ever more concentrated.

Now multiple dependencies are coming under pressure at the same time: energy, raw materials, defence and digital infrastructure. We cannot blame executives for not having predicted the future exactly. We can, however, observe that warnings about concentration and systemic risk were too easily subordinated to the advantages of the existing model. The surprise is not that the risks exist. The surprise is our astonishment when they manifest themselves simultaneously.

From Central Efficiency to Distributed Resilience

What is the alternative? Not abolishing the cloud. Not pretending every organisation can manage its own infrastructure more securely. And certainly not assuming that decentralisation automatically delivers security. The solution lies in redesigning our dependencies.

We must build systems that are not fully dependent on a single supplier, a single identity system or a single physical location. Data and applications must be portable, alternative facilities must actually be usable, and critical functions must be designed so they can continue to operate when something fails.

That is the promise of a more distributed digital architecture: not that every component becomes invulnerable, but that the failure of one component does not automatically mean the failure of the whole. Web3 can serve as inspiration, not as a ready-made solution. Decentralisation must go hand in hand with solid security, independent components and clear responsibilities.

In addition we need a digital black box. We must be able to reconstruct what AI agents do, how attacks unfold and where systems fall short. Just as aviation learns from incidents, our digital infrastructure must systematically learn from every attack. That is the transition from security by obscurity to security by evidence.

The End of the Taken-for-Granted

Big Tech has not built a failed system. It has built an extraordinarily successful system that made us dependent on the conditions under which that success was possible. Now the technology that made the system so successful is also changing the conditions under which we can continue to use it safely.

AI makes our world smarter, but also more searchable for attackers. The cloud makes our world more efficient, but concentrates dependencies. Geopolitical developments make clear that economic optimisation is not the same as strategic autonomy.

The future does not call for less technology, but for a different way of thinking about technology. We must abandon the assumption that the largest supplier is automatically the safest choice for society. We must abandon the idea that centralisation only delivers efficiency, and the notion that unknown vulnerabilities will not affect us as long as no one knows about them.

The AI swarms are rattling the gates of our digital castles. That is a serious security problem, but also an opportunity to rethink our architecture. For those who have long warned about these dependencies, there is something bitter in it. Being proven right is of little value when the bill is ultimately paid by society as a whole.

The real challenge is not to build our castles even higher. It is to design a digital society that continues to function even when a castle falls.

#DigitalSovereignty, #CloudSecurity, #AIagents, #BigTech, #CyberResilience, #VendorLockIn, #EuropeanDigitalStrategy, #DistributedArchitecture, #SecurityByEvidence, #GeopoliticsOfTech, #DigitalIndependence, #CloudRisk, #TechDependency, #FutureOfInfrastructure