Op 9 oktober 2026 werd gemeld dat OpenAI, Anthropic en andere AI-bedrijven scenario’s voorbereidden voor een ernstig AI-gerelateerd cyberincident. De scenario’s verkennen mogelijke operationele, maatschappelijke en politieke gevolgen. Het gaat om voorbereiding op een hypothetische situatie.
OpenAI en Anthropic zouden scenario’s voor een groot AI-cyberincident voorbereiden
De gemelde plannen richten zich op wat er kan gebeuren na een zwaar cyberincident waarbij AI een rol speelt. In de scenario’s zouden financiële diensten of internettoegang verstoord kunnen raken, net als voorzieningen voor elektriciteit en water. Ook de publieke en politieke reactie en mogelijke gevolgen voor regelgeving komen aan bod. De voorbereiding zou mede bedoeld zijn om het Amerikaanse Congres inzicht te geven in risico’s en mogelijke reacties.
De beschreven dreiging omvat onder meer het gebruik van AI om kwetsbaarheden te vinden, handelingen te automatiseren en ingewikkelde computertaken uit te voeren. Dit zijn mogelijke dreigingsroutes, geen vastgestelde uitkomsten van de gemelde oefeningen.
OpenAI zei dat de oefeningen bedoeld zijn om teams op uiteenlopende omstandigheden voor te bereiden. Het bedrijf beschouwt de scenario’s daarbij niet als onvermijdelijk.
Wat een tabletop-oefening kan testen
Een tabletop-oefening is een groepsgesprek waarin deelnemers een gesimuleerd incident stap voor stap doorlopen, zonder een echte aanval uit te voeren. De organisatie stelt doelen vast, kiest deelnemers en introduceert nieuwe scenario-informatie. Vervolgens bespreken de deelnemers wie welke beslissing neemt, hoe teams communiceren en wanneer een incident moet worden opgeschaald. Na afloop leggen zij verbeterpunten vast.
Incidentrespons voor AI-systemen voorbereiden
Een incidentresponsplan legt vast wie handelt, wie beslissingsbevoegd is en hoe teams communiceren en opschalen. Ook procedures voor het afschermen van systemen, het veiligstellen van back-ups, het bewaren van bewijs en het inschakelen van externe hulp horen daarbij.
Bij een incident met een AI-systeem moet een organisatie daarnaast in kaart brengen waar het systeem wordt gebruikt en van welke andere systemen het afhankelijk is. Logboeken, eerdere beslissingen en gegevens over testen en monitoring kunnen helpen de gevolgen te beoordelen. Ook moet het plan ruimte bieden om te beslissen of het systeem tijdens het onderzoek wordt stilgelegd en hoe betrokken teams de bevindingen en vervolgacties afstemmen.
