Samenwerkingsplan van het Witte Huis inzake AI zou moeten aanzetten tot meer zelfonderzoek binnen de AI-toeleveringsketen

Het samenwerkingsprogramma van het Witte Huis op het gebied van AI zou moeten aanzetten tot een bredere zelfreflectie binnen de AI-toeleveringsketen.

By Danny Bradbury • 3 september 2026 • Leestijd: 6 minuten

Het Witte Huis verspilt geen tijd met de voorbereiding op de golf van zero-day-kwetsbaarheden die naar verwachting aan het licht zullen komen door geavanceerde AI-tools.

Op 2 juni ondertekende president Trump uitvoeringsbesluit 14409, getiteld "Promoting Advanced Artificial Intelligence Innovation and Security" . Het is een poging om AI-leveranciers en beheerders van kritieke nationale infrastructuur (CNI) samen te brengen in een samenwerkingsverband om beveiligingslekken te bestrijden.

Het presidentiële decreet riep op tot de oprichting van een AI-cyberbeveiligingscentrum dat AI-leveranciers zou samenbrengen met CNI-spelers. Dit centrum, dat medio juli formeel werd aangekondigd onder de naam 'Gold Eagle' , richt zich op het gebruik van AI-gestuurde kwetsbaarheidsscans om CNI-organisaties te beveiligen.

De regering heeft snel gehandeld: het ministerie van Financiën (dat dit initiatief leidt), de NSA en CISA hebben binnen 30 dagen na de publicatie van het uitvoeringsbesluit een clearinghouse opgezet.

Het initiatief is breed genoeg opgezet zodat een grote groep mensen kan meedoen. Niet alleen ontwikkelaars van closed-source modellen kunnen deelnemen, ook open-source modellen zijn welkom. Vanuit het CNI-perspectief worden plattelandsziekenhuizen, lokale banken en nutsbedrijven als prioriteit gesteld als kandidaten voor hulp van AI-leveranciers, om zo bugs te vinden en hun infrastructuur te versterken.

Het uitvoeringsbesluit zet de anti-reguleringslijn voort die de regering heeft ingeslagen ten aanzien van AI, en bevrijdt ontwikkelaars van AI-modellen officieel van de verplichting om licenties te verkrijgen voor het uitbrengen van hun software of om op andere wijze goedkeuring te vragen. Dit is een verdere ommekeer ten opzichte van de aanpak van AI onder Biden. De vorige regering had ontwikkelaars van AI-modellen verplicht om te rapporteren middels een uitvoeringsbesluit dat de huidige regering heeft ingetrokken.

Een gebrek aan verantwoordingsplicht van derden

Hoewel deze stap in zekere zin goed nieuws is voor CNI-organisaties, creëert het ook een onevenwichtigheid. Dit is een vrijwillig programma voor AI-operators, waardoor ze grotendeels aan toezicht zijn onttrokken. De NSA zal een benchmarkproces uitvoeren om AI-modellen te beoordelen op hun status als 'gedekt'. De overheid krijgt vroegtijdige toegang tot dergelijke modellen en zal ook meebeslissen welke andere partners vroegtijdige toegang krijgen, maar het benchmarkproces is geheim.

Banken, ziekenhuizen en nutsbedrijven worden geconfronteerd met strenge regels voor de handhaving van cyberbeveiliging, zowel binnen hun eigen infrastructuur als in hun toeleveringsketens. Het is echter onduidelijk hoe zij dezelfde eisen zullen stellen aan hun AI-partners, of dat van hen verwacht zal worden dat zij hiervoor goedkeuring geven aan de directeur van de NSA.

"De criteria zullen niet onderworpen worden aan de openbare raadplegingsprocedure die doorgaans gepaard gaat met het vaststellen van federale normen", aldus een analyse van advocatenkantoor Ropes & Gray.

De noodzaak van AI-gestuurde controle van de toeleveringsketen

In grote lijnen is een initiatief als dit logisch gezien het snelle tempo waarin geavanceerde AI-modellen steeds beter in staat zijn om bedreigingen op te sporen. We hebben al meerdere zero-day-vulnerabilities zien opduiken als gevolg van Project Glasswing, een project van Anthropic waarbij het bedrijf samenwerkte met industriële partners om softwarekwetsbaarheden te vinden met behulp van het geavanceerde Mythos-model.

Het programma benadrukt echter ook de noodzaak van aangepaste bestuursbeleidsmaatregelen die rekening houden met een nieuwe laag risico's die door AI worden veroorzaakt.

Deze risico's omvatten de ontdekking en exploitatie van nieuwe bedreigingen door AI-modellen. Uit een onderzoek van BCG uit 2026 bleek dat meer dan een derde van de organisaties in de voorgaande twaalf maanden "aanzienlijke gevolgen" had ondervonden van aanvallen met behulp van AI.

De snelle ontwikkeling en toepassing van AI introduceert onbedoeld ook beveiligingslekken. Naast het risico dat gepaard gaat met interne softwareontwikkeling met behulp van AI, wijst BCG erop dat AI de afhankelijkheid van een organisatie van derden vergroot, van cloudproviders tot modelaanbieders en tools die AI-functionaliteit integreren. Deze bredere toeleveringsketen vergroot het aanvalsoppervlak.

De opkomst van autonome AI-agenten verergert het probleem alleen maar. Het AI Security Research Institute van de Britse overheid heeft ontdekt dat AI-agenten ongeoorloofde acties uitvoeren op internet, gericht tegen echte personen en organisaties online.

Een oproep tot AI-governance en leveranciersborging.

Cyberbeveiligings- en controlekaders zijn een veelgebruikt hulpmiddel om een reactie te structureren. Het National Institute of Standards and Technology (NIST) heeft onlangs een concept genaamd 'Trustworthy AI in Critical Infrastructure' geïntroduceerd als onderdeel van het AI Risk Management Framework (RMF). Dit zou een officiële terminologie creëren om te definiëren wat betrouwbare AI inhoudt. Het zou beschrijven welke risico's moeten worden aangepakt en welk bewijs moet worden geleverd van risicobeperking, waardoor betrouwbaarheid een contractuele, controleerbare eis wordt tussen operator en leverancier.

Sectoren binnen de CNI zijn al begonnen met het ontwikkelen van handleidingen om risico's van AI door derden tegen te gaan en de transparantie in de toeleveringsketen te verbeteren, zoals de ' Third-Party AI Risk and Supply Chain Transparency Guide' van de Health Sector Coordinating Council.

ISO-normen bieden een basis voor naleving van AI-richtlijnen.

Er zijn andere controlekaders die goed aansluiten op het AI RMF. In een analyse van het RMF toen het werd aangekondigd, zei Jessica Newman, mededirecteur van de UC Berkeley AI Policy Hub, dat het NIST-kader compatibel was met de ISO/IEC 23894-norm voor het beoordelen van de naleving van de Common Criteria for Information Technology Security Evaluation. Het is ook afgestemd op de AI-wetgeving van de EU, voegde ze eraan toe.

Er zijn ook andere raamwerken die organisaties kunnen gebruiken om de risico's van AI in de toeleveringsketen te beheersen, zoals de NIST-richtlijn SP 800-161 voor het identificeren en beperken van cyberrisico's in de toeleveringsketen.

Verschillende complementaire ISO-normen kunnen organisaties helpen grip te krijgen op het complexe web van AI-afhankelijkheden dat tegenwoordig ten grondslag ligt aan de meeste bedrijfsworkloads. Met name het ISO/IEC 42001:2023 AI Management System (AIMS)-raamwerk hanteert een brede aanpak voor AI-governance en omvat modellen en tools van derden.

ISO/IEC 5338 biedt een integrale levenscyclusbenadering voor het beheer van AI-systemen, waarbij rekening wordt gehouden met factoren zoals modelbeheer door leveranciers. Dit is een nuttig instrument gezien de snelheid waarmee leveranciers hun modellen en trainingsgegevens bijwerken, zowel in open- als gesloten-gewichtmodellen.

Hoewel niet iedereen het eens zal zijn met de terughoudende regelgeving, is het standpunt van het Witte Huis ten aanzien van de integratie van AI-leveranciers en CNI een stap voorwaarts in de strijd tegen een nieuw tijdperk van door AI aangedreven dreigingen. De kwesties die het aan de orde stelt, van de bescherming van intellectueel eigendom tot de strengheid van de toeleveringsketen, zouden organisaties overal ter wereld ertoe moeten aanzetten hun langetermijnstrategie voor de samenwerking met een breed scala aan AI- en aanverwante leveranciers te evalueren.

Gezamenlijk bieden deze standaarden inkoop-, beveiligings- en risicoteams een gemeenschappelijke terminologie om de juiste vragen aan AI-leveranciers te stellen, en een manier om AI-specifieke aandachtspunten te integreren in de certificerings- en auditprocedures die ze al hanteren.