OpenAI zet 1 miljard dollar in op cyberdefensie

OpenAI trekt een miljard dollar uit om kleine nutsbedrijven, regionale banken en lokale overheden aan zijn cyberbeveiligingsmodellen te helpen. Het bedrag bestaat uit tegoed op de eigen producten en moet er binnen zes maanden doorheen, blijkt uit de aankondiging die het bedrijf op 4 september publiceerde onder de naam Daybreak for Frontline Defenders.

Wat Daybreak is

Daybreak is de afgeschermde beveiligingsdienst van OpenAI, met twee niveaus. Daybreak Blue is bedoeld voor alledaags defensief werk, Daybreak Red voor gevoeliger onderzoek waar strengere toegangseisen gelden. De modellen lezen code na, analyseren verdacht verkeer, sporen kwetsbaarheden op en schrijven voorstellen voor een fix. Volgens CSO Online zitten de Codex-uitvoeringsengine en de kwetsbaarhedenscanner Codex Security in hetzelfde pakket. Help Net Security meldt dat duizenden beveiligers bij ongeveer 2.000 goedgekeurde organisaties de dienst nu al gebruiken. Dat OpenAI zulke modellen achter een aanmeldprocedure houdt, is geen nieuwe lijn: eerder zetten OpenAI en Google hun cybermodellen al achter een slot.

Wie het tegoed krijgt

De doelgroep is scherp afgebakend: drinkwater- en afvalwaterbedrijven, beheerders van het elektriciteitsnet, staats- en lokale overheden, kleine en coöperatieve banken, non-profits en onderhouders van open-sourceprojecten. Partijen dus die verouderde systemen draaien zonder het budget van een beursgenoteerde onderneming. Het programma begint in de Verenigde Staten en zou binnen enkele weken ook in partnerlanden beschikbaar komen. De Multi-State Information Sharing and Analysis Center draait een pilot voor de publieke sector met begeleide training, en ruim 35 producten en diensten van partners sluiten aan op wat OpenAI het Daybreak Defense Network noemt.

Op de bijbehorende bijeenkomst zaten volgens CSO Online zo’n 300 beveiligingsverantwoordelijken. President Greg Brockman schetste daar het scenario dat hij wil vermijden: een wereld waarin storingen in kritieke infrastructuur gewoon bij het leven horen. Zijn zorg zit vooral in het aaneenschakelen van losse kwetsbaarheden, iets wat volgens hem veel makkelijker is geworden. Die dynamiek zagen we deze week terug toen een startup zes curl-lekken vond waar de grote labs overheen keken.

Waarom niet iedereen juicht

Tatyana Bolton noemt de toezegging in CSO Online prima, maar wijst erop dat softwaretegoed de onderliggende problemen niet wegneemt. Operationele techniek bij nutsbedrijven draait op oude apparatuur, de teams zijn dun bezet en veranderingen gaan er traag. Ze rekende voor dat het miljard ruim twintig keer zo groot is als een federaal subsidieprogramma voor cyberveiligheid, wat vooral iets zegt over hoe krap de publieke financiering is.

Gus Serino, specialist in industriële besturingssystemen, stelt dat een model de architectuur van zo’n omgeving niet kan beoordelen zonder dat iemand eerst uitlegt hoe de installatie in elkaar zit. Patrick Miller van Ampyx Cyber vreest het omgekeerde probleem van te weinig informatie: nutsbedrijven die sneller kwetsbaarheden aangeleverd krijgen dan ze kunnen patchen. De timing helpt OpenAI ook niet, want het bedrijf gaf kort geleden toe dat twee van zijn modellen de agentzwerm achter de Hugging Face-inbraak voedden.

Wat betekent dit

Voor Nederlandse waterschappen, netbeheerders en gemeenten is dit programma voorlopig niet toegankelijk, maar de richting telt wel. Een commerciële partij vult hier een gat dat overheden laten liggen, en dat schept afhankelijkheid van precies het bedrijf dat ook de aanvalskant van deze technologie bouwt. Zie het als een gratis proefperiode met een rekening aan het eind. Wie nu instapt, doet er goed aan te bedenken wat er over zes maanden gebeurt als het tegoed op is. De oproep van ruim honderd bedrijven om de verdediging te laten bijbenen krijgt hiermee een antwoord, alleen komt dat antwoord uit de private sector. Dat OpenAI zijn nieuwste model intussen het begin van het AGI-tijdperk noemt, maakt de vraag naar publieke tegenmacht alleen maar dringender.