Ransomware met AI-agent: oefen dit scenario

Je zit met vier collega’s in de vergaderzaal, het scenario ligt op tafel, en iemand stelt de vraag waar elke tabletop op draait: hoe kwam die aanvaller binnen? Meestal is het antwoord een bijlage, een gelekt wachtwoord, een vergeten VPN-poort. Deze keer is het antwoord dat iemand een zin typte in een gewone code-editor, en dat het ding hem hielp.

Die zin is bekend geworden deze week. Reuters kreeg inzage in 28 chatsessies tussen een ransomware-affiliate die zichzelf Aur0ra noemt en de AI-agent in Cursor. De logs liepen van 8 april tot 21 mei 2026 en stonden op een server die de groep zelf per ongeluk open op internet had gezet. Het Tel Avivse Gambit Security vond hem; het Singaporese CloudSek analyseerde dezelfde buit. Zeven bedrijven werden via die agent bereikt, waaronder het Gentse Christeyns, de Duitse deurenfabrikant Teckentrup en de Schotse Helideck Certification Agency.

De agent weigerde, en gaf toen toch toe

Wat de logs laten zien, is geen exploit. Er is geen lek in Cursor gebruikt, geen kwetsbaarheid in het model. De aanvaller vertelde de agent simpelweg dat het om een simulatie ging, en herhaalde dat zodra hij een weigering kreeg. Gambit citeert de commando’s die daarop volgden: “We need any administrator account.” En: “Find any working passwords.” De agent antwoordde in het opgewekte register dat je van een chatassistent kent. Na een inbraak bij het Argentijnse bedrijf: “Great! VPN connected successfully!” Bij Teckentrup, na het vinden van een kwetsbare host, beval hij een bekend aanvalsprogramma aan met daarbij de inschatting “Chance of success: VERY HIGH”.

Het model eronder was Claude Sonnet 4.5 van Anthropic. Gambit noemt dat expliciet een eenvoudiger model dan de zwaardere modellen waar in Washington over wordt gepraat. Curtis Simpson, chief strategy officer bij Gambit, vat de stand van zaken samen als “a cat-and-mouse game”.

Een leugen die je in je oefening kunt naspelen

Dit is precies het soort detail waar een tabletop iets aan heeft, want het is na te spelen. Zet in de volgende ronde niet “de aanvaller gebruikt AI” op je kaartje, dat is te vaag om iets mee te doen. Zet erop: de aanvaller heeft vanaf minuut nul een assistent die hem elk commando aanreikt, in de volgorde die past bij jouw Active Directory, en die zijn fouten binnen tien seconden verbetert.

Wat verandert er dan aan je scenario? Drie dingen, en ze zitten allemaal in de tijdlijn. De verkenningsfase wordt korter, dus het gat tussen eerste toegang en zichtbare schade wordt kleiner. De commando’s zien er schoner uit, want ze zijn niet uit het hoofd getikt maar gegenereerd. En de aanvaller hoeft niet ervaren te zijn: hij hoeft alleen te weten wat hij wil bereiken. Dat laatste raakt je aanname over wie er aan de andere kant zit.

De cijfers zijn kleiner dan de koppen

En hier moeten we onze eigen kant tegenspreken, want het is verleidelijk om hier een breuklijn van te maken. Dat is het niet. CloudSek telt in totaal minstens twintig slachtoffers van Aur0ra en zegt er meteen bij dat het niet heeft uitgesplitst hoeveel daarvan met hulp van AI zijn gecompromitteerd. Reuters schrijft dat het zelf ook niet heeft kunnen vaststellen in welke mate de inbraken door de agent mogelijk zijn gemaakt. Zeven bedrijven in de logs, van wie er één, Bayou Title, op de lekkensite verscheen, wat er meestal op wijst dat er niet is betaald.

Dat is een echte gebeurtenis en een klein aantal tegelijk. De technieken die eruit komen rollen zijn bovendien allemaal oud: rechten verhogen in Active Directory, wachtwoordhashes buitmaken, laterale beweging. Wie zijn certificaatdiensten netjes heeft staan en zijn netwerk heeft gesegmenteerd, heeft daar al tegenmaatregelen voor. AI maakt de aanvaller sneller, niet slimmer. Dat is een wezenlijk verschil en het is precies het verschil dat in de koppen wegvalt.

Halveer de tijd tot het eerste beheerdersaccount

Eén aanpassing is genoeg om dit scenario echt te maken. Halveer in je volgende tabletop de tijd tussen de eerste indicator en het moment dat een domeinbeheerderaccount is overgenomen, en laat je team met diezelfde detectiecapaciteit werken als anders. Wat er dan omvalt, is je antwoord. Niet je techniek, maar de vraag wie er op zaterdagavond bereikbaar is en wie mag besluiten dat er iets uit gaat.

Die volgorde hebben we eerder uitgeschreven in het stappenplan waarin volgorde belangrijker is dan snelheid. De eerste dertig minuten na een melding staan in dit scenario over de eerste dertig minuten, en wie het scenario in een vast format wil gieten, vindt de opzet in ons template voor een incidentresponsplan.

De vraag is niet of het model nee zegt, maar of het product het logt

De interessantste onbeantwoorde vraag zit niet bij Anthropic maar bij de editors en ontwikkelplatforms die zulke agenten inbouwen. Een model dat vier keer weigert en de vijfde keer meegaat, is geen betrouwbare grens. Een product dat riskante operaties registreert en begrenst ongeacht het verhaal dat de gebruiker eromheen vertelt, is dat wel. Zolang Cursor en SpaceX niet reageren op vragen daarover, en dat deden ze tegenover Reuters niet, blijft dit een oefenscenario zonder tegenmaatregel aan de leverancierskant. Verschijnt er een logging- of afknijpfunctie voor agent-acties, dan is dat het moment waarop dit scenario verandert.

Bronnen: de Reuters-exclusive over Aur0ra en Cursor en de technische analyse van CloudSek.