‘Yes, de software werkt!’ Totdat je echt goed gaat kijken…

Man, wat gebeurt er toch veel in korte tijd. Toch wil ik nog even terugkomen op de security incidenten van vorige week… In Frankrijk moesten supermarkten voedsel weggooien nadat hackers hun koelsystemen hadden ontregeld. Bij Albert Heijn werden na een ‘cybersecurity-incident’ systemen preventief uitgeschakeld.

Tegelijk verschenen berichten over een ontwikkelaar die met AI gratis alternatieven voor Adobe-programma’s had gebouwd. Daar valt nog genoeg op aan te merken (en van te vinden), maar de vraag ligt nu wel heel erg nadrukkelijk op tafel: als software zo snel kan worden nagebouwd, waarvoor betalen we straks dan nog?

Die berichten lijken over verschillende discussies te gaan. Voor mij raken ze eigenlijk wel een en dezelfde vraag: wanneer vinden we software eigenlijk goed genoeg? Ik denk dat wat meer met die vraag bezig moeten zijn in plaats van benoemen wat we met AI allemaal kunnen.

Dave Maasland zei het terecht bij Vandaag Inside vorige week: ‘systemen hangen met ducttape aan elkaar’. Als softwarebouwer snap ik precies wat hij bedoelt.

Een klant wil iets erbij. Je kunt dat natuurlijk heel grondig aanpakken, maar er is ook een snellere oplossing. Even een omweg. Klein dingetje. Later netjes maken. Dan komt de volgende wens. En nog een koppeling. Vervolgens wordt een update uitgesteld, omdat er eerst iets anders af moet.

Zo ontstaat er vanzelf een systeem waarin steeds minder mensen precies weten wat waarvan afhankelijk is. Het blijft draaien, dus de noodzaak om het aan te pakken voelt beperkt.

“Het werkt toch?”

Met AI kunnen veel meer mensen dat punt bereiken. Een ondernemer met een goed idee kan zelf een applicatie maken. Iets wat eerder een flinke investering vroeg, kun je nu gewoon proberen. Vergis je niet, daar ben ik ook enthousiast over. Bouw iets kleins, laat mensen ermee werken en ontdek of het werkelijk een probleem oplost.

Maar een werkend scherm vertelt je te weinig over wat erachter gebeurt.

Wie heeft toegang tot de klantgegevens? Heeft die externe medewerker echt beheerdersrechten nodig? Kun je terugzien wie iets heeft aangepast? En kun je een onderdeel uitschakelen zonder dat de rest van je bedrijf ermee ophoudt?

Dat zijn vragen die gemakkelijk naar later verdwijnen. Tot ‘later’ zich ineens alsnog aandient.

Bij een type ‘Danfoss-controller’ - een regelapparaat - ontdekten onderzoekers een verborgen toegangscode die werd afgeleid van de datum. Daarmee kon je de normale wachtwoordcontrole omzeilen. Alleen een sterker wachtwoord instellen was dus niet genoeg: de kwetsbaarheid zat in de software zelf. Danfoss bracht daarvoor een beveiligingsupdate uit, die vervolgens wel geïnstalleerd moet worden. Ook een koelsysteem dat jarenlang prima werkt, heeft dus softwareonderhoud nodig.

Bij Albert Heijn kennen we de precieze oorzaak nog niet. Daar ga ik dus ook geen diagnose op afstand op loslaten. Het preventief uitschakelen en vervolgens zorgvuldig herstellen van systemen laat wel zien hoeveel afwegingen er na een incident nodig zijn. Je wilt snel weer draaien. Je wilt ook weten of dat veilig kan.

Ondertussen onderzoekt Anthropic of kleine AI-modellen zich in de toekomst zelfstandig over apparaten kunnen verspreiden. Een volledig zelfstandig werkende AI-worm op huishoudelijke apparaten hebben de onderzoekers nog niet aangetoond. Wel laten hun proeven zien dat verschillende benodigde stappen dichterbij komen.

Daar hoeven we niet echt een sciencefictionverhaal van te maken om de urgentie te begrijpen (toch?). Als aanvallers meer werk kunnen automatiseren, krijgen slecht onderhouden systemen het zwaarder.

Absolute veiligheid kun je niemand beloven. Wat je wel kunt doen, is zorgen dat mensen alleen toegang hebben tot wat ze nodig hebben. Dat je bijhoudt wat er gebeurt. Oftewel: ervoor zorgen dat onderhoud een eigenaar heeft(!). Zo denk je vooraf na over hoe je doorgaat wanneer een systeem uitvalt.

Daarmee wordt software bouwen misschien goedkoper, maar verdwijnt de verantwoordelijkheid eromheen niet. Dus ja, ik geloof dat ondernemers steeds meer zelf gaan bouwen. En ja: dat levert mooie oplossingen op. Maar zodra klanten, collega’s of leveringen ervan afhankelijk worden, moet de lat omhoog.

“Het werkt” is een prima begin. Voor een bedrijf dat erop moet draaien en afhankelijk van moet worden, is het software technisch niet meer dan een huis zonder aansluiting (vond ik zelf wel een mooi voorbeeld).