Onderzoekers van de Universiteit Leiden hebben met kunstmatige intelligentie een zwakke plek gevonden in een eigen encryptiemethode. Het team testte het ontwerp met een algoritme dat patronen in versleutelde gegevens kan opsporen. De bevinding is relevant voor Nederlandse overheden en bedrijven die onder de AVG werken en de gevolgen van de Europese AI-verordening (AI Act) moeten begrijpen. De methode wordt nu opnieuw beoordeeld om het lek te dichten.
AI onthult lek in code
De Leidse onderzoekers zetten een machinelearning-model in om foutjes in de versleuteling te vinden. Zo’n model leert statistische patronen herkennen die mensen vaak missen. Als er regelmaat in versleutelde tekst zit, kan een aanvaller soms sneller de sleutel raden.
Het algoritme signaleerde een afwijking die niet door toeval te verklaren is. Dat wijst op een ontwerpfout of een onverwachte interactie tussen onderdelen van de methode. Daardoor kan de beveiliging zwakker zijn dan gedacht.
De aanpak lijkt op een automatische code-review, maar dan op cijfermatige uitkomsten. Het model test vele varianten en vergelijkt de uitkomst met wat “perfect willekeurig” hoort te zijn. Waar het patroon terugkomt, zit mogelijk een lek.
Encryptie is het versleutelen van gegevens zodat alleen wie de juiste sleutel heeft, kan meelezen.
Beperkte impact, wel leerzaam
De encryptiemethode was bedoeld als onderzoeksvoorstel en is niet breed ingevoerd. Er zijn op het moment van schrijven geen signalen dat Nederlandse diensten of bedrijven dit systeem al gebruiken. De directe risico’s voor burgers lijken daarom klein.
Toch is het resultaat belangrijk voor de praktijk. Het laat zien dat AI nuttig is om vroege ontwerpfouten te vinden, vóórdat een standaard ontstaat. Dat voorkomt kostbare migraties achteraf.
Voor ontwikkelaars is de les helder: test met meerdere technieken. Combineer wiskundig bewijs met statistische checks door algoritmen. Open toetsing en herhaalbare experimenten helpen fouten snel boven water te krijgen.
AI-verordening en AVG-eisen
De inzet van AI voor beveiligingstests valt doorgaans niet in de hoog-risicoklasse van de Europese AI-verordening. Wel gelden documentatie- en transparantie-eisen, zeker als resultaten beleids- of inkoopkeuzes sturen. Onderzoekers moeten duidelijk maken hoe het model is getraind en gevalideerd.
Voor organisaties die persoonsgegevens verwerken, is de AVG leidend. Sterke versleuteling is een aanbevolen maatregel en moet aantoonbaar bestand zijn tegen bekende aanvallen. Een ontwerp met statistische lekken voldoet daar niet aan.
In Nederland verwijst het Nationaal Cyber Security Centrum (NCSC) naar de noodzaak van crypto met voldoende sterkte en actuele beoordeling. Voordat overheden inkopen, is onafhankelijke toetsing nodig. Dit onderzoek onderstreept dat beleid en techniek hand in hand moeten gaan.
Europese cryptostandaarden in beeld
Europa werkt via ENISA en ETSI aan richtlijnen voor veilige protocollen. Tegelijk volgen Europese partijen nauwlettend de internationale standaardisatie van post-quantum-algoritmen. Voordat nieuwe methoden in Nederlandse systemen landen, is brede peerreview noodzakelijk.
Een gevonden zwakke plek betekent niet dat het veld vastloopt. Het hoort bij normaal wetenschappelijk proces en versterkt uiteindelijk de kwaliteit van standaarden. Transparantie versnelt dat leerproces.
Voor aanbestedingen en audits is het advies onveranderd: kies alleen voor goedgekeurde en publiek getoetste cryptografie. Documenteer migratiepaden en risico’s in de keten. Zo blijft dienstverlening robuust, ook richting de overheid en zorg.
Hoe het model werkte
Het team gebruikte een algoritme dat verschillen meet tussen echte willekeur en de uitkomst van de versleuteling. In eenvoudige woorden: het zoekt naar rare regelmaat waar die niet hoort. Dat kan wijzen op een ontwerpfout of een te voorspelbare stap in het proces.
De methode lijkt op patroonherkenning in taal, maar dan toegepast op cijferreeksen. Door duizenden voorbeelden te testen, ontstaat vertrouwen in het signaal. Als het patroon standhoudt, is vervolgonderzoek nodig.
Belangrijk is dat zulke tests herhaalbaar zijn met open data en code. Dat maakt controle door andere universiteiten mogelijk. Zo groeit het bewijs, of valt een vermoeden juist weg.
Volgende stappen in Leiden
De Universiteit Leiden werkt aan een verbeterde versie van de encryptiemethode. Er komt extra toetsing door collega-onderzoekers, op het moment van schrijven zonder aangekondigde datum. Publicatie van code en testsets ligt voor de hand om onafhankelijke controle te versnellen.
Voor Nederlandse instellingen is het signaal duidelijk: wacht met adoptie van nieuwe schema’s tot na brede beoordeling. Volg adviezen van NCSC-NL en Europese richtsnoeren. Leg keuzes vast in risicoanalyses en inkoopdocumenten.
De casus toont de kracht van AI als gereedschap voor kwaliteitscontrole. Niet om mensen te vervangen, maar om blinde vlekken te verkleinen. Dat maakt digitale beveiliging in Europa aantoonbaar sterker.