Wat is de AI-systeem Pentest?
De AI pentest is een gespecialiseerde beveiligingstest voor LLMs, chatbots en AI-toepassingen. We evalueren aanvalsoppervlakken die uniek zijn voor AI-systemen en die klassieke pentestmethodologieën volledig missen. Verplicht voor hoog-risico AI-systemen onder de EU AI Act (2024/1689) met een compliancedeadline van 2 augustus 2026.
Doelgericht en contextbewust. AI-systemen introduceren kwetsbaarheden die buiten het bereik vallen van traditionele beveiligingstests. Denk aan prompt injection, model manipulation, training data leakage en het omzeilen van guardrails. Sectricity test LLMs, chatbots en applicaties met ingebouwde AI-functionaliteit op precies deze zwakke punten.
Wat valt binnen de testscope?
Hoe pakken we dat aan?
Promptanalyse
We testen of AI-systemen gemanipuleerd kunnen worden via prompts, contextmanipulatie of verborgen instructies. Dit helpt te identificeren hoe gebruikers of aanvallers het model buiten zijn beoogde gedrag kunnen sturen.
Guardrail testen
We proberen bestaande veiligheidsregels en -beperkingen opzettelijk te omzeilen. Dit onthult waar guardrails tekortschieten en welke risico's voortkomen uit misbruik of onbedoeld gedrag.
Datalekkage
We beoordelen of gevoelige informatie kan worden blootgesteld via modelresponsies, prompts of verbonden systemen. Dit omvat testen op zowel directe als indirecte blootstelling via integraties.
Wat vereist EU AI Act Artikel 15 voor beveiliging?
Hoog-risico AI-systemen onder Bijlage III van de EU AI Act moeten voldoen aan cybersecurityvereisten. De compliancedeadline is 2 augustus 2026. Een gestructureerde AI-pentest is de meest directe weg naar gedocumenteerde Artikel 15-compliance.
Wat is een hoog-risico AI-systeem?
Bijlage III van de EU AI Act omvat AI-systemen die worden gebruikt voor aanwervingsbeslissingen, kredietscore, biometrische identificatie, beheer van kritieke infrastructuur en onderwijs. Als uw AI-systeem onder Bijlage III valt, is beveiligingstesten onder Artikel 15 een wettelijke verplichting.
Artikel 15: wat het vereist
Artikel 15 vereist dat hoog-risico AI-systemen zijn ontworpen om pogingen te weerstaan om hun uitvoer of gedrag te wijzigen via vijandige invoer. Een gestructureerde AI-penetratietest levert gedocumenteerd bewijs dat uw systeem aan deze vereiste voldoet.
Deadline: 2 augustus 2026
De compliancedeadline voor hoog-risico AI-systemen onder Bijlage III is 2 augustus 2026. Organisaties die hoog-risico AI in productie inzetten, moeten ruim voor deze datum beginnen met hun beoordeling om tijd te hebben voor herstel en hertesten.
Auditbewijs voor conformiteit
Een AI-penetratietest levert bevindingen gekoppeld aan de vereisten van EU AI Act Artikel 15. Dit geeft uw complianceteam en conformiteitsbeoordelingsinstantie concreet, controleerbaar bewijs dat aan de beveiligingsverplichtingen is voldaan.
Wat is het verschil tussen een AI pentest en een klassieke pentest?
AI-beveiligingstesten en klassieke applicatie penetratietesten overlappen op sommige gebieden en lopen uiteen op andere. Het verschil begrijpen helpt u de juiste beoordeling voor uw situatie te bepalen.
Wat hetzelfde is
Beide beoordelen hoe een applicatie reageert op kwaadaardige invoer. Authenticatieflows, API-beveiliging, autorisatielogica, injectie-aanvallen en data-blootstellingsrisico's worden in beide disciplines getest.
Wat uniek is voor AI
Prompt injection, contextvensterManipulatie, extractie van trainingsdata, jailbreaking, guardrail bypass en misbruik van toolaanroepen zijn aanvalsvectoren die uitsluitend bestaan in AI-systemen. Standaard testmethodologieën dekken deze aanvalsoppervlakken niet.
Waarom u beide nodig heeft
Een AI-systeem dat in een webapplicatie is ingebed, erft de kwetsbaarheden van beide lagen. We raden aan AI-beveiligingstesten te combineren met applicatie- of API-testen voor volledige dekking en één geïntegreerd bewijspakket voor auditors.
Veelgestelde vragen
Beoordeel uw AI-beveiligingspostuur
Krijg een volledig beeld van uw AI-systeemkwetsbaarheden en EU AI Act compliancegereedheid.