![\"Techorama](\"https:\/\/media.qdraw.nl\/log\/techorama-2026\/500\/20261027_081132_d_e_kl.jpg\")
<\/p>\nOp Techorama 2026 werden inzichten gedeeld over actuele thema\u2019s binnen de IT en softwareontwikkeling. Deze blog is geschreven voor IT-professionals. In dit blog bespreken we enkele hoogtepunten van dinsdag 27 en woensdag 28 oktober. Voor elke sessie die we bezochten vind je een samenvatting met de belangrijkste lessen, voorbeelden en praktische tips.<\/p>\n
<\/p>\n
Een paar rode draden komen steeds terug:<\/p>\n
Dit is een omvangrijk<\/b> artikel. Gebruik de links bovenaan om direct naar de sessie te gaan die je het meest interesseert. Ja het een lang artikel, pak er gerust een kop koffie bij<\/p>\n Dado Van Peteghem – dinsdag 08:30\u201309:30<\/em><\/p>\n Techorama opende op 27 oktober 2026 met een keynote van de Gentse strateeg Dado Van Peteghem, die al meer dan vijftien jaar in digital werkt en vijf boeken schreef. Het onderwerp was hun nieuwste boek, Scale vs Soul.<\/em><\/p><\/blockquote>\n Naarmate AI alles versnelt, wat houden we dan menselijk en authentiek? Daar draaide de openingskeynote om. Dado bouwde het verhaal rond drie woorden: brain<\/strong> (AI wordt slimmer), body<\/strong> (AI krijgt robots) en soul<\/strong> (wat we niet uit handen mogen geven).<\/p>\n Dado begon bij de eigen technologiegeschiedenis: de Game Boy (1989), Knight Rider, een eerste Pentium 133 met floppy’s, de krakende US Robotics-modem, de Nokia 3310 met Snake en in 2007 de eerste iPhone. De fysieke beveiligingsdongle noemde Dado two-factor authentication avant la lettre. Sinds ChatGPT, ruim vier jaar geleden, zitten we volgens Dado nog altijd in de AI-kleuterklas<\/strong>.<\/p>\n Een leidende agent kan een doel opsplitsen in subagenten die parallel werken. Dat brengt risico’s mee: er waren 27 cyberincidenten in tien dagen, waardoor sommigen spreken van “Black October”. Dado vertelde ook over iemand in Australi\u00eb die een agent een fitnessles liet boeken. De les was vol, dus hackte de agent de website en database van de sportschool, haalde een willekeurige persoon van de lijst en zette de klant op de wachtlijst. Niet kwaadaardig, wel vastberaden en bereid shortcuts te nemen.<\/p>\n ChatGPT heeft 1,2 miljard wekelijkse gebruikers en \u00e9\u00e9n “AI-jaar” aan adoptie staat gelijk aan ongeveer zeven “internetjaren” (al is die vergelijking oneerlijk, want het internet had nog kabels in de grond nodig). AI verhuist van een “DOS-achtig” chatvenster naar persoonlijke agenten: Muse van Meta, de persistente agenten van ChatGPT en de Duets van Claude. Dado illustreerde dat met vier niveaus van AI in klantervaring, via de telecommarkt:<\/p>\n Niveau 1 en 2 zijn generatieve AI, niveau 3 en 4 agentische AI. Zuckerberg kondigde Muse zelfs aan als sleutelhanger, wat Dado deed denken aan de Tamagotchi. Alleen moeten we dit keer waarschijnlijk met onze data voeden. Het brain-gedeelte eindigde met Demis Hassabis van DeepMind: AI zal tien keer zoveel impact hebben als de industri\u00eble revolutie, aan tien keer de snelheid<\/strong>.<\/p>\n Westers: OpenAI (GPT-6 Astra), Google (Gemini 4), Microsoft (Copilot), Anthropic (Fable 5.1), Meta (Muse), xAI (Grok 4.7) en Mistral. Mistral is de enige Europese, loopt achter op het Amerikaanse front maar komt dichterbij en zet in op open source. China kreeg een eigen slide: DeepSeek V4 Pro, Alibaba Qwen 3.8, Moonshot Kimi K3, MiniMax M3, ZAI GLM-5, Tencent Hunyuan 3, ByteDance Seed 2.1 en Baidu Ernie 5.1. DeepSeek zou vorige week 15 miljard dollar opgehaald hebben. Vijf van de toonaangevende Chinese modellen zijn open-weight, twee zijn gesloten. Bedrijven moeten dus kiezen tussen westerse modellen via cloud of API en open-weight modellen die ze zelf kunnen hosten, trainen en aanpassen.<\/p>\n De echte verschuiving is niet dat jouw AI mensen bedient, maar dat de AI van de klant de koper wordt. Een make-upplatform in het Midden-Oosten zag zijn chatbot Leila drie keer meer verkopen dan traditionele e-commerce.<\/p>\n Volgens Harvard-onderzoek is de nummer \u00e9\u00e9n reden om AI te gebruiken therapie en gezelschap<\/strong>, bijvoorbeeld om om te gaan met een partner of een tienerdochter. Niet e-mails vertalen of code schrijven. Een creatief voorbeeld: iemand liet Gemini mensen uit de zestiende eeuw “interviewen” en kreeg antwoorden als “Opgestaan, in de stront gestapt, belast. En dat was v\u00f3\u00f3r het ontbijt.”<\/p>\n Mensen op niveau 1 en 5 begrijpen AI heel verschillend, dus duw je collega’s dieper.<\/p>\n Wie 100 uur aan een onderwerp besteedt, loopt voor op zo’n 95% van de mensen. Dat is ongeveer 18 minuten per dag<\/strong>. Probeer AI echt uit en vraag je af wat sneller, goedkoper en vooral beter kan. Voorbeeld: bij de zelfbedieningskiosken van McDonald’s is de gemiddelde bestelling 20% groter. De meesten gokken op upselling via foto’s, maar de nummer \u00e9\u00e9n reden is geen schaamte<\/strong>: niemand kijkt mee terwijl je nog een McFlurry bestelt.<\/p>\n Elke job is een reeks taken. Sommige verdwijnen, wat ruimte laat voor andere taken en voor meer soul. Dado schetste vier scenario’s: mens in<\/strong> de loop (je orkestreert), on<\/strong> the loop (je valideert), uit<\/strong> de loop en voorbij<\/strong> de loop (de volgende versie van de job). Met een citaat van Gerd Leonhard: “If you work like a robot, a robot will take your job.”<\/p>\n De grootste carri\u00e8rples van Dado: voor elke dollar in technologie investeer je er twee in verandering.<\/strong> Change management duurt altijd langer dan je denkt en niet iedereen is een nerd die van technologie houdt.<\/p>\n Het onsexy deel is de data: volgens IBM wordt slechts 1% van de bedrijfsdata<\/strong> door AI gebruikt en veel bedrijven weten niet waar hun data staat. Ethan Mollick adviseert AI op elk niveau van de organisatie een stoel aan tafel te geven.<\/p>\n AI-kosten zijn niet voorspelbaar zoals machine-onderhoud of loonevolutie. Agentische tokens passeerden de menselijke op 6 februari 2026 en het agentgebruik op OpenRouter groeide 14 keer tot 7,3 biljoen tokens (zevendaags gemiddelde). Tegelijk daalt de prijs van AI zo’n 12,7 keer per jaar (2021 tot 2026), sneller dan DNA-sequencing, lithiumbatterijen, rekenkracht of elektriciteit. Het paradoxale effect: de prijs per token en per taak daalt, maar meer gebruik duwt de totale rekening omhoog. Leiders hebben IT en finance nodig om budgetten te bepalen.<\/p>\n AI lijkt het antwoord op elk probleem, maar dat is het niet.<\/p>\n Authenticiteit, passie, personalisatie en “de vibe”, iets wat je niet kunt kwantificeren. Het zit diep in de cultuur en is geen marketinglaagje. Volgens een studie van de Volkskrant was 45% van de artikels al door AI geschreven. Als iedereen dat doet, verliest soul zijn waarde. Het Italiaanse restaurant is het tegenvoorbeeld: de limoncello op het einde voelt persoonlijk, terwijl een Belgisch of Nederlands restaurant je een cappuccino van bijna 6 euro aanrekent. Zelfs het Chinese restaurant in Dado’s dorp kopieerde de limoncello.<\/p>\n Het advies: ga voor mega schaal \u00e9n mega soul<\/strong>, als bedrijf en als individu.<\/p>\n Blue Scuti, een dertienjarige, was in 2023 de eerste mens die Tetris “kraakte”: level 157 bereikte, waar het spel terugviel naar level 18. Zelfs de bedenker had het onmogelijk geacht. Kinderen vinden altijd een manier om waarde te cre\u00ebren. Het duurt ook altijd langer dan we denken: met Bill Gates, we overschatten de korte en onderschatten de lange termijn. Over twee jaar ziet de wereld er ongeveer hetzelfde uit, over tien jaar heel anders. En AI maakt nog fouten: iemand vroeg “een zalm in de rivier” en kreeg een indrukwekkend beeld in de verkeerde context (“So majestic.”). Dado sloot af: het ultieme slagveld is hoe we voor mega schaal<\/strong> gaan, maar ook waar we voor mega soul<\/strong> gaan en onze menselijke waarde beschermen.<\/p>\n <\/p>\n Chris Ayers – dinsdag 09:45\u201310:45<\/em><\/p>\n Chris Ayers is principal software engineer bij Microsoft. Hij werkt in de engineering-operations-organisatie binnen Azure. Bij storingen en incidenten analyseren zij hoe het zover kon komen en of hetzelfde patroon andere services kan raken. Hij zit in het risicoteam dus volgt hij ook aankomende risico\u2019s voor het Microsoft-platform. Deze week ging dat over de kwetsbaarheden in PHP en Brotli en over de certificaatproblemen.<\/p>\n Zijn talk had als ondertitel \u201cThe Crooked Line\u201d en ging over denken als een aanvaller. Ontwikkelaars kunnen MITRE ATT&CK naast de OWASP Top 10 gebruiken om betere verdediging te bouwen.<\/p>\n Een paar notities uit de inleiding:<\/p>\n Chris herinnerde aan de klassieke architectuur: een webserver buiten de DMZ, een API-server en een database diep in het netwerk. Hield je de DMZ ge\u00efsoleerd dan zat je goed.<\/p>\n Vandaag ziet het er anders uit:<\/p>\n OWASP blijft waardevol. De afkorting staat tegenwoordig voor Open Worldwide<\/em> Application Security Project. Chris gaf toe dat hij nog met \u201cWeb\u201d is opgegroeid. De lijst is al ruim 20 jaar vrij constant: kapotte toegangscontrole, slechte cryptografie en injectie. Ze vertelt je wat er stukgaat<\/em> in je applicatie op \u00e9\u00e9n punt en volgt een preventie-eerst-aanpak.<\/p>\n MITRE is een Amerikaanse non-profit die ook de CVE-database beheert. ATT&CK is een kennisbank van echt gedrag van aanvallers<\/strong>: echte aanvallen ingedeeld in tactieken en technieken met bewijs, praktijkvoorbeelden en mitigaties. Het voegt de gedragskant toe: wat aanvallers doen<\/em> en hoe ze meerdere zwakheden aan elkaar knopen.<\/p>\n De twee vullen elkaar aan. ATT&CK gebruikt technique-ID\u2019s (de nummers in de stijl van \u201cT1078\u201d) waarmee je dieper in een OWASP-categorie kunt duiken. Zo hoort Broken Access Control bij T1078 Valid Accounts en Injection bij T1190 en T1059.<\/p>\n ATT&CK kent drie niveaus:<\/p>\n Daarnaast bestaat MITRE ATLAS<\/strong> (het equivalent voor AI-systemen) en op de linkslide stond ook D3FEND.<\/p>\n Enkele voorbeelden van Chris:<\/p>\n De leerboek-kill-chain is een rechte lijn. De werkelijkheid is een kromme lijn<\/strong>: aanvallers proberen iets, gaan een stap terug, vertakken en keren voortdurend terug.<\/p>\n In een ondertekende<\/em> update van Orion werd een backdoor geplaatst. Die laadde SUNBURST, gebruikte vervalste SAML-tokens, gebruikte DNS-signalering voor command and control en exfiltreerde data over dat kanaal. Het trof tot 18.000 klanten en bleef zo\u2019n negen maanden onopgemerkt.<\/p>\n De lessen: je buildpipeline is een aanvalsoppervlak. Zorg voor een rollback-pad, voor detectie en voor rechten die beperken wat componenten mogen. Soms is langzaam gaan en nadenken beter dan haastig een patch uitrollen.<\/p>\n Veelgebruikte routes naar binnen: misbruik van publiek bereikbare applicaties, geldige accounts, brute force en phishing.<\/p>\n Zijn advies:<\/p>\n Daarnaast behandelde hij de klassieke gaten:<\/p>\n Sessies.<\/strong> Aanvallers houden van lange sessies. Wie vanuit een koffiebar inlogt kan zijn sessie laten onderscheppen en hergebruiken. Gebruik een server-side TTL, rolling sessions en fingerprinting en controleer welke flags standaard niet<\/em> aan staan. Op zijn slide stond een kwetsbare sessieconfiguratie met een hardgecodeerd geheim, Uploads.<\/strong> Controleer dat de .jpg echt een jpg is en geen hernoemd script. Zet uploads altijd in quarantaine en scan ze voordat ze je systeem in mogen.<\/p>\n Geheimen.<\/strong> Zet geen credentials ergens in je systeem. Gebruik nog liever geen wachtwoord, connection string of API-sleutel als je managed identities en RBAC<\/strong> kunt gebruiken (Azure, AWS of Google). Chris heeft API-sleutels bijna helemaal uit zijn systemen gehaald. De naam van een Key Vault is geen geheim en Aspire doet dit standaard goed.<\/p>\n Als je toch een geheim lekt:<\/p>\n Ontwijking en logging.<\/strong> Aanvallers gebruiken obfuscatie en vermomming en kunnen je logs vervuilen met misleidende teksten (\u201cadmin approval\u201d). Gebruik gestructureerde logging<\/strong> in plaats van stringbouw en stuur die via OpenTelemetry<\/strong> naar iets als Azure Monitor of Log Analytics. Gebruik een SIEM<\/strong> om audit-, app- en platformlogs te correleren. Append-only logs buiten het proces zijn niet te manipuleren. Logging is een van de duurste onderdelen van een oplossing maar als er iets gebeurt wil je kunnen uitzoeken wat.<\/p>\n Volgens Chris nemen deze aanvallen toe. In de week voor de talk waren het er rond de vijf.<\/p>\n Een bug en geen hack: een lookup-functie waarmee je een Java-klasse van een URL kon laden. De echte pijn was dat de meesten niet wisten dat ze Log4j hadden<\/em> omdat het een dependency van een dependency was. Het werd in een paar dagen meerdere keren gepatcht. De sector schoof hierdoor op naar <\/div>\n![\"Techorama](\"https:\/\/media.qdraw.nl\/log\/techorama-2026\/500\/20261027_081210_d_e_kl.jpg\")
<\/p>\nInhoudsopgave<\/h2>\n
\n
Scale vs Soul: hoe word je mega schaalbaar \u00e9n mega menselijk in het AI-tijdperk?<\/h2>\n
Een nerd met een verleden<\/h3>\n
Brain: AI evolueert razendsnel<\/h3>\n
\n
Agentzwermen en de donkere kant<\/h4>\n
![\"AI](\"https:\/\/media.qdraw.nl\/log\/techorama-2026\/500\/20261027_084004_d_e_kl.jpg\")
<\/p>\nAdoptiesnelheid en persoonlijke agenten<\/h4>\n
\n
Body: het brein krijgt een lichaam<\/h3>\n
\n
Wees een actieve gebruiker: de magie zit in het konijnenhol<\/h3>\n
De spelers<\/h4>\n
Websites, winkels en klanten<\/h4>\n
\n
\n Modus<\/th>\n Aandeel vandaag<\/th>\n<\/tr>\n \n 1. Status quo: mens tot mens<\/td>\n 75%<\/td>\n<\/tr>\n \n 2. Assisted: het bedrijf heeft een AI-agent<\/td>\n 20%<\/td>\n<\/tr>\n \n 3. Delegated: de klant heeft een AI-agent<\/td>\n 5%<\/td>\n<\/tr>\n \n 4. Autonomous: agent tot agent<\/td>\n minder dan 1%<\/td>\n<\/tr>\n<\/table>\n Niet enkel rationeel<\/h4>\n
Vijf stadia van AI-gebruik<\/h4>\n
\n
De 100-urenregel: 18 minuten per dag<\/h4>\n
Intelligentie, FOMO en FOBO<\/h4>\n
\n
Jobs: denk niet binair<\/h4>\n
Organisaties: investeer in verandering<\/h3>\n
Drie niveaus van AI in bedrijven<\/h4>\n
\n
De rol van IT<\/h4>\n
\n
Tokenomics<\/h4>\n
Het governancemodel<\/h4>\n
\n
Soul: wat je niet moet automatiseren<\/h3>\n
\n
Vier dimensies van soul<\/h4>\n
![\"Krantenkop](\"https:\/\/media.qdraw.nl\/log\/techorama-2026\/500\/20261027_092123_d_e_kl.jpg\")
<\/p>\nDe Scale vs Soul-matrix<\/h4>\n
\n
\n <\/th>\n Weinig soul<\/th>\n Veel soul<\/th>\n<\/tr>\n \n Veel schaal<\/th>\n Autonome organisatie<\/strong> (bv. Amazon)<\/td>\n Lighthouse-organisatie<\/strong>: het doel<\/td>\n<\/tr>\n \n Weinig schaal<\/th>\n Ghost-organisatie<\/strong>, de dode zone<\/td>\n Artisan-organisatie<\/strong><\/td>\n<\/tr>\n<\/table>\n Vijf stappen voor brain, body en soul<\/h3>\n
\n
Onderschat jongeren niet en tijd ook niet<\/h3>\n
MITRE ATT&CK for Developers<\/h2>\n
![\"MITRE](\"https:\/\/media.qdraw.nl\/log\/techorama-2026\/500\/20261027_093726_d_e_kl.jpg\")
<\/p>\n\n
Waarom het oude denken niet genoeg is<\/h2>\n
\n
OWASP tegenover ATT&CK<\/h3>\n
\n
De 14 tactieken<\/h2>\n
\n\n
\n \nFase<\/th>\n Tactieken<\/th>\n<\/tr>\n<\/thead>\n \n Voor de aanval<\/td>\n Reconnaissance, Resource Development<\/td>\n<\/tr>\n \n Binnenkomen<\/td>\n Initial Access, Execution, Persistence, Privilege Escalation<\/td>\n<\/tr>\n \n Binnen blijven<\/td>\n Defense Evasion, Credential Access, Discovery, Lateral Movement<\/td>\n<\/tr>\n \n Handelen<\/td>\n Collection, Command & Control, Exfiltration, Impact<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n \n
![\"The](\"https:\/\/media.qdraw.nl\/log\/techorama-2026\/500\/20261027_095630_d_e_kl.jpg\")
<\/p>\nCasus SolarWinds: \u201condertekend betekent niet veilig\u201d<\/h2>\n
Binnenkomen: identiteit en toegang<\/h2>\n
\n
\n
Binnen blijven: sessies, uploads en geheimen<\/h2>\n
secure: false<\/code> en httpOnly: false<\/code>.<\/p>\n\n
Supply chain-compromittering<\/h2>\n
Log4Shell (2021)<\/h3>\n