AI wordt steeds vaker ingezet om bedrijfs­net­werken niet alleen te bewaken, maar ook daadwer­ke­lijk te beheren. Daarmee ontstaat een nieuw probleem: hoe weet een organi­satie vooraf of een door een AI-agent voorge­stelde wijzi­ging geen onver­wachte gevolgen heeft? Een digital twin van het netwerk kan hier uitkomst bieden.

Softwa­re­ont­wik­ke­laars zullen niet snel nieuwe code recht­streeks in een produc­tie­om­ge­ving uitpro­beren. Ze beschikken over test- en stagingom­ge­vingen waarin wijzi­gingen eerst uitge­breid worden gecon­tro­leerd. Bij het beheer van netwerken is die schei­ding veel minder vanzelf­spre­kend. Wijzi­gingen aan bijvoor­beeld routing, firewalls of access control lists worden in de praktijk nog regel­matig in de produc­tie­om­ge­ving doorgevoerd.

Zolang netwerk­be­heer­ders derge­lijke wijzi­gingen handmatig uitvoeren en daarvoor vaste onder­houds­ven­sters gebruiken, zijn de risico’s tot op zekere hoogte beheers­baar. De snelle opkomst van AI-agents veran­dert dat. Deze agents kunnen problemen analy­seren, oplos­singen voorstellen en in toene­mende mate ook zelfstandig wijzi­gingen doorvoeren. Daarmee kan ook de snelheid waarmee fouten worden gemaakt sterk toenemen.

Een mogelijke oplos­sing is een digital twin van het netwerk: een digitale kopie waarmee vooraf kan worden vastge­steld wat de gevolgen van een wijzi­ging zijn.

Meer dan monitoring

Het idee wordt beschreven in The Network Digital Twin Guide van Forward Networks, waarover analist Zeus Kerra­vala schrijft in Compu­ter­woche. Een digitale netwerk-tweeling is volgens deze benade­ring een softwa­re­ma­tige replica van het produc­tie­net­werk waarin apparaten, confi­gu­ra­ties en mogelijke netwerk­paden zijn opgenomen.

Daarbij bestaan verschil­lende techni­sche benade­ringen. Een netwerk kan bijvoor­beeld worden geëmu­leerd door daadwer­ke­lijk firmware van netwerk­ap­pa­ra­tuur te gebruiken om speci­fieke scenario’s na te bootsen. Een andere aanpak is het bouwen van een deter­mi­nis­tisch wiskundig model op basis van de confi­gu­ratie en actuele toestand van het netwerk. Daarmee kunnen alle mogelijke forwar­ding-paden worden doorgerekend.

Dat onder­scheid is belang­rijk. Een simulatie of emulatie laat vooral zien wat er tijdens een bepaalde test gebeurt. Een wiskundig model probeert vast te stellen wat onder verschil­lende omstan­dig­heden in het complete netwerk kan gebeuren.

Daarmee verschilt een digitale tweeling ook van obser­va­bi­lity- en monito­ringsoft­ware. Monito­ring laat bijvoor­beeld zien hoeveel verkeer over een verbin­ding loopt, welke appara­tuur problemen vertoont of waar vertra­ging ontstaat. Een digitale tweeling probeert een andere vraag te beant­woorden: waar kan netwerk­ver­keer op basis van alle confi­gu­ra­ties, policies en verbin­dingen daadwer­ke­lijk terechtkomen?

Netwerken wijken af van het ontwerp

Juist die vraag wordt belang­rijker naarmate netwerken complexer worden. Een bedrijfs­net­werk begint doorgaans met een ontwerp waarin zaken als connec­ti­vi­teit, segmen­tatie, security en redun­dantie zijn vastge­legd. Zodra de infra­struc­tuur eenmaal in productie is, ontstaat echter vrijwel onver­mij­de­lijk een verschil tussen ontwerp en werkelijkheid.

Nieuwe appara­tuur wordt toege­voegd, firewall­re­gels worden aange­past, tijde­lijke uitzon­de­ringen worden perma­nent en workloads verhuizen naar de cloud. Tegelij­ker­tijd loopt documen­tatie niet altijd gelijk met al die wijzigingen.

Forward Networks noemt dit de intent-reality gap: het verschil tussen hoe het netwerk volgens het ontwerp zou moeten functi­o­neren en hoe het daadwer­ke­lijk functioneert.

Dat verschil kan ook vernieu­wing vertragen. Als beheer­ders niet precies weten wat de gevolgen van een confi­gu­ra­tie­wij­zi­ging zijn, ligt voorzich­tig­heid voor de hand. Een software-update wordt uitge­steld, een firewal­l­wij­zi­ging moet door meerdere mensen worden gecon­tro­leerd en patches blijven langer liggen dan gewenst.

Dat laatste kan gevolgen hebben voor de security. De analyse verwijst onder meer naar het Verizon Data Breach Inves­ti­ga­tions Report. Daaruit blijkt dat het misbruik van kwets­baar­heden in netwerk-edge-appara­tuur zoals VPN’s, firewalls en routers sterk is toegenomen.

AI maakt het probleem urgenter

De komst van AI maakt een nauwkeurig model van het netwerk om twee redenen relevanter. Aan de ene kant moeten netwerken steeds vaker zware AI-workloads onder­steunen. Dat stelt hoge eisen aan capaci­teit, latency en beschikbaarheid.

Aan de andere kant verschijnt AI steeds nadruk­ke­lijker in het netwerk­be­heer zelf. Leveran­ciers ontwik­kelen copilots en agents die storingen analy­seren, confi­gu­ra­ties contro­leren en wijzi­gingen voorstellen. De volgende stap is dat derge­lijke agents zelf acties gaan uitvoeren.

Daar zit een funda­men­teel probleem. Genera­tieve AI en large language models zijn proba­bi­lis­ti­sche systemen. Een antwoord kan zeer aanne­me­lijk klinken zonder noodza­ke­lij­ker­wijs correct te zijn. Voor een chatbot is dat verve­lend; voor een AI-agent die honderden firewall- of routing­wij­zi­gingen kan uitvoeren, kan het aanzien­lijk grotere gevolgen hebben.

Een tradi­ti­o­nele Change Advisory Board kan tegelij­ker­tijd onmoge­lijk honderden door AI voorge­stelde wijzi­gingen per uur handmatig contro­leren. Wie netwerk­be­heer verder wil automa­ti­seren, heeft daarom een andere contro­le­laag nodig.

Eerst testen, dan uitvoeren

Een digitale netwerk-tweeling kan die rol vervullen. Een door een beheerder of AI-agent voorge­stelde veran­de­ring wordt dan eerst op het model losge­laten. Het systeem berekent vervol­gens of bijvoor­beeld connec­ti­vi­teit verloren gaat, ongewenste toegang ontstaat of een bepaalde policy wordt overtreden.

Voor NetOps kan dat betekenen dat wijzi­gingen in BGP, OSPF of access control lists vooraf worden gevali­deerd. Securi­ty­teams kunnen nieuwe firewall­re­gels contro­leren op onbedoelde toegang. Cloud­teams kunnen nagaan of netwerk­paden tussen on-premises infra­struc­tuur en verschil­lende public clouds correct functi­o­neren. Ook voor compli­ance is de aanpak interes­sant, omdat controles continu kunnen plaats­vinden en veran­de­ringen kunnen worden vastge­legd in een audit trail.

Interes­sant is vooral de combi­natie met AI-agents. In plaats van een agent recht­streeks toegang te geven tot netwerk­ap­pa­ra­tuur, kan een digital twin als verifi­ca­tie­laag worden gebruikt. De AI stelt een veran­de­ring voor, het deter­mi­nis­ti­sche model contro­leert de conse­quen­ties en pas daarna kan de wijzi­ging eventueel worden uitgevoerd.

Daarmee ontstaat in feite een schei­ding tussen twee werelden: een proba­bi­lis­ti­sche AI-laag die analy­seert en voorstellen doet, en een deter­mi­nis­ti­sche netwerk­laag die contro­leert of die voorstellen technisch verant­woord zijn.

Autonoom netwerk is laatste stap

Dat betekent niet dat netwerk­be­heer­ders nu onmid­del­lijk naar volledig autonoom netwerk­be­heer moeten overstappen. Forward Networks beschrijft juist een staps­ge­wijze ontwik­ke­ling: eerst een betrouw­baar beeld creëren van het werke­lijke gedrag van het netwerk, vervol­gens die infor­matie toegan­ke­lijk maken, daarna wijzi­gingen vooraf automa­tisch contro­leren en pas uitein­de­lijk veilige autonome uitvoe­ring mogelijk maken.

Voor IT-organi­sa­ties zit daar waarschijn­lijk de belang­rijkste boodschap. De discussie over AI in netwerk­be­heer gaat vaak over wat agents allemaal zelfstandig kunnen doen. Minstens zo belang­rijk is echter de vraag hoe gecon­tro­leerd kan worden of hun beslis­singen correct zijn.

Wie AI-agents meer bevoegd­heden geeft, heeft daarom niet minder controle nodig, maar juist een betrouw­baar­dere en sneller werkende vorm van controle. Een digitale tweeling van het netwerk kan daarmee uitgroeien van een hulpmiddel voor netwerk­mo­del­le­ring tot een belang­rijke veilig­heids­laag onder autonoom IT-beheer.