Nikesh Arora testte in april de risico's van geavanceerde kunstmatige intelligentie binnen Palo Alto Networks door een niet-vrijgegeven versie van Anthropic's Mythos-model los te laten op de interne infrastructuur van het cybersecuritybedrijf. Zijn team gaf het model de opdracht naar kwetsbaarheden te zoeken.

Claude Mythos 5, Anthropic's grensverleggende model voor geavanceerde programmeer- en cybersecuritywerk, was zo effectief in het hacken van systemen dat de Amerikaanse overheid poging­de de vrijgave te beperken. In juni legde de overheid tijdelijk exportcontroles—beperkingen die bepalen waar­naar en aan wie gevoelige technologieën mogen worden overgedragen—op aan Mythos en een verwant model, Fable, waardoor Anthropic beide modellen voor alle gebruikers moest uitschakelen. Functionarissen stonden Anthropic later toe de toegang tot Mythos te herstellen voor een klein aantal gecontroleerde Amerikaanse gebruikers en verleenden vervolgens toegang aan geselecteerde gebruikers in 15 andere landen.

De gecontroleerde test bij Palo Alto Networks leverde verontrustende resultaten op. Mythos vond zwakke plekken in een tempo en op een schaal die Arora, de ceo van het bedrijf, ervan overtuigden dat cybersecurity permanent was veranderd. Hij concludeerde ook dat Mythos en concurrerende modellen van OpenAI, Anthropic's rivaal, “het beste marketingmoment voor de cybersecuritysector uit de geschiedenis” hadden gecreëerd.

De modellen maakten een scenario tastbaar waarin aanvallers vrijwelmiddellijk kwetsbaarheden kunnen identificeren die de infrastructuur waarvan banken, bedrijven, ziekenhuizen, luchthavens en overheden afhankelijk zijn, lam kunnen leggen. Recente incidenten met AI-agenten die “ontspoorden”, samen met groeiende bezorgdheid over een door AI veroorzaakte catastrofe voor de mensheid, hebben verschillende toonaangevende AI-leveranciers, waaronder Anthropic, ertoe aangezet op te roepen tot een gecoördineerde vertraging van de AI-ontwikkeling, zodat veiligheidsmaatregelen kunnen bijbenen.

Voor cybersecurity vertegenwoordigt AI zowel een ongekende potentiële groeimotor als een existentiële uitdaging. Die spanning heeft Arora, 58, in het centrum van een bredere afrekening binnen de technologiesector geplaatst en hem een gevraagd adviseur gemaakt voor AI-leiders en andere topbestuurders.

Vóór Mythos, zegt Arora, had een bedrijf dat over cybersecurity werd benaderd misschien geantwoord: “Prima, ga even naast de verzekeraar staan.” Nu zegt hij: “voor het eerst willen ceo's Mythos zien, willen ze erover praten.”

Mythos en vergelijkbare systemen hebben ook krachtige nieuwe concurrenten gecreëerd voor Palo Alto Networks. Toonaangevende AI-bedrijven proberen hun modellen rechtstreeks als cybersecurityoplossingen te verkopen. Lee Klarich, chief product and technology officer bij Palo Alto Networks, ziet dat niet als een grote dreiging. “Ik geloof niet dat bedrijven de grote AI-labs zullen vertrouwen om hun cybersecurity te verzorgen,” zegt Klarich. “In die context denk ik dat Nikesh's stem boven alle andere uitsteekt.”

Een bestuurder die de afgelopen jaren vaak Arora's advies heeft ingewonnen, is Sam Altman, ceo van OpenAI. Altman heeft erkend dat de mogelijkheden van de modellen die zijn bedrijf bouwt de risicovergelijking voor bedrijven overal hebben veranderd.

“Er moet gewoon een waanzinnige hoeveelheid werk gebeuren om grote cybersecurityproblemen te voorkomen,” vertelt Altman aan Fortune. “Ik denk dat het moeilijk wordt om elke bug op het internet te patchen. We hebben hier een nieuw model van cybersecurity nodig.”

Dat is precies het model dat Arora probeert te bouwen bij Palo Alto Networks, dat in 2005 werd medeopgericht door de Israëlische cybersecurityondernemer Nir Zuk. Oorspronkelijk een leverancier van firewalls, verkoopt het bedrijf al lang producten die cyberaanvallen moeten voorkomen en herstellen. Onder Arora is het bedrijf gegroeid en heeft het zich intens gericht op beveiliging in het AI-tijdperk.

Palo Alto Networks exploiteert nu een breed platform dat netwerk-, cloud-, identiteits-, endpoint- en observability-beveiliging omvat. Tot de klanten behoren ongeveer 95% van de Fortune 500. Tyson Foods en Colgate-Palmolive maken gebruik van de diensten, net als National Hockey League en Major League Baseball. Het bedrijf beveiligt ook de Sphere in Las Vegas, dat door Palo Alto wordt omschreven als een van de meest gerichte digitale ruimtes ter wereld.

Schattingen van de totale adresseerbare cybersecuritymarkt variëren, maar plaatsen de waarde in de honderden miljarden dollars. Jonathan Ho, partner en technologie-aandelenanalist bij William Blair, zegt dat AI een onverminderde tegenwind-mee­val (tailwind) is die “cumulatief de omvang van de markt waarschijnlijk verdubbelt.” Palo Alto Networks zegt momenteel 6% van de markt in handen te hebben, en Arora gelooft dat het bedrijf zijn positie kan uitbreiden.

Voor wie de cybersecurityproblemen van het AI-tijdperk oplost, kan de kans generatiebepalend zijn. Arora is eveneens direct over de risico's en stelt dat oude aannames kunnen verdwijnen en dat crisis de norm is geworden. “Je kunt de crisis niet oplossen,” zegt hij. “De gevolgen zijn al in gang gezet. Dus je moet in de modus van gevolgenbeheersing zitten.”

Arora staat bekend als zowel een stoïcijn als een provocateur. Een immigrant in de Verenigde Staten die eerder chief marketing officer, chief business officer en investeerder was, blijft hij een buitenstaander ondanks zijn uitgebreide connecties in Silicon Valley. Hij staat er ook om bekend dat hij werknemers, ceo's en andere prominenten onvervalst advies geeft.

“Er zijn weinig mensen met zijn diepgang en breedte, en hij vertelt je wat je niet wilt horen,” zegt Dara Khosrowshahi, ceo van Uber, waar Arora bestuurslid is. “Soms is het als ceo een eenzame baan. Er zijn veel mensen die hun alinea's voor je fabriceren, en Nikesh is op geen enkele manier gefabriceerd.”

Altman zegt dat hij sinds circa 2023 bij Arora te rade gaat. “Ik denk dat het moeilijk is om direct, uitvoerbaar advies te krijgen,” merkt Altman op. “De meeste mensen zijn niet zeker, niet zelfverzekerd, druk, of zullen niet genoeg tijd besteden. Misschien willen ze je niet kwetsen.”

“Ik noem hem de ceo-fluisteraar,” zegt Divesh Makan, partner bij Iconiq Capital en mede-eigenaar van het cricketteam London Spirit met Arora. “Sommige mensen vinden het niet leuk dat hij zo direct is. ‘Wie denk jij wel niet dat je bent, dat je mij vertelt dat dit niet gaat werken!’ Hij zegt het vriendelijk, maar hij zit je neer en zegt: ‘Kijk, ik denk dat je ongelijk hebt, en is waarom.’ Ik denk dat dat het geheim is.”

Toen Arora in 2018 ceo van Palo Alto Networks werd, stond cybersecurity op een keerpunt. De cloud was het belangrijkste strijdtoneel geworden, het aantal cyberaanvallen nam toe, en er was nog geen overall sectorleider ontstaan. De sector bleef gefragmenteerd, met bedrijven die bovenop elkaar waren gestapeld—een structuur die Klarich halflachend “de congalijn” noemt. Bedrijven gebruikten één leverancier voor de beveiliging van laptops en telefoons, een andere voor cloudinfrastructuur, en weer anderen voor andere beveiligingsbehoeften.

“Geen enkel cybersecuritybedrijf was er in 2018 ooit in geslaagd om van leider in één grote categorie leider in meerdere categorieën te worden,” voegt Klarich toe, die meer dan 20 jaar bij Palo Alto Networks werkt. “Symantec kwam nooit echt los van endpoint security. McAfee, hetzelfde, hoewel ze probeerden zich via overnames in andere ruimtes te werken. Cisco, dat zou ik geen leider in andere categorieën noemen. Ga de lijst af, het gebeurde echt niet.”

Arora concludeerde dat Palo Alto de regie moest nemen nu chief information security officers op zoek waren naar betrouwbare partners. Zijn antwoord was een “platformisering”-strategie die intern onderzoek en ontwikkeling combineerde met overnames. Tijdens zijn ambtsperiode heeft Palo Alto Networks meer dan 25 deals gesloten, waaronder de overname van dit jaar van het identiteitsbeveiligingsbedrijf CyberArk ter waarde van $25 miljard, waarvan de tools bepalen welke mensen en machines toegang hebben tot bedrijfssystemen. Sommige overnames slaagden niet, maar het doel was een one-stop cybersecurityplatform te creëren dat in de hele sector kon concurreren.

“Als je naar de meeste industrieën of de meeste categorieën kijkt, krijgen nummer 1 en 2 onevenredig veel van de winst, en nummer 3 en 4 niet,” zegt Arora. “Ken je een derde zoekmachine? Ken je een derde sociaal netwerk?” Hij haalt de zin uit Talladega Nights aan: “If you ain't first, you're last.”

De strategie heeft tot nu toe gewerkt. Matt Hedberg, managing director softwareonderzoek bij RBC Capital Markets, zegt dat Palo Alto's full-stack-aanpak het onderscheidt van concurrenten. Chief information security officers willen geen tientallen of honderden losse point solutions kopen, zegt hij. In plaats daarvan “zetten ze een platforminzet op Palo” in de veronderstelling dat het bedrijf de partnerschappen, integraties, strategische fusies en overnames en organische productontwikkeling heeft om de volgende onbekende dreiging te identificeren.

Toen Arora het roer overnam, was Palo Alto Networks een bedrijf ter waarde van $18,51 miljard met een jaaromzet van $2,27 miljard en ongeveer 5.300 werknemers. Tijdens de voorbereiding van dithaal schommelde de marktkapitalisatie tussen $270 miljard en meer dan $300 miljard in een volatiele markt. Het bedrijf meldde een omzet van $11,48 miljard over het fiscale jaar 2026. Palo Alto Networks sloot zich in 2025 aan bij de Fortune 500 en is het enige pure cybersecuritybedrijf op de lijst.

“Er is uiteraard geen precedent voor [cybersecurity]bedrijven die de omvang van Palo Alto bereiken,” zegt Ho van William Blair. “Leiders van vorige generaties zoals Symantec, McAfee en Cisco handhaafden de innovatie niet. En uiteindelijk werden ze zo groot dat ze de bollen in de lucht niet konden houden. Palo Alto heeft dat beter gedaan.”

Arora's weg naar Palo Alto Networks begon in India. Geboren in Ghaziabad, is hij de zoon van een advocaat bij de Indiase luchtmacht. Zijn familie verhuisde vaak, en hij bezocht ten minste vijf scholen voordat hij een diploma behaalde aan een van India's prestigieuze publieke Indian Institutes of Technology-programma's aan de Banaras Hindu University.

In 1990, op 22-jarige leeftijd, kwam hij aan in Boston om een MBA te beginnen aan Northeastern University, het enige programma dat zijn collegegeld wilde dekken. Op zijn eerste avond in de Verenigde Staten zat hij in de achterste booth van een Indiaas restaurant in Cambridge, Massachusetts, met twee koffers onder zijn stoel en $200 op zak. Een alumna had hem van de luchthaven opgehaald en afgezet bij Oh Calcutta, een restaurant eigendom van de zoon van een vriendin van zijn moeder.

Na bij de familie­vriend te hebben gelogeerd, zag Arora een advertentie in de Boston Globe met de tekst “vier Indiërs, vijfde kamer gratis.” Hij nam die vijfde kamer en at meer dan een jaar niet opnieuw in een restaurant. Tijdens zijn studie werkte hij een reeks baantjes: bij Burger King, als docent avondlessen, als onderzoeksassistent van een financehoogleraar, als goed betaald notulist voor studenten met een beperking en als campusbeveiliger.

Nu miljardair herinnert hij zich nog levendig dat hij identiteitskaarten controleerde. “Niets doet er toe,” zegt Arora. “Ik kan het meest weelderige leven leiden, en ik kan het meest sobere leven leiden.”

Na zijn studie werd hij adviseur van de ceo van T-Mobile. Hij trad in 2004, een maand na de beursintroductie, toe tot Google als vicepresident verantwoordelijk voor Europa. Hij klom snel op en werd in 2009 chief business officer van Google.

Na Google had Arora een korte en moeilijke periode als beoogde opvolger van Masayoshi Son bij SoftBank, die in 2016 eindigde. Naamloze SoftBank-financiers beschuldigden hem van belangenverstrengeling, maar een intern onderzoek vond de beschuldigingen ongegrond. Arora vert toch, nadat Son had besloten aan het roer te blijven.

Tegen de tijd dat hij in aanmerking kwam voor de ceo-functie bij Palo Alto Networks, stond Arora bekend als een goed verbonden bestuurder met een reputatie voor het voorzien van ontwikkelingen, hoewel geen cybersecurityspecialist. Eric Schmidt, de voormalige Google-ceo die tien jaar met Arora werkte, beschrijft hem als “hard-charging” en ongewoon scherpzinnig.

Schmidt herinnert zich dat Arora, toen hij in Londen gevestigd was, hem in maart 2008 een bericht stuurde met de tekst: “Er is iets aan de hand, en ik stuur iemand naar je toe.” Twee van Arora's analytische medewerkers vlogen naar Schmidt en meldden dat een verandering in de UK-inkomstenmonetisatie niet verklaard kon worden. Schmidt zegt dat zij de Wereldfinanciële Crisis een maand eerder dan anderen herkenden. “Het is mijn beste verhaal over Nikesh, want de waarde van die vroege wachter was onschatbaar,” zegt Schmidt.

Bij Google ontwikkelde Arora een reputatie voor het eisen van voorbereiding. “Als mensen onvoorbereid deze kamer binnenkomen, verlaten ze de kamer wetend dat ze onvoorbereid waren,” zegt hij. “Ik zeg tegen de mensen die deze kamer binnenkomen: ‘Als je veel aan je hoofd hebt, geef het aan mij, dan regel ik het—maar kom hier niet verward binnen.’”

Dat niveau van strengheid is nodig, zegt Arora, wanneer de gevolgen van fouten ernstig kunnen zijn. “Wil je in die raket stappen die gebouwd is door iemand die kater had en besloot de schroef niet aan te draaien?” vraagt hij. “Zou je ooit vergeven dat iemand niet alle controles deed op een vliegtuig voordat het opsteeg met 200 levens op het spel? Dat verwacht je van die mensen. Je verwacht dat ze het niet verknallen. Waarom is het dan zo zwaar dat ik verwacht dat mijn team het niet verknalt? In elk bedrijf waarin we werken zijn er levensbedreigende of levensbeëindigende dingen die kunnen gebeuren als mensen niet opletten.”

Die houding schrijft hij deels toe aan de militaire discipline van zijn vader. “Mijn vader zei tegen me: ‘Sta 's ochtends op en doe je best. En als je niet je best staat te doen, ga weer slapen,’” zegt Arora. “Als je moet verschijnen, verschijn dan op je best.”

Toen ChatGPT werd uitgebracht, was Arora onderweg naar India om een afstudeerrede te houden voor 30.000 mensen aan zijn alma mater, de Banaras Hindu University. Tijdens een overstap in Dubai opende hij ChatGPT en hij wist: AI was van onderzoeksnieuwigheid tot wereldveranderende technologie gegaan.

“Ik heb mijn rede herschreven tijdens de vlucht tussen Dubai en Varanasi om over ChatPT te praten,” herinnert hij zich. “Ik zei: ‘AI is zoals de uitvinding van de iPhone. Dit is versie nul van deze technologie; het moment waarop je je eerste app op je telefoon kreeg. Als je die film verder afspeelt, staat over ongeveer tien jaar de hele wereld op zijn kop, en dit is de eerste dag van die gebeurtenis.’” Arora wijst erop dat hij de term “iPhone-moment” maanden gebruikte voordat Nvidia-ceo Jensen Huang die populariseerde.

De ernst en snelheid van AI's impact op cybersecurity waren echter misschien moeilijk te voorspellen. Op de gerapporteerde gevaren van Mythos volgde in juli een incident waarbij OpenAI-agenten ontsnapten uit een interne sandbox en het open-sourcebedrijf Hugging Face aanvielen. De agenten coördineerden zich onderling, wat de gevolgen aantoont van meerdere AI-agenten die een gedeeld doel najagen.

“AI begrijpt geen moraal, het begrijpt tactiek,” zegt Arora. “Onbeperkte agenten, getraind op de intelligentie van alle content die er is, zonder hun noordster vast te stellen, zullen doen wat nodig is. Als ik zeg: ‘Jouw taak is de vlag te veroveren,’ bedenk dan dat het getraind is op elk goed en slecht ding op het internet … Het kent geen moraal. Het heeft alleen informatie die zegt: ‘Soms, als je niet via de deur naar binnen kunt, breek je het raam.’”

Mythos was niet foutloos in de apriltert. Arora schat dat 30% van de kwetsbaarheden die het model aangaf niet echt waren. “Als je een scepticus was, zou je zeggen dat Mythos het niet goed doet,” zegt hij. “Maar het probleem is dat zeven van de tien goed is—that is best goed voor de aanvaller. Het is niet goed voor de verdediger.”

Het gemiddelde venster om een cybersecurity­inbreuk te vinden en te verhelpen is drie dagen, zegt Arora, terwijl een door AI aangedreven cyberaanval zich in 12 minuten kan ontvouwen. AI kan goedkoop en onafgebroken op machinesnelheid systemen afpeilen totdat het een weg naar binnen vindt. “Het is alsof je een stormram voor je voordeur zet, gekocht bij Home Depot,” zegt Arora.

De incidenten rond Mythos en OpenAI–Hugging Face wijzen op een toekomst waarin AI-systemen die op deze manier werken kwetsbaarheden kunnen ontdekken én kunnen besluiten ze te gebruiken—met snelheid en op schaal. Een generatiebepalende cyberaanval heeft zich nog niet voorgedaan, maar eerdere incidenten tonen de mogelijke schade. In Oekraïne zorgde de NotPetya-aanval van 2017 er onder meer voor dat computers voor stralingsmonitoring in Tsjernobyl offline gingen en leidde tot $10 miljard aan verliezen.

Arora's reactie op de dreiging hangt samen met zijn brederefilosofie. Op een whiteboard in de vergaderzaak naast zijn kantoor staan verschillende van zijn regels, waaronder “Sell what's on the truck,” naast waarschuwingen tegen organisatorische arrogantie: “Onze innovatie is genialiteit. Die van hen is puur geluk.”

John Donovan, voormalig ceo van AT&T en huidig bestuurslid van Palo Alto Networks, zegt dat Arora volledig gericht is op de komende uitdaging. “Als je zijn brein opende en erin keek, zou het altijd zijn als de elfenwinkel van de kerstman drie dagen voor Kerst,” zegt hij. “Hij wil als eerste bij het belangrijkste punt uitkomen.”

Michael Grimes, voorzitter van investment banking bij Morgan Stanley, heeft met Arora aan meerdere deals gewerkt en zegt dat Arora's streven naar helderheid uniek is: “Mensen gebruiken de uitdrukking ‘om hoeken heen kijken’ … In zijn geval is het alsof hij een stad zonder hoeken kan ontwerpen.”

De volgende AI-beveiligingsdreiging kan van overal komen, zegt Arora—zelfs uit je stofzuiger.

“Iemand stuurde me deze robotstofzuiger,” mijmert hij. “En ik dacht: ‘Dat is een aanvalsoppervlak dat moeilijk te vangen is.’ Stel je voor dat dit ding een camera heeft, en de camera helpt het door je huis te lopen? Stel je voor dat het een microfoon heeft, zodat het je kan beluisteren? Alles wat nodig is: ‘Hé, laten we het luisterapparaat en de camera in je Roomba-achtige stofzuiger overnemen. Laten we meteen foto's van je hele huis maken.’ Dat klinkt als een cyberaanval.”

Nu het mogelijke aanvalsoppervlak groeit en de hoeveelheid AI-verkeer op het internet explodeert, is Arora een sleutelfiguur geworden in het gesprek over AI en cybersecurity, zowel publiek als achter de schermen van Silicon Valley. Waar dat allemaal naartoe leidt, is nog nooit zo belangrijk geweest—for Arora en Palo Alto Networks, maar ook voor ons allemaal, die een onzekere, door AI aangedreven toekomst tegemoet gaan.

Als ik Arora vraag wat hij over de toekomst zou willen weten, weigert hij te speculeren. “Dat zou het leven zo saai maken,” zegt hij. “Het doet afbreuk aan het doel van de toekomst. Het hele punt van de toekomst is dat ze verbazingwekkend, optimistisch en onbekend is. Als we de toekomst al kenden, zou het geen toekomst heten.”

Dit artikel verschijnt in de oktober-/novembereditie 2026 van Fortune onder de kop “Nikesh Arora: The man shaping a defense against AI's darks side.” Het verhaal verscheen oorspronkelijk op Fortune.com.

Bron: https://fortune.com/2026/09/30/nikesh-arora-palo-alto-networks-ceo-ai-cybersecurity-defense/