Twee verhalen verschenen in dezelfde week en de meeste mensen zullen ze afzonderlijk lezen. Het ene gaat over ontslagen. Het andere gaat over een beveiligingsonderzoeker die aan servermoederborden prutst. Gelezen in samenhang wijzen ze op een carrièremove waar in de huidige discussie over AI-vaardigheden vrijwel geen aandacht aan wordt besteed: naar beneden gaan in de stack, niet naar boven.

De applicatielaag raakt — met opzet — steeds voller

Meta's intrede in agentic coding, Muse Code, valt minder op vanwege het model erachter dan vanwege de workflow die het automatiseert. Zuckerberg beschreef hoe het zich vertakt "naar afzonderlijke subagents die parallel werken in geïsoleerde worktrees" en beweerde dat een testrun gelijktijdig zes functies voor een game bouwde zonder conflicten. Dat is inmiddels de ondergrens: Anthropic, OpenAI en een golf aan startups doen al varianten van hetzelfde. Het plannen, schrijven en valideren van code op applicatieniveau in grote repositories wordt een generieke vaardigheid die meerdere leveranciers elkaar proberen te beconcurreren door haar gratis of goedkoop gebundeld aan te bieden.

Ondertussen schrapte Monday.com ongeveer 20% van zijn personeelsbestand — zo'n 600 mensen — vanwege een herstructurering die verband hield met een "transformatie" van het product en de go-to-market, en voegde het bedrijf zich bij een lopende lijst van meer dan 20 bedrijven die AI dit jaar als factor bij ontslagen hebben genoemd. Niemand kan precies zeggen hoeveel daarvan AI-substitutie is en hoeveel AI als handige formulering in een SEC-deponering. Maar de bewegingsrichting is in beide verhalen dezelfde: de code die in een git-repository staat, in een PR wordt gereviewd en in een normale CI-pipeline draait, is precies de code waarvoor agentic tools worden gebouwd om die van begin tot eind te kunnen verwerken.

Waar agents niet aankomen

Dan het andere verhaal. Onderzoekers presenteerden deze week bevindingen waaruit blijkt dat duizenden met internet verbonden servers van grote fabrikanten op afstand van een achterdeur kunnen worden voorzien via bugs in hun baseboard management controllers (BMC's) — de kleine ingebouwde computers op vrijwel elk enterprise-moederbord waarmee beheerders een machine kunnen herstarten, patchen of opnieuw imag'en, zelfs wanneer die is uitgeschakeld. Sommige onderliggende kwetsbaarheden in het IPMI-protocol waarop deze controllers steunen, zijn al sinds minstens 2013 bekend. Onderzoekers noemden de BMC-infrastructuur een "alomtegenwoordig, onvoldoende gemonitord en onvoldoende gepatcht parallel aanvalsoppervlak" — niet omdat niemand wist dat het risico bestond, maar omdat vrijwel niemand de middelen had om het op te lossen.

Dat is de aanwijzing. Dit is geen applicatiecode. Het is firmware, met een eigen besturingssysteem en netwerkstack, grotendeels onzichtbaar voor de tools en workflows waarvoor agentic coding-assistenten zijn geoptimaliseerd. Een agent die een PR tegen een grote repository plant, heeft hier niets om tegen te plannen — er is geen repository, geen testsuite, vaak geen prikkel voor de leverancier om snel een oplossing uit te brengen, en een patchproces dat via hardwarefabrikanten verloopt in plaats van via een `git push`. De vaardigheden die ertoe doen — embedded C, debuggen op protocolniveau, reverse-engineering van firmware, beveiligingsonderzoek op het snijvlak met hardware — bevinden zich op een deel van de stack waar huidige generatie coding-agents niet bij kunnen en waarin de meeste engineeringorganisaties chronisch te weinig hebben geïnvesteerd; de bekende kwetsbaarheden van tien jaar oud vormen daarvan het bewijs.

De nuance, helder uitgesproken

Dit is geen oproep aan elke developer om zich om te scholen tot firmware-engineer — het is een nichemarkt en de vraag zal niet kunnen concurreren met die naar reguliere softwarefuncties. Het argument is beperkter: als je huidige rol zich precies bevindt in het deel van de stack waarop agentic tools het snelst samenkomen — routinematige applicatiecode, volledig binnen één repository, goed afgedekt door tests — dan is het de moeite waard om te weten dat er aangrenzende, lager gelegen lagen bestaan waar de automatiseringsgrens nog niet is aangekomen, waar je de vaardigheden kunt leren zonder een PhD in computerwetenschappen en waar het vraagsignaal (een aanvalsoppervlak dat al tien jaar niet is gepatcht en zojuist op grote schaal publiekelijk is gedemonstreerd) ongewoon concreet is.

Waar je deze maand daadwerkelijk kunt beginnen

  • Lees het primaire onderzoek, niet alleen de samenvatting. In het artikel van Ars Technica worden het protocol (IPMI) en de hardwareklasse (BMC's van grote serverleveranciers) genoemd — dat is je startpunt voor zoektermen in adviezen van leveranciers en CVE-historieken.
  • Doe praktische ervaring op met een open BMC-stack. Met OpenBMC en vergelijkbare opensource-firmwareprojecten kun je echte BMC-code lezen en aanpassen zonder dat je een datacenter nodig hebt — een weekend volstaat om te zien hoe anders dit is dan web- of applicatieontwikkeling.
  • Herformuleer nu al de taal op je cv, nog voordat je je omschoolt. "Out-of-bandbeheer", "lights-outbeheer" en "aanvalsoppervlak onder het besturingssysteem" zijn de termen waarmee teams die hiervoor mensen aannemen je zullen vinden, en ze kosten niets om toe te voegen als de ervaring daadwerkelijk aansluit bij wat je hebt gedaan.
  • Beschouw het als diversificatie, niet als een carrièreswitch. Blijf applicatiecode opleveren — dat is nog altijd het grootste deel van de arbeidsmarkt — maar besteed bewust een deel van je leerbudget aan iets waar een agent nog niet naartoe kan uitwaaieren in een worktree om het voor je op te lossen.