Het interessantste carrièreteken van deze week zat niet in een productlancering. Het zat in een beveiligingsonthulling over moederborden. Onderzoekers die nieuwe bevindingen presenteerden, lieten zien dat baseboard management controllers — de kleine, afzonderlijke computers die zijn ingebouwd in de moederborden van de meeste enterprise-servers en hun eigen besturingssysteem en netwerkstack draaien, zodat beheerders een machine opnieuw kunnen opstarten of van een nieuwe image kunnen voorzien, zelfs wanneer die is uitgeschakeld — op afstand van een achterdeur kunnen worden voorzien via bugs die er in sommige gevallen al meer dan tien jaar zitten. Eén formulering van een onderzoeker is me bijgebleven: een „alomtegenwoordig, onvoldoende gemonitord en onvoldoende gepatcht parallel aanvalsoppervlak”. Die zin beschrijft eigenlijk een carrièrekans die voor iedereen zichtbaar verborgen ligt, en het is de moeite waard om die uiteen te rafelen voor iedereen die in deze markt een volgende stap plant.

Wat er daadwerkelijk aan het licht kwam

BMC's bestaan juist omdat ze buiten de systemen werken waar iedereen aandacht aan besteedt. Ze vormen de „lights-out”-laag — toegankelijk en krachtig, zelfs wanneer het besturingssysteem erboven niet reageert of de machine uitstaat. Precies daarom zijn ze gevaarlijk wanneer ze worden verwaarloosd: een vloot van duizenden servers van de grootste fabrikanten, waarop firmware draait waar sinds de levering niemand nauwkeurig naar heeft gekeken. Niemand schreef een gelikte app boven op een BMC. Niemand presenteerde op een demodag het idee: „we patchen IPMI”. Per definitie is dit de minst glamoureuze laag van de stack — precies daarom is die verrot.

Het patroon onder het patroon

Zet dat verhaal naast twee andere uit dezelfde nieuwsronde en er tekent zich een patroon af. Meta's nieuwe terminalcodeeragent, Muse Code, zet eigen subagents in om code in grote repositories parallel te schrijven en te valideren — Zuckerbergs eigen voorbeeld was het gelijktijdig bouwen van zes functies. Google heeft zijn zoekvak voor het eerst in 25 jaar opnieuw opgebouwd en AI Overviews en AI Mode samengevoegd in één conversationeel invoerpunt dat tekst, afbeeldingen, pdf's en video accepteert. Beide bewegingen pompen meer investeringen, meer personeel en meer productaandacht in de absolute bovenkant van de stack: de interface, de zoekopdracht, de code die de gebruiker of agent rechtstreeks aanraakt.

Toen Monday.com deze maand AI aanhaalde in zijn reorganisatie en de personeelsomvang met ongeveer 20% verlaagde, noemde de SEC-filing ondertussen specifiek „product, marketing, and go-to-market” als de functies die werden getransformeerd — de klantgerichte, outputgerichte, promptnabije laag van het organogram. Dat is niet zozeer toeval als wel een richting waarin de markt beweegt: kapitaal en automatisering concentreren zich beide aan de bovenkant van de stack, waar de gebruiker zit, waar de demo plaatsvindt en waar het LLM rechtstreeks het artefact kan genereren. De vloer eronder — de fysieke en sem ifysieke infrastructuur die moet blijven draaien ongeacht welke agent of welk model dit kwartaal in de mode is — krijgt relatief minder aandacht, niet meer, zelfs nu de hoeveelheid code en verkeer die erop draait blijft groeien.

Waarom de vloer zich anders gedraagt

Dit is geen betoog dat werk aan hardware en infrastructuur „AI-bestendig” is — niets is dat, en ik zou iedereen die je een permanente slotgracht verkoopt met grote voorzichtigheid benaderen. Maar het gedraagt zich op drie manieren anders, die we gewoon duidelijk moeten benoemen. Ten eerste is het heterogeen en leveranciersspecifiek op een manier die zich verzet tegen de schone trainingsdata en generalisatie waardoor codeeragenten goed zijn in bijvoorbeeld een Python-refactor — een BMC-bug in de firmware van de ene fabrikant generaliseert niet netjes naar die van een andere. Ten tweede vereist het oplossen ervan meestal oordeelsvermogen in de fysieke wereld — onderhoudsvensters coördineren, de herkomst van firmware verifiëren, beslissen of een patch voor de hele vloot out-of-band kan worden uitgerold — waarbij een autonome agent kan helpen, maar dat organisaties voorlopig terughoudend zijn om zonder toezicht uit handen te geven, juist omdat het faalscenario luidt: „een server met een achterdeur die ook na een reimage een achterdeur houdt”. Ten derde, en het eenvoudigst: minder mensen kiezen ervoor zich hierin te specialiseren. Firmware- en low-level-infrastructuurbeveiliging kampt al jaren met een tekort aan talent, ruim voordat deze golf van AI-aanwervingsangst begon, omdat het trager, minder goed te demonstreren en minder modieus is dan een functie opleveren.

Wat je hier daadwerkelijk mee kunt doen

Ik zeg niet dat elke lezer vrijdag nog firmware-engineer moet worden. Maar als je al in de buurt zit van infrastructuur, beveiliging of platformengineering, is dit een aansporing om dieper te gaan in plaats van de laag achterna te jagen waar iedereen zich op stapelt:

  • Maak jezelf vertrouwd met de terminologie, ook als je geen specialist bent: BMC, IPMI, Redfish, out-of-bandbeheer, firmware-attestatie in de toeleveringsketen. Je hoeft geen expert te zijn om degene in een team te worden die weet dat deze laag bestaat en ernaar vraagt.
  • Als je in security werkt en richting „AI-red-teaming” beweegt omdat dat het hippe subgebied is, besef dan dat het momenteel ook het drukstbevolkte is. De ongepatchte, ongemonitorde infrastructuur onder de AI-stack van je bedrijf is een werkelijk onderbelicht risico-oppervlak en een onderscheidende regel op je cv.
  • Als je in een product-, marketing- of go-to-marketfunctie werkt die kwetsbaar aanvoelt — de functies die daadwerkelijk in de ontslagdossiers van deze maand werden genoemd — dan zijn functies in infrastructuur en platformbetrouwbaarheid een legitieme zijstap, geen stap omlaag. De vaardigheidskloof is reëel en wordt gemeten in jaren institutioneel geduld, niet in een bootcamp van zes weken.
  • Verwar „saai” niet met „voor altijd veilig”. Dit is een gok op relatieve schaarste, gekoppeld aan waar aandacht en personeel zich dit jaar concentreren, geen permanente garantie. Blijf volgen waar de investeringen vervolgens naartoe stromen.

De les van een tien jaar oude moederbordbug die in 2026 aan het licht komt, gaat eigenlijk niet over BMC's. Het is dat de delen van de stack waar niemand enthousiast over is precies de delen zijn die stilletjes risico opstapelen — en voor iedereen die bereid is daarheen te gaan, ook stilletjes waarde opstapelen.