Waarom Anthropic Claude Mythos niet vrijgeeft: deze AI is té goed in hacken
- J. van den Poll
- 2 dagen geleden
- 5 minuten om te lezen
In het kort:
Anthropic brengt Claude Mythos voorlopig niet breed uit, omdat het model volgens het bedrijf té goed is geworden in het vinden én misbruiken van ernstige softwarelekken.
Volgens Anthropic kan Mythos zero-days opsporen, exploitketens bouwen en aanvallen versnellen, waardoor de stap van kwetsbaarheid naar echte cyberaanval veel kleiner wordt.
Daarom kiest Anthropic voor een beperkte uitrol via Project Glasswing, met selecte partners, tot 100 miljoen dollar aan usage credits en 4 miljoen dollar aan steun voor open source security.
Anthropic houdt Claude Mythos bewust weg van het grote publiek. Dat doet het bedrijf niet omdat het model nog niet klaar zou zijn, maar juist omdat het volgens Anthropic een nieuwe en gevoelige grens bereikt. Claude Mythos kan ernstige softwarelekken niet alleen opsporen, maar in sommige gevallen ook misbruiken. Volgens Anthropic vond het model tijdens tests zero-days in alle grote besturingssystemen en webbrowsers. Daar zaten ook kwetsbaarheden tussen die al tien, twintig en in één geval zelfs 27 jaar onopgemerkt waren gebleven.
Daarmee is Claude Mythos meer dan zomaar een nieuwe AI-update. Het gaat hier niet om een chatbot die iets beter kan programmeren. Volgens Anthropic is dit een model dat kwetsbaarheden kan analyseren, exploitketens kan opbouwen en zo de stap tussen een fout in software en een echte aanval veel kleiner maakt. Dat is precies waarom Mythos zoveel aandacht krijgt. De nieuwste generatie AI-modellen schrijft niet alleen sneller code, maar leert ook hoe diezelfde software stuk kan worden gemaakt.
Waarom geeft Anthropic Claude Mythos niet vrij?
Het korte antwoord is dat Anthropic brede toegang te riskant vindt. Het bedrijf zegt zelf dat het Mythos Preview voorlopig niet algemeen beschikbaar wil maken. Eerst zouden er sterkere veiligheidsmaatregelen nodig zijn om de gevaarlijkste output te herkennen en tegen te houden.
Die keuze is goed te begrijpen, maar tegelijk ook beladen. Dezelfde kwaliteiten die Mythos nuttig maken voor verdedigers, maken het model ook interessant voor aanvallers. Anthropic schrijft dat de sprong in codebegrip, redeneervermogen en autonomie niet alleen helpt bij het vinden en patchen van kwetsbaarheden, maar het model ook beter maakt in het uitbuiten ervan. Daar zit de kern van dit verhaal. Hoe slimmer AI wordt in het begrijpen van software, hoe slimmer diezelfde AI ook wordt in het breken ervan.
Wat Claude Mythos zo gevaarlijk maakt
De claims van Anthropic zijn opvallend stevig. Het bedrijf beschrijft onder meer hoe Mythos een browserexploit bouwde door vier kwetsbaarheden aan elkaar te koppelen. Ook zou het model Linux privilege-escalation-paden hebben gevonden en een remote code execution exploit hebben ontwikkeld voor de NFS-server van FreeBSD. Anthropic zegt daarnaast dat medewerkers zonder formele securityopleiding het model opdrachten gaven om ’s nachts naar kwetsbaarheden te zoeken, waarna er de volgende ochtend een werkende exploit klaar lag.
Juist daar wordt duidelijk waarom dit verhaal zo groot is. Het nieuws is niet alleen dat AI bugs kan vinden, want dat kunnen andere modellen inmiddels ook in zekere mate. Het opvallende is dat Anthropic zegt dat exploitontwikkeling hierdoor sneller, goedkoper en minder specialistisch wordt. In de technische uitleg noemt het bedrijf voorbeelden waarbij een complete exploitpipeline in minder dan een dag werd gebouwd voor minder dan 2.000 dollar aan gebruikskosten. Als zulke prestaties op grotere schaal haalbaar blijken, dan verschuift cybersecurity steeds meer van een strijd om gespecialiseerde kennis naar een strijd om snelheid.
Van publieke release naar gecontroleerde uitrol
Anthropic kiest er daarom niet voor om Mythos breed uit te rollen. In plaats daarvan plaatst het bedrijf het model achter een gecontroleerd hek. Via Project Glasswing krijgen een beperkt aantal partners toegang voor defensieve toepassingen. Volgens Anthropic horen daar onder meer Amazon Web Services, Apple, Cisco, Google, JPMorganChase, de Linux Foundation, Microsoft, NVIDIA en Palo Alto Networks bij. Daarnaast zegt het bedrijf dat de toegang is uitgebreid naar meer dan veertig extra organisaties die kritieke software bouwen of onderhouden.
Ook financieel laat Anthropic zien dat het dit initiatief serieus neemt. Het bedrijf zegt tot 100 miljoen dollar aan usage credits beschikbaar te maken en daarnaast 4 miljoen dollar te doneren aan open source securityorganisaties. De gedachte daarachter is duidelijk. Verdedigers moeten nu ervaring opdoen met dit soort modellen, voordat vergelijkbare systemen breder beschikbaar worden. Mythos verdwijnt dus niet in een kluis, maar wordt selectief ingezet om partijen die digitale infrastructuur beveiligen een voorsprong te geven.
Veiligheidsmaatregel of slimme positionering?
Tegelijk roept deze aanpak ook vragen op. Omdat Mythos niet breed beschikbaar is, kunnen onafhankelijke onderzoekers de grootste claims van Anthropic voorlopig maar beperkt controleren. Kritische waarnemers merken daarom op dat de communicatie van Anthropic ook heel goed leest als slimme positionering. Veiligheid fungeert dan niet alleen als moreel argument, maar ook als manier om technologische voorsprong te tonen aan media, beleidsmakers en investeerders.
Die scepsis is terecht en zelfs gezond. Een bedrijf dat zegt dat zijn model te gevaarlijk is om vrij te geven, zegt daarmee indirect ook dat het iets heeft gebouwd wat anderen nog niet in handen hebben. Dat is een krachtig marketingverhaal. Toch blijft de hoofdzaak overeind. Anthropic behandelt Mythos duidelijk niet als een gewone productrelease, maar als een model waarvoor nieuwe veiligheidsgrenzen nodig zijn. Alleen dat signaal is al belangrijk.
Wat dit betekent voor bedrijven en cybersecurityteams
Voor bedrijven is de belangrijkste les groter dan Anthropic alleen. De vraag is inmiddels niet meer of AI kwetsbaarheden sneller kan vinden. De echte vraag is hoe snel organisaties hun patching, code-audits en incidentrespons moeten aanpassen aan modellen die dat proces sterk kunnen versnellen.
Anthropic schrijft zelf dat ook de huidige publieke frontier-modellen al bruikbaar zijn voor bugfinding, ook al zouden ze nog duidelijk zwakker zijn in exploitontwikkeling dan Mythos. Bedrijven die nu nog weinig doen met AI-ondersteunde security lopen daardoor niet alleen achter op de koplopers, maar bereiden zich ook minder goed voor op wat eraan komt.
Daar zit de diepere dreiging achter Claude Mythos. Het gaat niet alleen om de vraag of morgen elke hacker over zo’n model beschikt. Het gaat er vooral om dat de norm in cybersecurity verschuift. Bescherming die vroeger mede bestond uit tijd, complexiteit en handwerk wordt zwakker zodra een model de saaie, moeilijke en foutgevoelige tussenstappen kan overnemen. Wat vroeger veel frictie opleverde voor aanvallers, kan dan veranderen in iets dat vooral rekenkracht en slimme automatisering vraagt.
Conclusie
Anthropic geeft Claude Mythos voorlopig niet vrij omdat het bedrijf vindt dat de stap van nuttige securitytool naar gevaarlijke aanvalsmachine te klein is geworden. Dat maakt Mythos tot meer dan een opvallende productaankondiging. Het is een teken dat de AI-race niet langer alleen draait om productiviteit, zoekgemak of betere chatbots, maar steeds meer ook om cybermacht.
Claude Mythos voelt daardoor als een voorproefje van een nieuwe fase in AI. Een fase waarin modellen niet alleen software schrijven, maar ook leren hoe die software kan worden opengebroken. Juist daarom is dit verhaal zo relevant. Het laat zien dat de grootste doorbraken in AI niet alleen nieuwe kansen creëren, maar ook nieuwe risico’s die veel sneller dichtbij komen dan lange tijd werd gedacht.
Advertorial
Nu AI de druk op cybersecurity en operationele weerbaarheid vergroot, kijken bedrijven ook breder naar risicobeheer en financiële flexibiliteit. In zo’n omgeving kan het tijdelijk parkeren van vermogen op een vrij opneembare spaarrekening een logische manier zijn om liquiditeit beschikbaar te houden, terwijl er toch rente wordt opgebouwd.
Raisin RenteBoost is een tijdelijke actie waarbij je op een vrij opneembare Duitse spaarrekening de eerste 3 maanden lang een gegarandeerde rente van 2,85% p.j. krijgt, beschermd onder het Europese garantiestelsel. Je spaargeld blijft dagelijks opvraagbaar en je kunt vrij storten en opnemen. Na deze periode kun je via één Raisin-account verder sparen bij meer dan 50 Europese banken, met actuele variabele rentes tot 1,92% p.j., of kiezen voor spaardeposito’s met looptijden van één maand tot tien jaar en rentes tot 3,25% p.j.
