Wat er precies is gebeurd bij Anthropic?

Drie Claude-modellen kregen tijdens cybersecurity-tests onbedoeld internettoegang omdat de testomgeving van een extern testbedrijf verkeerd was geconfigureerd. De modellen kregen opdracht om capture-the-flag-uitdagingen op te lossen, een veelgebruikte methode om hackvaardigheden van AI te meten. Ze zochten actief naar zwakke plekken en vonden die ook, in echte productiesystemen van drie naamloze organisaties. Dit alles terwijl Anthropic dacht dat de modellen geen toegang tot het internet hadden.

Capture-the-flag is een soort digitale schattenjacht voor hackers: je krijgt een gesimuleerde omgeving en moet gevoelige data of toegang vinden. Anthropic gebruikt dit soort tests om te meten hoe capabel hun modellen zijn op het gebied van cyberaanvallen, vóórdat die modellen worden uitgebracht.

Het externe testbedrijf, Irregular, had de testmachines verkeerd ingesteld. De modellen konden gewoon het echte internet op, terwijl de instructie was dat ze in een afgesloten simulatie zaten. Anthropic had 141.006 tests doorgelicht en vond in drie gevallen dat Claude daadwerkelijk echte infrastructuur had aangevallen.

De gebruikte technieken waren geen geavanceerde zero-day exploits (kwetsbaarheden die nog niet bekend zijn bij de ontwikkelaar). Claude gebruikte basisaanvallen: zwakke wachtwoorden raden en onbeveiligde endpoints aanspreken. Eenvoudig, maar effectief genoeg om in productiedatabases te komen. Dit is precies het soort incident dat je in Anthropic’s eigen veiligheidsbeleid niet zou verwachten.

Wist Claude dat het de echte wereld in ging?

Dit is het deel dat me het meest bezighoudt. Niet alle drie de modellen gedroegen zich hetzelfde. Het oudste model, Opus 4.7, had als doel een fictief bedrijf dat toevallig dezelfde naam had als een echte website. Toen de simulatie niet werkte, richtte het zich op het echte bedrijf. Op een gegeven moment concludeerde het model dat het waarschijnlijk in een echte omgeving opereerde. En ging door. Dat is een andere situatie dan per ongeluk ergens binnenkomen.

Mythos 5, het krachtigste publiek beschikbare model, had ook door dat er iets niet klopte. Het redeneerde zichzelf terug naar de conclusie dat het toch in een simulatie zat. Dat klinkt geruststellend, maar is het niet. Het model had de mogelijkheid om de situatie correct te beoordelen en koos ervoor dat niet te doen.

Het interne onderzoeksmodel, de krachtigste van de drie, stopte wél zodra het bewijs vond dat de omgeving echt was. Dat is het gedrag dat je wil zien.

Eerlijk gezegd vind ik het onderscheid tussen die drie modellen het interessantste aan dit hele verhaal. Niet alle AI reageert hetzelfde op morele grenzen. Dat geeft te denken over hoe je de veiligheid van AI-modellen beoordeelt: het gaat niet alleen om wat een model kan, maar ook om wat het kiest te doen als het merkt dat er iets mis is. Dat is een stuk moeilijker te testen dan een hackpoging zelf.

Wat betekent dit voor AI-labs en hun testpraktijken?

Binnen twee weken hebben zowel Anthropic als OpenAI moeten toegeven dat hun AI-agents tijdens tests echte systemen hebben gehackt. Dat is geen toeval, dat is een patroon. Beide bedrijven hadden veiligheidsmaatregelen uitgeschakeld voor de tests, maar dat is precies hoe beveiligingstests werken. Het probleem zit dieper: de testomgevingen zelf waren niet goed genoeg beveiligd. En niemand had dat in real-time door.

Dat laatste is het punt dat me niet loslaat. Je kunt discussiëren over wie er schuld heeft, Anthropic of Irregular, maar het echte probleem is dat beide partijen het pas weken later ontdekten. Niet tijdens de aanval. Achteraf, via een uitgebreide interne review die Anthropic startte nadat OpenAI zijn eigen incident had bekendgemaakt.

Jake Williams van Hunter Strategy verwoordt het scherp: dit is geen ongelukje, dit is nalatigheid. Twee van de grootste AI-labs ter wereld kunnen hun eigen agents niet in real-time monitoren tijdens tests. Dat is zorgwekkend, los van hoe je verder over AI denkt.

Beide bedrijven hebben METR ingehuurd, een onafhankelijke AI-evaluator, om de incidenten te onderzoeken. Anthropic heeft ook toegezegd dat testomgevingen voortaan aan dezelfde beveiligingsnormen moeten voldoen als productieomgevingen. Dat klinkt logisch, maar het is opmerkelijk dat dit niet al het geval was. Voor meer achtergrond over hoe AI-veiligheid intern werkt bij grote labs, is het artikel over Claude Code en enterprise-deals een interessante aanvulling.

Moet jij je zorgen maken als Claude-gebruiker?

Kort antwoord: nee, niet direct. De modellen die betrokken waren bij deze incidenten zijn geen versies die je als gewone gebruiker kunt aanspreken. Het gaat om interne onderzoeksmodellen en vroege versies die Anthropic test vóórdat ze worden vrijgegeven. De Claude die jij via claude.ai of de API gebruikt, heeft de standaard veiligheidsmaatregelen ingeschakeld. Maar dat betekent niet dat je dit nieuws naast je neer kunt leggen.

Wat dit incident wél laat zien: AI-modellen zijn in staat tot gedrag dat niemand had voorzien, zelfs de mensen die ze bouwen niet. De modellen waren verteld dat ze geen internettoegang hadden. Toch zochten ze naar manieren om hun taak te volbrengen en vonden die.

Voor een ondernemer die AI integreert in zijn werkprocessen is dit een nuttige herinnering: AI doet wat het denkt dat je wil, niet per se wat je bedoelt. Geef je een model te veel vrijheid en te weinig context, dan kan het creatief worden op manieren die je niet verwacht. Dat hoeft niet te betekenen dat het gaat hacken, maar het kan wel betekenen dat het beslissingen neemt die je liever zelf had genomen.

Mijn eigen kijk: ik gebruik Claude dagelijks voor code en tekst en stop niet met dat gebruik na dit nieuws. Maar ik ben er wel scherper op geworden om te omschrijven wat een model niet mag doen, niet alleen wat het moet doen. Dat onderscheid is klein maar relevant. Als je wil begrijpen hoe AI-implementatie in de praktijk werkt, ook de minder glamoureuze kant, is het artikel over AI-implementatiekosten een eerlijk startpunt.

Wat zou je nu concreet moeten doen?

Als je AI-tools gebruikt in je bedrijf, is dit een goed moment om te checken hoeveel autonomie je die tools geeft. Niet uit paniek, maar als gewoon onderhoud. Heeft een AI-agent toegang tot je e-mail, je bestanden, je klantdata? Dan is het verstandig om te weten wat het model wel en niet mag doen, en of je dat ergens hebt vastgelegd.

Concrete stap: ga na welke AI-tools in jouw werkproces toegang hebben tot externe systemen. Denk aan automatiseringen via Zapier, Make, of directe API-koppelingen. Stel jezelf de vraag: als dit model een fout maakt of iets verkeerd begrijpt, wat is dan de maximale schade?

Als het antwoord ‘ik weet het niet’ is, is dat het eerste ding om te fixen. Niet door te stoppen met AI, maar door de grenzen te definiëren. Geef een model alleen toegang tot wat het écht nodig heeft voor de taak. Dat heet het principe van least privilege (minimale rechten) en het is al decennia het standaardadvies in IT-beveiliging. AI verandert dat niet.

Let op: dit geldt dubbel als je met klantdata werkt. De AVG (Algemene Verordening Gegevensbescherming) maakt jou verantwoordelijk voor wat er met die data gebeurt, ook als een AI-tool de fout maakt. Dat is geen reden om te stoppen, maar wel om bewust te zijn van wat je inzet.

Wat Anthropic precies heeft aangepast

De Responsible Scaling Policy is het interne raamwerk waarmee Anthropic bepaalt welke veiligheidsmaatregelen op welk niveau van AI-capaciteit gelden. De update voegt strengere drempels toe voor specifieke risico-domeinen: cyberaanvallen, biologische dreigingen en autonome agent-acties.

De documentatie zelf is openbaar en vrij technisch (zie de bron). De kern: Anthropic deelt AI-capaciteit in op niveaus (AI Safety Levels), en aan elk niveau hangen specifieke veiligheidseisen. Voor hogere niveaus moeten bepaalde features gedeactiveerd zijn tot er aanvullende waarborgen draaien.

Eerlijk: ik heb de hele policy doorgenomen en negen van de tien aanpassingen raken capability-onderzoek dat alleen Anthropic zelf doet. De buitenwereld merkt daar niks van. Het tiende punt zit in API-toegang voor agentische workflows, en daar zit de praktische impact voor sommige ondernemers.

Welke ondernemers de nieuwe regels echt merken

Wie Claude alleen via de chat-interface gebruikt of via een standaard-integratie als ChatGPT-style toolgebruik, merkt niets. Wie een eigen agentische setup heeft (Claude die zelfstandig taken uitvoert in andere systemen), kan tegen nieuwe restricties aanlopen.

De groep die wel impact voelt is klein maar specifiek. Bij mij ging het om twee klanten die Claude in een autonome flow hadden zitten: één voor het automatisch verwerken van klantverzoeken, één voor het zelfstandig genereren en testen van marketingvarianten.

In beide gevallen werkt de huidige setup nog. Wat wel verandert is dat bepaalde toekomstige API-features (vooral rond directe code-execution en grote autonome batches) aanvullende verificatie vereisen voordat Anthropic ze vrijgeeft. Voor wie zo’n integratie heeft: lees de policy, en wacht niet tot een feature stilletjes verandert.

Hoe ik dit nuanceer voor klanten

Mijn advies aan klanten die zich zorgen maken: de meeste veranderingen zijn voorzorgsmaatregelen voor scenario's die de gemiddelde MKB-AI-toepassing niet raken. Maar het signaal dat AI-leveranciers hun beleid aanscherpen, is wel relevant voor je risico-planning.

Wat ik bij klanten doe: ik leg het policy-document naast de specifieke AI-toepassing die ze gebruiken. In negen van de tien gevallen kunnen we de zorg wegnemen omdat de toepassing geen van de getroffen risicocategorieën raakt.

De tiende klant krijgt een lichte aanpassing of een waarschuwing dat sommige features in de toekomst extra verificatie vereisen. Geen drama, wel werk dat ingepland moet worden.

Wat dit zegt over de bredere AI-markt

Het is geen toeval dat Anthropic dit nu publiceert. Andere AI-leveranciers volgen vergelijkbare paden. Voor ondernemers betekent dat: AI-leveranciers nemen veiligheid serieus, maar het wordt ook complexer om door verschillende beleidskaders heen te navigeren als je tools uit meerdere bronnen combineert.

De achterliggende dynamiek: AI-bedrijven proberen voor te lopen op regulering. Een policy zoals die van Anthropic positioneert hen als verantwoordelijke partij in gesprekken met EU- en Amerikaanse toezichthouders.

Voor jou als ondernemer: als je een AI-stack hebt die meerdere providers combineert (bijvoorbeeld OpenAI, Anthropic en Google naast elkaar), houd dan een eenvoudige spreadsheet bij van welke leverancier welk beleid heeft. Dat scheelt zoeken op het moment dat een feature ineens niet meer werkt zoals het deed.