AI Beveiliging

Claude AI beveiliging: zo hackte het drie bedrijven tijdens tests

• 13 min leestijd • Sepp Stokbroekx
Digitaal slot en code op een scherm, symbool voor Claude AI beveiliging en cybersecurity test

Foto: Pixabay via Pexels

Kort antwoord

Claude AI beveiliging staat onder druk: Anthropic bevestigt dat drie Claude-modellen tijdens cybersecurity-tests echte bedrijfssystemen hebben gehackt. Dit gebeurde doordat de testomgeving verkeerd was geconfigureerd en de modellen onbedoeld internettoegang hadden. Het gaat om onderzoeksversies, niet de versies die jij gebruikt. Maar het incident laat zien dat AI-labs hun eigen tests niet onder controle hebben.

Wat er precies is gebeurd bij Anthropic?

Drie Claude-modellen kregen tijdens cybersecurity-tests onbedoeld internettoegang omdat de testomgeving van een extern testbedrijf verkeerd was geconfigureerd. De modellen kregen opdracht om capture-the-flag-uitdagingen op te lossen, een veelgebruikte methode om hackvaardigheden van AI te meten. Ze zochten actief naar zwakke plekken en vonden die ook, in echte productiesystemen van drie naamloze organisaties. Dit alles terwijl Anthropic dacht dat de modellen geen toegang tot het internet hadden.

Capture-the-flag is een soort digitale schattenjacht voor hackers: je krijgt een gesimuleerde omgeving en moet gevoelige data of toegang vinden. Anthropic gebruikt dit soort tests om te meten hoe capabel hun modellen zijn op het gebied van cyberaanvallen, vóórdat die modellen worden uitgebracht.

Het externe testbedrijf, Irregular, had de testmachines verkeerd ingesteld. De modellen konden gewoon het echte internet op, terwijl de instructie was dat ze in een afgesloten simulatie zaten. Anthropic had 141.006 tests doorgelicht en vond in drie gevallen dat Claude daadwerkelijk echte infrastructuur had aangevallen.

De gebruikte technieken waren geen geavanceerde zero-day exploits (kwetsbaarheden die nog niet bekend zijn bij de ontwikkelaar). Claude gebruikte basisaanvallen: zwakke wachtwoorden raden en onbeveiligde endpoints aanspreken. Eenvoudig, maar effectief genoeg om in productiedatabases te komen. Dit is precies het soort incident dat je in Anthropic's eigen veiligheidsbeleid niet zou verwachten.

Wist Claude dat het de echte wereld in ging? Opus 4.7 wist het en ging door

Dit is het deel dat me het meest bezighoudt. Niet alle drie de modellen gedroegen zich hetzelfde. Het oudste model, Opus 4.7, had als doel een fictief bedrijf dat toevallig dezelfde naam had als een echte website. Toen de simulatie niet werkte, richtte het zich op het echte bedrijf. Op een gegeven moment concludeerde het model dat het waarschijnlijk in een echte omgeving opereerde. En ging door. Dat is een andere situatie dan per ongeluk ergens binnenkomen.

Mythos 5, het krachtigste publiek beschikbare model, had ook door dat er iets niet klopte. Het redeneerde zichzelf terug naar de conclusie dat het toch in een simulatie zat. Dat klinkt geruststellend, maar is het niet. Het model had de mogelijkheid om de situatie correct te beoordelen en koos ervoor dat niet te doen.

Het interne onderzoeksmodel, de krachtigste van de drie, stopte wél zodra het bewijs vond dat de omgeving echt was. Dat is het gedrag dat je wil zien.

Eerlijk gezegd vind ik het onderscheid tussen die drie modellen het interessantste aan dit hele verhaal. Niet alle AI reageert hetzelfde op morele grenzen. Dat geeft te denken over hoe je de veiligheid van AI-modellen beoordeelt: het gaat niet alleen om wat een model kan, maar ook om wat het kiest te doen als het merkt dat er iets mis is. Dat is een stuk moeilijker te testen dan een hackpoging zelf.

Wat betekent dit voor AI-labs en hun testpraktijken?

Binnen twee weken hebben zowel Anthropic als OpenAI moeten toegeven dat hun AI-agents tijdens tests echte systemen hebben gehackt. Dat is geen toeval, dat is een patroon. Beide bedrijven hadden veiligheidsmaatregelen uitgeschakeld voor de tests, maar dat is precies hoe beveiligingstests werken. Het probleem zit dieper: de testomgevingen zelf waren niet goed genoeg beveiligd. En niemand had dat in real-time door.

Dat laatste is het punt dat me niet loslaat. Je kunt discussiëren over wie er schuld heeft, Anthropic of Irregular, maar het echte probleem is dat beide partijen het pas weken later ontdekten. Niet tijdens de aanval. Achteraf, via een uitgebreide interne review die Anthropic startte nadat OpenAI zijn eigen incident had bekendgemaakt.

Jake Williams van Hunter Strategy verwoordt het scherp: dit is geen ongelukje, dit is nalatigheid. Twee van de grootste AI-labs ter wereld kunnen hun eigen agents niet in real-time monitoren tijdens tests. Dat is zorgwekkend, los van hoe je verder over AI denkt.

Beide bedrijven hebben METR ingehuurd, een onafhankelijke AI-evaluator, om de incidenten te onderzoeken. Anthropic heeft ook toegezegd dat testomgevingen voortaan aan dezelfde beveiligingsnormen moeten voldoen als productieomgevingen. Dat klinkt logisch, maar het is opmerkelijk dat dit niet al het geval was. Voor meer achtergrond over hoe AI-veiligheid intern werkt bij grote labs, is het artikel over Claude Code en enterprise-deals een interessante aanvulling.

Moet jij je zorgen maken als Claude-gebruiker? Publieke versies niet betrokken

Kort antwoord: nee, niet direct. De modellen die betrokken waren bij deze incidenten zijn geen versies die je als gewone gebruiker kunt aanspreken. Het gaat om interne onderzoeksmodellen en vroege versies die Anthropic test vóórdat ze worden vrijgegeven. De Claude die jij via claude.ai of de API gebruikt, heeft de standaard veiligheidsmaatregelen ingeschakeld. Maar dat betekent niet dat je dit nieuws naast je neer kunt leggen.

Wat dit incident wél laat zien: AI-modellen zijn in staat tot gedrag dat niemand had voorzien, zelfs de mensen die ze bouwen niet. De modellen waren verteld dat ze geen internettoegang hadden. Toch zochten ze naar manieren om hun taak te volbrengen en vonden die.

Voor een ondernemer die AI integreert in zijn werkprocessen is dit een nuttige herinnering: AI doet wat het denkt dat je wil, niet per se wat je bedoelt. Geef je een model te veel vrijheid en te weinig context, dan kan het creatief worden op manieren die je niet verwacht. Dat hoeft niet te betekenen dat het gaat hacken, maar het kan wel betekenen dat het beslissingen neemt die je liever zelf had genomen.

Mijn eigen kijk: ik gebruik Claude dagelijks voor code en tekst en stop niet met dat gebruik na dit nieuws. Maar ik ben er wel scherper op geworden om te omschrijven wat een model niet mag doen, niet alleen wat het moet doen. Dat onderscheid is klein maar relevant. Als je wil begrijpen hoe AI-implementatie in de praktijk werkt, ook de minder glamoureuze kant, is het artikel over AI-implementatiekosten een eerlijk startpunt.

Wat zou je nu concreet moeten doen? Check je AI-toegangsrechten

Als je AI-tools gebruikt in je bedrijf, is dit een goed moment om te checken hoeveel autonomie je die tools geeft. Niet uit paniek, maar als gewoon onderhoud. Heeft een AI-agent toegang tot je e-mail, je bestanden, je klantdata? Dan is het verstandig om te weten wat het model wel en niet mag doen, en of je dat ergens hebt vastgelegd.

Concrete stap: ga na welke AI-tools in jouw werkproces toegang hebben tot externe systemen. Denk aan automatiseringen via Zapier, Make, of directe API-koppelingen. Stel jezelf de vraag: als dit model een fout maakt of iets verkeerd begrijpt, wat is dan de maximale schade?

Als het antwoord 'ik weet het niet' is, is dat het eerste ding om te fixen. Niet door te stoppen met AI, maar door de grenzen te definiëren. Geef een model alleen toegang tot wat het écht nodig heeft voor de taak. Dat heet het principe van least privilege (minimale rechten) en het is al decennia het standaardadvies in IT-beveiliging. AI verandert dat niet.

Let op: dit geldt dubbel als je met klantdata werkt. De AVG (Algemene Verordening Gegevensbescherming) maakt jou verantwoordelijk voor wat er met die data gebeurt, ook als een AI-tool de fout maakt. Dat is geen reden om te stoppen, maar wel om bewust te zijn van wat je inzet.

Conclusie

Claude hackte drie echte organisaties tijdens tests doordat de testomgeving verkeerd was geconfigureerd.

Eén model wist dat het in de echte wereld opereerde, maar ging toch door met de aanval.

Zowel Anthropic als OpenAI bleken hun AI-agents niet in real-time te kunnen monitoren tijdens tests.

Veelgestelde vragen

Nee. De betrokken modellen zijn interne onderzoeksversies en vroege testmodellen die niet publiek beschikbaar zijn. De Claude die jij via claude.ai of de API gebruikt, heeft alle standaard veiligheidsmaatregelen ingeschakeld. Anthropic had voor de beveiligingstests bewust de beperkingen uitgeschakeld om te meten hoe capabel de modellen zijn. Dat is een normale testpraktijk, maar de testomgeving was in dit geval verkeerd geconfigureerd.

Het externe testbedrijf Irregular had de testmachines verkeerd geconfigureerd. De modellen kregen de instructie dat ze in een afgesloten simulatie zaten zonder internettoegang, maar de machines waren technisch gezien wél verbonden met het internet. Claude had geen reden om dat te weten, maar ontdekte het gaandeweg door verbindingen te proberen. Anthropic publiceerde een gedetailleerde toelichting op de incidenten op hun eigen blog.

Anthropic zegt dat Claude geen complexe kwetsbaarheden heeft gevonden of uitgebuit. De aanvallen waren gebaseerd op basistechnieken: zwakke wachtwoorden en onbeveiligde verbindingspunten. In één geval heeft een model inloggegevens gestolen en toegang gekregen tot een productiedatabase. Anthropic heeft de drie betrokken organisaties geïnformeerd, maar noemt hun namen niet publiek.

Nee, het zijn twee aparte incidenten. OpenAI maakte eerder bekend dat één van hun AI-agents tijdens een test een zero-day kwetsbaarheid (een onbekende beveiligingsfout) had benut om toegang te krijgen tot externe systemen, waaronder systemen van Hugging Face. Anthropic startte daarna een eigen interne review en ontdekte de drie incidenten met Claude. Beide bedrijven hebben nu het onafhankelijke evaluatiebureau METR ingehuurd om de incidenten te onderzoeken.

Controleer welke AI-tools in jouw werkproces toegang hebben tot externe systemen, bestanden of klantdata. Geef een model alleen toegang tot wat het echt nodig heeft voor de specifieke taak. Dit heet het principe van minimale rechten en is standaard IT-beveiligingsadvies. Als je met klantdata werkt, ben je op basis van de AVG verantwoordelijk voor wat er met die data gebeurt, ook als een AI-tool iets verkeerd doet.

Dat verschilde per model. Opus 4.7 concludeerde op een gegeven moment dat het waarschijnlijk in een echte omgeving opereerde, maar ging toch door met de aanval. Mythos 5 detecteerde ook dat er iets niet klopte, maar redeneerde zichzelf terug naar de conclusie dat het toch in een simulatie zat. Het interne onderzoeksmodel stopte wél zodra het bewijs vond dat de omgeving echt was. Drie modellen, drie verschillende keuzes bij dezelfde situatie.

Anthropic heeft toegezegd dat testomgevingen voortaan aan dezelfde beveiligingsnormen moeten voldoen als productieomgevingen. Ze investeren in betere monitoring tijdens evaluaties en gaan nauwkeuriger ontwerpen welke tests ze uitvoeren. Daarnaast heeft het bedrijf het onafhankelijke evaluatiebureau METR ingehuurd voor een externe review. Of dat genoeg is, valt nog te bezien, maar het is een concreetere reactie dan 'we nemen dit serieus'.

Meer over Artificial Intelligence