Anthropic meldt Claude-gebruik voor geleidingssoftware in Jemen

Anthropic meldt op 10 september dat een cel in Noord-Jemen Claude Code gebruikte voor geleidingssoftware van drie wapenprogramma’s, waaronder een geleide raket waarvan de test lijkt te zijn mislukt.

Voor een Nederlandse organisatie verandert daarmee de inzet van AI-governance: een leverancier kan misbruik blokkeren, maar de casus laat zien dat toegangscontroles, sessiegrenzen en detectie samen bepalen hoe een model in de praktijk wordt gebruikt.

Drie programma’s

In het septemberrapport zegt Anthropic dat het zes gevallen van misbruik voor conventionele wapens heeft onderzocht en verstoord: drie in China, twee in Rusland en één in Jemen. De Jemenitische cel werkte volgens die analyse tegelijk aan drie programma’s:

• een geleide raket met een telefoonachtige vluchtcomputer en eindfasegeleiding
• een meertraps ballistische raket met een opgegeven bereikdoel boven 2.000 kilometer
• de zogenoemde R2000-raketfamilie, met ook een variant als hypersonisch zweefvoertuig

De beschrijving komt uit Anthropics eigen dreigingsonderzoek. Het rapport zegt niet dat de cel aan een operationeel wapen kwam. Wel meldt het dat de groep een geleide raket testte en dat die test waarschijnlijk mislukte.

Claude als softwareteam

Claude Code werd volgens Anthropic gebruikt in plaats van menselijke software-engineers. De cel liet het systeem een open-source autopiloot koppelen aan een telefoonachtige vluchtcomputer, software schrijven voor besturing en positiebepaling, regelinstellingen afstellen, een firmwarebouwproces uitvoeren en een vluchtsimulatie draaien.

De operators gebruikten meerdere Claude-instanties tegelijk. Eén instantie schreef code, een andere deed onderzoek en een derde controleerde het resultaat. Daarmee beschrijft Anthropic geen losse vraag aan een chatbot, maar een verdeeld softwareproces rond een fysiek systeem.

Wat wel en niet vaststaat

Anthropic zegt dat de eigen veiligheidsmaatregelen veel verzoeken blokkeerden, maar niet alles. De operators verborgen hun doel en verdeelden het werk over meerdere sessies, zodat geen enkele sessie het volledige wapenprogramma liet zien. De leverancier zegt de gekoppelde accounts te hebben verbannen en informatie met publieke en private partners te hebben gedeeld.

Er is geen bewijs dat de cel een operationeel wapen heeft ingezet. Anthropic zegt wel dat de groep na de mislukte test binnen enkele uren naar Claude terugkeerde om de fout te analyseren. De onderzoekers zagen ook een offline simulatiepakket dat niet afhankelijk was van Claude of technische software zoals MATLAB.

Als reactie zegt Anthropic nieuwe classificatoren te hebben gelanceerd die verkeer rond hoogexplosieven en wapenontwikkeling beter moeten detecteren en blokkeren. Daarmee beschrijft het rapport niet alleen een misbruikgeval, maar ook hoe de leverancier zijn controles na een ontdekking aanpast.

Waarom dit AI-governance raakt

Deze casus maakt een onderscheid zichtbaar dat bij zakelijke AI-inkoop vaak onderbelicht blijft. Een model kan inhoudelijke veiligheidsfilters hebben, terwijl gebruikers toch proberen de bedoeling van hun werk te verbergen, toegang over meerdere sessies verdelen en een model naast andere hulpmiddelen inzetten. De relevante leveranciersinformatie gaat daardoor ook over accountbeheer, sessieanalyse, misbruikdetectie, intrekking van toegang en het delen van incidentinformatie.

Dat betekent niet dat elk zakelijk account hetzelfde risico vormt. Het betekent wel dat modelveiligheid niet losstaat van identiteit, context en zicht op gebruik. Vooral organisaties die code, bestanden of externe hulpmiddelen aan een model koppelen, merken dat verschil.

Hetzelfde rapport beschrijft op een ander punt meer dan 151 miljoen Claude-uitwisselingen in een campagne rond Alibaba’s Qwen-lab. Samen laten de twee casussen zien hoe breed een leveranciersclaim als “veilig gebruik” moet worden gelezen: van wat één prompt oplevert tot wat een netwerk van accounts, sessies en hulpmiddelen over langere tijd kan uitvoeren.

Voor Nederlandse organisaties zit de verschuiving daarom niet alleen in de vraag of een model een gevaarlijke prompt weigert. De kern is of de hele toegangsketen misbruik herkenbaar maakt, de schade begrenst en na een incident controleerbaar reageert.