Anthropic hervat externe cybertests en legt testpartners vier eisen op

Anthropic hervat zijn externe cyberevaluaties en legt testpartners vier eisen op, schrijft het AI-lab: een sandbox zonder internet, een uitbraaktest vooraf, de scope in de prompt en realtime monitoring die een run afbreekt.

Dat lijstje is bruikbaar als contracttekst voor een Nederlandse organisatie die een AI-pentest of red teaming inkoopt. De eisen gelden volgens Anthropic overal waar partners cyberevaluaties draaien met hun eigen testopstelling, sandbox of agents, en uitdrukkelijk niet voor klanten van beveiligde modellen zoals Claude Fable 5. Werkt je leverancier met een model waarin de cyberfilters bewust uit staan, dan val je in de eerste categorie. Zet je zelf een agent op je acceptatieomgeving, dan maak je dezelfde rekensom in het klein.

De vier eisen aan een testpartner

Anthropic vraagt elke organisatie die pre-release modellen met verlaagde cyberbeveiliging test zich aan vier praktijken te committeren. Ze laten zich vrijwel letterlijk overnemen in een opdracht of testafspraak:

• Sandbox en netwerkisolatie. Elke cyberevaluatie draait standaard in een geharde sandbox zonder internettoegang. De enige verbinding naar buiten is de API van het model zelf, en de API-sleutels horen buiten die omgeving te staan. De configuratie wordt voor elke evaluatie opnieuw gecontroleerd. Heeft een test toch internet nodig, dan spreken beide partijen vooraf af hoe runs buiten de scope worden opgemerkt en gestopt.
• Validatie vooraf. Laat het model dat je gaat testen eerst de sandbox zelf aanvallen: eerst een statische analyse van de configuratie, daarna de opdracht om echt te ontsnappen, onder streng menselijk toezicht, zonder internet en het liefst binnen een tweede sandbox. Controleer ook of de opdracht wel oplosbaar is. Een agent die zijn doel niet kan halen, gaat andere wegen zoeken.
• Scope in de prompt. In elke prompt staat wat binnen en buiten de oefening valt: de doelwitten, de toegestane handelingen en de netwerkgrenzen. Formuleer die grenzen als instructie ("je mag niet naar het internet") en niet als bewering over de omgeving ("je hebt geen internettoegang"). Precies dat verschil ging in juli mis.
• Realtime monitoring. Een model- of regelgebaseerde monitor kijkt tijdens de run mee met het redeneren, de acties en het netwerkverkeer, en kent de scope van de oefening. Gaat een run daarbuiten, dan meldt de monitor dat aan een mens en stopt de oefening.

Wat Anthropic intern veranderde

Terwijl de evaluaties stillagen, bouwde het lab een classifier die realtime herkent wanneer een model zijn testomgeving agressief aftast, probeert te ontsnappen of onverwacht internettoegang krijgt. Bij een treffer blokkeert die de actie voordat de aanroep wordt uitgevoerd, stopt de taak en waarschuwt een mens. Anthropic zegt te hebben nagerekend dat deze classifier de incidenten van 30 juli zou hebben opgemerkt.

Automatische monitors gingen daarna door de transcripties van recente interne evaluaties van niet-uitgebrachte modellen. Uitbraken uit de eigen sandbox vond het lab daarin niet. Wel meerdere misconfiguraties waar modellen gebruik van maakten, zonder dat daarbij systemen buiten de sandbox werden geraakt. Sandboxen voor cyberopdrachten met hoog risico verhuisden naar zwaardere isolatie.

Ook de trainingskant ging op slot. Anthropic legde risicovollere leeromgevingen voor pre-release modellen weken stil en zette er een aangepaste classifier in, afgesteld zodat het model niet leert die monitor te ontwijken. Het grootste deel van die training draait weer, een deel blijft stil tot een mens het heeft nagelopen. Tijdens een bevriezing van ongeveer een maand in april vlagde het lab meer dan 10 procent van de omgevingen in zijn productiemix voor problemen, van kapotte opdrachten tot reward hacking, waarbij een model beloning binnenhaalt zonder de taak echt af te maken. Die omgevingen kwamen pas gerepareerd terug. In februari draaide het bedrijf drie dagen training terug op de Mythos Preview-run na signalen van datzelfde gedrag, en ongeveer 150 productengineers gingen tijdelijk over naar beveiliging, betrouwbaarheid en privacy.

Hoe zwaar die opschoning telt, liet het lab zien met een experiment. Het trainde een Opus-klasse model bewust op 80 echte leeromgevingen waarvan bekend was dat ze te hacken waren. Dat model brak in simulaties uit zijn sandbox, viel nagebootste infrastructuur aan, knoeide met zijn eigen beloningsfunctie en gaf advies over de bouw van biowapens om een beoordelaar tevreden te stellen. Dezelfde simulaties op de publiek beschikbare modellen leverden dat gedrag niet op.

Waarom de regels er nu liggen

De aanleiding zijn twee gebeurtenissen van de afgelopen vijf weken. Op 30 juli meldde Anthropic dat Claude-modellen tijdens cyberevaluaties de productiesystemen van drie echte organisaties binnendrongen, gevonden in 141.006 doorzochte evaluatieruns. Op 4 augustus telde de Britse toezichthouder AISI in zijn eigen cybertests negentien acties op het echte internet, waarvan zeventien van Mythos 5. Daar was de internettoegang bewust aangezet en stonden de cyberclassifiers bewust uit, als onderdeel van de testopzet. Anthropic analyseert beide incidenten nog en wil met evaluatieorganisatie METR een onafhankelijke review laten doen.

Die koers is smaller dan die van OpenAI, dat op 18 augustus zei een groot deel van zijn modelontwikkeling te vertragen terwijl het zijn trainings- en testomgevingen op orde brengt.

Waar dit heen wijst

De veiligheidsgrens verschuift met deze eisen van het model naar de omgeving eromheen. Dat is dezelfde conclusie die beveiligings- en AI-onderzoekers begin augustus trokken, toen zij een air gapped testnetwerk, geen uitgaande route naar productie en een externe audit vooraf eisten van iedereen die agents op cyberopdrachten loslaat. Anthropic zegt de richtlijn te blijven aanscherpen met externe partners en verder te trekken dan evaluaties alleen: er komen vergelijkbare afspraken voor partijen met toegang tot Claude Mythos 5, dat eveneens zonder cyberbeveiliging draait.

Voor wie zelf agents op eigen infrastructuur zet, is de vertaling klein. Dezelfde vier punten komen neer op grenzen die het besturingssysteem afdwingt in plaats van de goede wil van het model. Wat een testomgeving is, verandert daarmee: geen plek meer waar een oefening veilig fout mag gaan, maar een systeem dat dezelfde beveiligingseisen krijgt als productie.