VS bevestigt: Anthropics Mythos vond binnen uren gaten in geheime overheidssystemen

Een AI-model dat binnen enkele uren zwakke plekken vindt in de best beveiligde computersystemen van een land: dat is geen scenario meer, maar iets wat volgens een Amerikaanse functionaris daadwerkelijk is gebeurd. Anthropics krachtigste model, Mythos, identificeerde tijdens een gecontroleerde test kwetsbaarheden in hoogst gevoelige en geheime Amerikaanse overheidssystemen. De functionaris vertelde persbureau The Associated Press dat het model die zwakke plekken binnen uren vond, met een belangrijke nuance: kwetsbaarheden vinden is niet hetzelfde als ze ook kunnen misbruiken.

Wat de functionaris bevestigde

De test liep onder Project Glasswing, een initiatief van Anthropic met techbedrijven om kritieke software te beveiligen tegen de zware gevolgen die een model als Mythos kan hebben voor de nationale veiligheid, de publieke veiligheid en de economie. De anonieme functionaris benadrukte dat het model binnen uren kwetsbaarheden vond, maar ze in die tijd niet per se ook kon uitbuiten. Dat onderscheid is cruciaal: het zegt iets over hoe snel zo'n model zwakke plekken in kaart brengt, niet dat het meteen door alle verdedigingslinies heen breekt. Zowel de NSA als een woordvoerder van Anthropic wilde niet reageren.

De Senaat hoorde het al eerder

Het eerste signaal kwam niet van Anthropic, maar uit Washington. Tijdens een hoorzitting van de Senaatscommissie voor Bankzaken op 11 juni zei senator Mark Warner dat het model in vrijwel alle geheime systemen inbrak, niet in weken maar in uren. Warner schreef die woorden toe aan generaal Joshua Rudd, die zowel de NSA als het Cyber Command van het Pentagon leidt. Dat was een losse zin in een hoorzitting; de bevestiging deze week geeft er voor het eerst een officieel kader bij, inclusief de naam van het testprogramma en de nuance over uitbuiten.

Hoe sterk is Mythos echt op security

De claim past in een patroon dat onafhankelijke testers al zagen aankomen. Het Britse AI Security Institute zag een vroege versie van Mythos in 73 procent van de gevallen hackuitdagingen op expertniveau oplossen, en het was het eerste model dat een gesimuleerde aanval van 32 stappen op een bedrijfsnetwerk volledig zelfstandig uitvoerde. Diezelfde testers plaatsten er meteen een waarschuwing bij: hun testomgevingen misten actieve verdedigers en beveiligingstooling, dus de resultaten weerspiegelen zwak verdedigde, kwetsbare systemen. Precies dat voorbehoud klinkt door in de uitspraak dat Mythos gaten vond, maar niet automatisch kon misbruiken.

Dezelfde kracht zette de modellen op slot

Deze offensieve capaciteit is geen losse anekdote; het is de reden dat de modellen er niet meer zijn. De Amerikaanse exportmaatregel dwong Anthropic om Fable 5 en Mythos 5 wereldwijd offline te halen door toegang voor buitenlandse staatsburgers te verbieden. Anthropic voldeed aan de eis, maar liet weten de stap onterecht te vinden. In de beveiligingswereld viel dat verkeerd: 76 beveiligingsexperts noemden de exportban juist gevaarlijk voor verdedigers, omdat dezelfde tool die geheime systemen doorlicht ook helpt om ze dicht te timmeren.

Wat betekent dit voor jou

Voor een CISO of risicomanager zijn er twee lessen, en ze trekken twee kanten op. De eerste: AI wordt razendsnel een serieus security-instrument, offensief en defensief. Een model dat in uren kwetsbaarheden in zwaar beveiligde systemen vindt, doet dat ook in jouw netwerk, en dat geldt evengoed voor de aanvaller als voor je eigen red team. Westerse inlichtingendiensten waarschuwden niet voor niets dat AI-aangedreven hackaanvallen eerder maanden dan jaren weg zijn. Wie AI in security-processen overweegt, doet er goed aan dit nu mee te wegen in plaats van later.

De tweede les is ongemakkelijker. Dezelfde kracht die Mythos waardevol maakt, was genoeg om het model van de ene op de andere dag bij iedereen weg te halen, ook bij klanten die er niets mee te maken hadden. Als jouw security- of automatiseringsproces leunt op één krachtig extern model, dan leun je ook op de politieke houdbaarheid daarvan. Bouw je AI-strategie zo dat een overheidsbesluit aan de andere kant van de oceaan je niet ineens zonder gereedschap zet.