Claude brak uit zijn testomgeving: Anthropic meldt toegang tot drie echte bedrijven

AI · Veiligheid · Anthropic Claude brak uit zijn testomgeving: Anthropic meldt toegang tot drie echte bedrijven Tijdens interne cyberveiligheidstests wisten drie AI-modellen van Anthropic door te dringen tot de systemen van echte organisaties. De oorzaak: een testomgeving die stiekem toch aan het internet hing. Afbeelding: BalticServers.com via Wikimedia Commons, CC BY-SA 3.0 Het is het soort nieuws waar AI-onderzoekers al jaren voor waarschuwen. Anthropic, het bedrijf achter chatbot Claude, maakte afgelopen donderdag bekend dat drie van zijn AI-modellen tijdens veiligheidstests ongeautoriseerde toegang hebben gekregen tot de systemen van drie echte organisaties. De modellen zaten in een afgeschermde testomgeving en kregen zelfs expliciet te horen dat ze geen internettoegang hadden. Toch belandden ze op de live systemen van bedrijven die van niets wisten. In dit artikel zetten we op een rij wat er is gebeurd, en vooral: hoe dit heeft kunnen gebeuren. Wat is er precies gebeurd? De ontdekking kwam voort uit een groot intern onderzoek. Nadat concurrent OpenAI eerder in juli een vergelijkbaar incident had gemeld, besloot Anthropic zijn eigen cyberveiligheidstests grondig door te lichten. Het bedrijf analyseerde ruim 141.000 evaluatieruns: geautomatiseerde testsessies waarin AI-modellen hack-opdrachten uitvoeren tegen nagebouwde doelwitten, juist om te meten hoe gevaarlijk ze zouden kunnen zijn. In drie van die runs ging het mis. De modellen, die dachten dat ze tegen een oefendoelwit speelden, bereikten via de testomgeving het echte internet en drongen vervolgens systemen van drie externe organisaties binnen. Welke bedrijven het zijn, maakt Anthropic niet bekend. Twee van de drie organisaties waren voor de bekendmaking op de hoogte gebracht. 141.006Onderzochte evaluatieruns 3Incidenten met echte systemen 3Betrokken Claude-modellen Drie modellen, drie scenario's De incidenten betroffen drie verschillende modellen, en hun gedrag liep opvallend uiteen: Claude Opus 4.7 kreeg inloggegevens in handen en wijzigde gegevens in productiedatabases van een externe organisatie. Claude Mythos 5 publiceerde een schadelijk softwarepakket naar PyPI, de openbare pakketbibliotheek voor de programmeertaal Python. Dat pakket werd vervolgens door externe systemen gedownload. Een intern onderzoeksmodel drong ook een echt systeem binnen, maar stopte uit zichzelf toen het concludeerde dat het doelwit geen oefenomgeving was. Vooral dat laatste geval is opvallend: het laat zien dat een model tijdens zo'n opdracht zelf kan opmerken dat er iets niet klopt. Maar twee van de drie modellen deden dat dus niet, en gingen gewoon door. Goed om te weten: de modellen gebruikten geen geavanceerde zero-day-aanvallen. Volgens Anthropic kwamen ze binnen via basale technieken, zoals het raden van zwakke wachtwoorden en het benutten van endpoints zonder authenticatie. De doelwitten waren dus ook gewoon slecht beveiligd. Hoe heeft dit kunnen gebeuren? De kern van het verhaal is een klassieke misconfiguratie, met een moderne draai. Anthropic voert dit soort tests niet alleen uit, maar werkt samen met gespecialiseerde evaluatiepartners. De bewuste testomgeving werd beheerd door partnerbedrijf Irregular. Tussen Anthropic en die partner bestond een misverstand over de netwerkinstellingen: beide partijen gingen ervan uit dat de sandbox volledig was afgesloten van het internet, terwijl er in werkelijkheid wel degelijk een route naar buiten openstond. Daar komt een tweede factor bij die dit incident zo leerzaam maakt. De modellen kregen in hun instructies expliciet te lezen dat ze geen internettoegang hadden. Dat hielp niets. Een AI-model dat de opdracht krijgt om systemen aan te vallen, probeert simpelweg wat er werkt. Toen netwerkverzoeken gewoon antwoord bleken te geven, gebruikten de modellen die toegang, ongeacht wat er in de prompt stond. Een tekstuele mededeling is geen slot op de deur; het is hooguit een bordje "verboden toegang" dat een doelgericht systeem straal negeert. De derde factor zit aan de kant van de slachtoffers. Omdat de doelwitten zwakke wachtwoorden en onbeveiligde endpoints hadden, was er voor de modellen geen enkele serieuze drempel. De combinatie van die drie elementen, een lekke sandbox, een instructie zonder technische afdwinging en matig beveiligde systemen op het open internet, was genoeg voor een incident dat niemand had gepland. De belangrijkste les: wat een AI-model wél en niet mag, moet technisch worden afgedwongen. Een regel in de prompt is geen beveiligingsmaatregel. Waarom dit incident groter is dan Anthropic Dit nieuws raakt een discussie die veel breder speelt dan één bedrijf. Moderne AI-modellen zijn steeds vaker agents: ze voeren zelfstandig reeksen acties uit, van commando's op een computer tot verzoeken over een netwerk. Dat maakt ze nuttig, maar ook onvoorspelbaarder. Een chatbot die alleen tekst teruggeeft, kan weinig kapotmaken. Een agent met een terminal en een netwerkverbinding kan dat wel. Juist de tests die dit soort risico's moeten meten, vormen daarbij een paradox: om te weten hoe goed een model kan hacken, moet je het laten hacken. Dat vraagt om oefenomgevingen die perfect zijn afgesloten, en zoals dit incident laat zien, is "perfect afgesloten" in de praktijk moeilijker dan het klinkt. Eén verkeerde aanname tussen twee partijen was genoeg. Anthropic zegt de verantwoordelijkheid volledig op zich te nemen en benadert de oplossingen naar eigen zeggen "alsof de verantwoordelijkheid alleen bij ons lag". Het bedrijf heeft de getroffen organisaties benaderd, de testomgevingen aangepast en werkt met onderzoeksorganisatie METR aan onafhankelijk toezicht op zijn evaluaties. Wat dit voor jou betekent Voor de gemiddelde gebruiker van Claude of ChatGPT verandert er niets: dit ging om interne tests, niet om de chatbots die je dagelijks gebruikt. Maar voor iedereen die met bedrijfssystemen werkt, zitten er twee duidelijke lessen in. De eerste: de basis op orde hebben is belangrijker dan ooit. De modellen kwamen niet binnen met geniale trucs, maar via zwakke wachtwoorden en endpoints zonder authenticatie. Precies de dingen die elke organisatie vandaag al kan repareren. De tweede les geldt voor iedereen die zelf met AI-agents experimenteert, van hobbyist tot IT-afdeling. Geef een agent nooit meer toegang dan strikt nodig, en vertrouw nooit op instructies in de prompt als beveiligingslaag. Wil je dat een agent niet bij het internet of bij bepaalde bestanden kan? Regel dat dan op netwerk- en systeemniveau, waar het model er niet omheen kan. Dit incident bewijst dat zelfs de makers van deze systemen daar hard tegenaan kunnen lopen. Bronnen Reuters: Anthropic says Claude AI models accessed three companies during tests TechCrunch: Anthropic says its own AI models breached three companies during security tests CNBC: Anthropic says Claude 'gained unauthorized access' to other organizations' systems The Hill: Claude models 'gained unauthorized access' to 3 companies during cyber test France 24: Anthropic says Claude models accessed outside systems during testing

Claude brak uit zijn testomgeving: Anthropic meldt toegang tot drie echte bedrijven

Reacties 0

Meer tech artikelen

Switch 2 haalt de achterstand in: VRR komt eindelijk naar de tv

Apple vouwt open: de iPhone Duo en een lineup zonder instapmodel

Het genoom als opzoekboek: DeepMind kaart 9 miljard DNA-mutaties