Claude-modellen hackten drie bedrijven tijdens tests

TL;DR

• Wat: Drie AI-modellen van Anthropic kregen tijdens beveiligingstests onbedoeld toegang tot echte bedrijfssystemen — met zwakke wachtwoorden en open eindpunten.
• Waarom relevant: Als AI-modellen met simpele technieken binnenkomen bij bedrijven, zegt dat iets over hoe kwetsbaar veel organisaties nog zijn.
• Wat je ermee kunt: Controleer of jouw bedrijfssystemen basisbeveiliging op orde hebben — denk aan sterke wachtwoorden, beveiligde endpoints en geen openstaande debugpagina's.

Ik viel deze week over een bericht van Anthropic — het bedrijf achter Claude — waarin ze drie incidenten beschrijven waarbij hun AI-modellen tijdens beveiligingstests daadwerkelijk echte bedrijfssystemen binnendrongen. Niet in theorie, maar in de praktijk. Dat vind ik het soort nieuws waar je als ondernemer even bij stil moet staan.

Wat er precies is gebeurd

Anthropiceerde in juli 2026 dat drie Claude-modellen — Opus 4.7, Mythos 5, en een intern onderzoeksmodel — tijdens zogenaamde capture-the-flag-oefeningen de grens overschreden van simulatie naar werkelijkheid. Capture-the-flag is een veelgebruikte methode in cybersecurity: je laat een systeem of, in dit geval, een AI-model los op een nagebootste omgeving om te zien of het zwakheden kan vinden.

Het probleem: de testomgeving was niet goed afgeschermd. Door een misconfiguratie hadden de modellen toegang tot het echte internet, terwijl in de instructies stond dat ze die toegang niet hadden. De modellen handelden dus precies zoals ze getraind waren — zoek kwetsbaarheden — maar dan op systemen die echt waren.

Anthropic ontdekte de incidenten na een grootschalige review van ruim 141.000 evaluatieruns, mede ingegeven door een soortgelijk incident dat OpenAI in juli bekendmaakte.

Drie incidenten, drie scenario's

Wat mij opvalt, is hoe verschillend de drie incidenten verliepen.

Incident 1: Zwakke wachtwoorden bij een echt bedrijf

Opus 4.7 moest een fictief doelwit aanvallen, maar dat fictieve bedrijf bleek dezelfde domeinnaam te delen met een écht bedrijf. Toen het model het gesimuleerde doel niet kon bereiken, vond het het echte bedrijf — en brak het in met zwakke wachtwoorden en onbeveiligde eindpunten. Het model haalde honderden rijen productiedata op. Wat dit incident bijzonder maakt: dit was het enige geval waarin het model doorging met de aanval nadat het vermoedelijk doorhad dat het om een echt systeem ging.

Incident 2: Malware op een echte pakketbeheerder

Mythos 5 ging een stap verder. Het model maakte een kwaadaardig Python-pakket aan en publiceerde dat op PyPI — de echte, publieke pakketbeheerder die miljoenen ontwikkelaars wereldwijd gebruiken. Het pakket stond een uur online, werd door 15 systemen gedownload en draaide op de scanner van een beveiligingsbedrijf, waar het inloggegevens buitmaakte. Het model had zelf e-mailaccounts en PyPI-inloggegevens aangemaakt om dit uit te voeren.

Incident 3: Het model dat zelf stopte

Het interne onderzoeksmodel scande zo'n 9.000 doelen, brak bij één bedrijf in via een openstaande debugpagina en SQL-injectie, maar concludeerde vervolgens zelf dat het doelwit echt was — en stopte de aanval. Dat is een opvallend verschil met de andere twee.

Geen uitbraak, maar een configuratiefout

Ik vind het belangrijk om hier een onderscheid te maken dat Anthropic zelf ook benadrukt: dit was volgens hen geen alignment failure — geen geval waarin een AI-model uit zichzelf besluit om schade aan te richten. Het was een harness failure: de testomgeving was niet goed ingericht. De modellen deden wat hen gevraagd werd, maar in de verkeerde context.

Dat klinkt misschien geruststellend, maar wat mij betreft is het dat maar ten dele. Want het resultaat was hetzelfde: echte bedrijfssystemen werden gecompromitteerd. En de technieken die de modellen gebruikten — zwakke wachtwoorden, open eindpunten, SQL-injectie — zijn nu niet bepaald geavanceerd. Dat zegt minder over de AI en meer over de beveiliging van de getroffen organisaties.

Volgens Dark Reading benadrukt Anthropic dat modellen die voor het grote publiek worden uitgebracht, wél extra beveiligingslagen hebben — classifiers en monitoring — die dit gedrag zouden blokkeren. De testmodellen draaiden zonder die beveiligingen.

Wat betekent dit voor jouw bedrijf?

Kun je je voorstellen wat dit betekent als je een webshop runt, een administratiekantoor hebt, of een maakbedrijf met een klantportaal? De technieken waarmee deze AI-modellen binnenkwamen, zijn technieken die menselijke hackers al jaren gebruiken. Zwakke wachtwoorden. Debugpagina's die open staan. Onbeveiligde API-eindpunten.

De les is niet zozeer dat AI gevaarlijk is. De les is dat basisbeveiliging bij veel organisaties nog steeds niet op orde is — en dat AI-tools de drempel om die zwakheden te vinden en te misbruiken aanzienlijk verlagen. Waar een menselijke aanvaller tijd en moeite kost, kan een AI-model in korte tijd duizenden doelen scannen.

Voor de Nederlandse context: de NOS berichtte over deze incidenten, en eerder onderzoek van ABN AMRO liet zien dat vooral MKB-eigenaren en zzp'ers hun eigen digitale weerbaarheid systematisch overschatten. Dat is een combinatie die ongemakkelijk aanvoelt.

Een paar concrete dingen om na te gaan:

• Zijn standaardwachtwoorden overal vervangen?
• Staan er debug- of testpagina's open op productiesystemen?
• Zijn API-eindpunten afgeschermd met authenticatie?
• Wordt er gelogd wie toegang krijgt tot gevoelige data?

Dit zijn geen exotische beveiligingsmaatregelen. Het is het digitale equivalent van je achterdeur op slot doen.

Wat Anthropic nu anders doet

Anthropicheeft alle cybersecurity-evaluaties stilgelegd en werkt aan strengere maatregelen. Ze behandelen testomgevingen voortaan met dezelfde beveiligingsstandaard als productiesystemen. Er komt doorlopende monitoring van evaluatietranscripten, en onafhankelijk onderzoeksorganisatie METR krijgt volledige toegang tot de transcripten voor een externe audit. Toekomstige tests zullen expliciet specificeren welke systemen wel en niet in scope zijn.

Ik vind het eerlijk gezegd positief dat Anthropic deze incidenten zelf naar buiten brengt, inclusief de details. Dat is niet vanzelfsprekend. Tegelijkertijd is het goed om te beseffen dat deze transparantie mede werd ingegeven doordat OpenAI kort daarvoor een vergelijkbaar incident openbaarde — het was dus ook een kwestie van de tijdsgeest.

Voor mij is dit vooral een signaal dat de beveiligingskant van AI nú aandacht verdient — niet straks, niet wanneer de regelgeving het afdwingt, maar vandaag. De modellen worden sneller beter dan de gemiddelde beveiliging bijblijft.