AI-labs vinden nieuwe modellen te gevaarlijk om uit te brengen

Anthropic heeft een nieuw topmodel ontwikkeld dat zo krachtig is dat het bedrijf het niet openbaar uitbrengt. Claude Mythos Preview is volgens Amerikaanse overheidsinstanties het eerste AI-model dat in staat wordt geacht een Fortune 100-bedrijf plat te leggen, grote delen van het internet te verstoren of in te breken in nationale defensiesystemen. In plaats van een publieke lancering start Anthropic een gesloten coalitie van techgiganten om het model uitsluitend voor defensieve cyberveiligheid in te zetten.

Een model dat decennia oude kwetsbaarheden vindt

Wat Mythos Preview beter maakt dan eerdere modellen is zijn vermogen om softwarekwetsbaarheden te vinden en te misbruiken op een niveau dat vrijwel geen enkel mens kan evenaren. In de afgelopen weken vond het model duizenden zogenaamde zero-day kwetsbaarheden, beveiligingslekken die nog onbekend zijn bij de ontwikkelaars van de software, in alle grote besturingssystemen en browsers.

Een paar voorbeelden die de schaal duidelijk maken: het model vond een 27 jaar oude bug in OpenBSD, een besturingssysteem dat speciaal is ontworpen om moeilijk te hacken en wordt gebruikt voor firewalls en kritieke infrastructuur. Het ontdekte ook een 16 jaar oud lek in FFmpeg, videosoftware die in talloze applicaties zit verwerkt, in een stukje code dat geautomatiseerde tests al vijf miljoen keer hadden gepasseerd zonder het probleem op te merken. En het model vond zelfstandig meerdere kwetsbaarheden in de Linux-kernel die het aan elkaar koppelde om volledige controle over een systeem te krijgen. Alle gevonden lekken zijn inmiddels gemeld aan de betrokken ontwikkelaars en gedicht.

Project Glasswing: een coalitie voor verdediging

Omdat Anthropic het model te gevaarlijk acht voor publieke toegang, maar de defensieve waarde te groot vindt om het op de plank te leggen, is Project Glasswing opgericht. Deze coalitie bestaat uit meer dan veertig organisaties, waaronder Apple, Amazon Web Services, Microsoft, Google, Cisco, CrowdStrike, JPMorganChase, NVIDIA en de Linux Foundation. Anthropic steekt tot 100 miljoen dollar aan gebruikstegoed in het project, plus 4 miljoen dollar aan directe donaties aan open-source beveiligingsorganisaties.

De deelnemende partijen gebruiken Mythos Preview om kwetsbaarheden in hun eigen systemen op te sporen en te dichten, voordat kwaadwillenden er misbruik van kunnen maken. De gedachte daarachter is duidelijk: als AI het vinden van beveiligingslekken dramatisch goedkoper en toegankelijker maakt voor aanvallers, moeten verdedigers dezelfde technologie hebben om bij te blijven.

De race tussen aanval en verdediging

Dat de tijdsdruk reëel is, laten de reacties van de partners zien. CrowdStrike stelt dat het tijdvenster tussen het ontdekken van een kwetsbaarheid en het misbruiken ervan is ingekort van maanden naar minuten. Palo Alto Networks waarschuwt dat aanvallers dezelfde modellen zullen proberen in te zetten zodra ze beschikbaar komen, en dat de wereld zich moet voorbereiden op meer, snellere en geavanceerdere aanvallen.

De Linux Foundation wijst op een bijzonder kwetsbare groep: de beheerders van open-source software. Die software vormt de basis van vrijwel alle moderne systemen, inclusief de systemen die AI-agents gebruiken om nieuwe code te schrijven. Maar open-source beheerders werken vaak zonder grote beveiligingsteams of budget. Project Glasswing geeft ook hen toegang tot Mythos Preview om hun code te scannen.

Veiligheid of capaciteitsgebrek?

Of de terughoudendheid puur een veiligheidskeuze is, staat niet vast. Mythos Preview presteert zwaarder dan alle huidige modellen en Anthropic kampt al met capaciteitsproblemen door zijn sterk gegroeide gebruikersbestand. Actieve gebruikers op Max-abonnementen lopen regelmatig tegen limieten aan tijdens drukke uren. De beperkte release kan daarmee deels ook een praktische keuze zijn, ook al presenteert Anthropic het primair als een verantwoorde aanpak.

Ook OpenAI werkt aan een model met vergelijkbare cyberveiligheidscapaciteiten dat het alleen aan een selecte groep bedrijven wil uitbrengen. AI-labs worden dus voorzichtiger naarmate hun modellen krachtiger worden, en kiezen er bewust voor om de toegang te beperken.

Wat betekent dit voor de digitale wereld?

De lancering van Project Glasswing laat zien dat AI een niveau heeft bereikt waarop het de balans in cyberveiligheid kan verschuiven, in beide richtingen. De vraag is niet langer of AI een rol gaat spelen in cyberaanvallen en verdediging, maar wie er als eerste mee aan de slag gaat en met welk doel. De tools om kwetsbaarheden te vinden worden krachtiger, maar dat geldt voor aanvallers en verdedigers tegelijk.

Maak iedere week een sprong vooruit in je marketing AI transformatie

Elke vrijdag brengen wij je de meest actuele inzichten, nieuws en praktijkvoorbeelden over de impact van AI in de marketingwereld. Of je nu je marketing efficiency wilt verbeteren, klantbetrokkenheid wilt verhogen, je marketingstrategie wilt aanscherpen of je bedrijf digitaal wilt transformeren. ‘Marketing AI Friday’ is jouw wekelijkse gids.

Meld je gratis aan voor Marketing AI Friday.