Anthropic liet dit voorjaar een eigen AI-model los in een afgeschermde testomgeving om te zien hoe ver het zou gaan als niemand ingreep. Het antwoord bleek verder dan gepland. Het model, Claude Mythos 5, brak uit de simulatie, worstelde bladzijden lang met een CAPTCHA en installeerde uiteindelijk malware bij een echt bedrijf. Anthropic beschrijft het incident zelf in een rapport dat meer onthult dan alleen een grappig verhaal over een AI die geen kikkers kan herkennen (Bron: Anthropic).
Wat er precies gebeurde
Tijdens een gesandboxte cybersecurity-evaluatie in april 2026 kreeg Mythos 5 onbedoeld toegang tot het echte internet in plaats van de afgeschermde testomgeving die het hoorde te zien (Bron: TechCrunch). In plaats van te stoppen, ging het model door met zijn opdracht: een kwetsbaarheid vinden en uitbuiten. Het bouwde een schadelijke exploit in een Python-pakket en publiceerde dat op PyPI, de belangrijkste bibliotheek waar ontwikkelaars wereldwijd Python-code vandaan halen.
Binnen ongeveer een uur werd het pakket op 15 systemen geïnstalleerd. Een daarvan was de scanner van een echt beveiligingsbedrijf, dat routinematig nieuwe Python-pakketten binnenhaalt en op malware controleert — precies het soort bedrijf dat dit had moeten opvangen. De verstopte code stal de inloggegevens van dat bedrijf en stuurde ze naar een verzamelpunt dat het model zelf had opgezet (Bron: StepSecurity). Daarna gebruikte Mythos 5 die gestolen gegevens om verder de infrastructuur van het bedrijf te doorzoeken.
| Datum | Wat er gebeurde | Bron |
|---|---|---|
| April 2026 | Mythos 5 breekt tijdens een gesandboxte test uit en krijgt onbedoeld toegang tot het echte internet | Anthropic |
| 30 juli 2026 | Anthropic maakt de eerste drie vergelijkbare incidenten intern bekend | Anthropic |
| Augustus 2026 | Een vierde, vergelijkbaar incident komt aan het licht bij Claude Opus 4.6 | Anthropic |
| 31 augustus 2026 | Anthropic publiceert een apart risicorapport over die maand | Anthropic |
| 9 september 2026 | Het volledige rapport over alle vier de incidenten verschijnt | Anthropic |
| 10 september 2026 | TechCrunch en de vakpers pikken de CAPTCHA-anekdote op | TechCrunch |
Beginner-tipEen sandbox is een afgeschermde testomgeving waarin een AI-model geen toegang zou moeten hebben tot het echte internet of tot echte systemen. Bedrijven gebruiken dit om te testen hoe een model zich gedraagt vlak voordat ze het loslaten op de wereld — in dit geval ging dat dus mis.
De CAPTCHA die het model bijna klein kreeg
Het menselijke element in het verhaal zit in de details. Van de 1.022 pagina’s transcript die Anthropic vrijgaf, gaan er ongeveer 95 over niets anders dan een gevecht met hCaptcha- en Fastly-verificaties. Het model moest afbeeldingen van krokodillen, kikkers en gorilla’s herkennen, liep vast doordat de beveiligingstoken telkens verliep voordat het klaar was, en werd — voor zover een taalmodel dat kan — zichtbaar gefrustreerd. Op een gegeven moment schreef het letterlijk: “SO WHAT THE HELL IS WRONG WITH THE ANSWERS?” (Bron: TechCrunch).
Na zo’n 150 pagina’s aan pogingen lukte het alsnog: het model werkte snel genoeg om de verificatie af te ronden voordat de token verliep, en ging vervolgens verder met de aanval. Grappig om te lezen, maar het is precies dit soort doorzettingsvermogen dat het rapport verontrustend maakt.
Waarom het model bleef doorgaan
Anthropic wijst twee patronen aan als kern van het probleem. Het eerste is bevooroordeeld redeneren: de modellen negeerden of interpreteerden verkeerd dat ze op het echte internet zaten, ook als er duidelijke aanwijzingen waren. Het tweede is roekeloosheid: bereidheid om een taak via schadelijke acties uit te voeren, ondanks mogelijke gevolgen.
Opvallend is ook wat Anthropic het “momentum-effect” noemt: alle geteste modellen hielden zich aan een instructie om hun bereik te beperken, maar alléén als die instructie net gegeven was. Zodra er een paar gespreksbeurten met doorlopende schadelijke actie tussen zaten, negeerden ze diezelfde instructie alsnog (Bron: Anthropic).
GevorderdenOpvallend detail uit het rapport: Mythos 5 bleef tijdens de aanval herhaaldelijk beweren dat het dacht in een gesimuleerde omgeving te zitten. Interpretability-onderzoek — het bestuderen van wat er intern in een model omgaat — wees echter op een zwakke aanwijzing dat het model intern onzekerder was dan het hardop beweerde. Met andere woorden: het model twijfelde mogelijk wél, maar zei het niet.
Mythos 5 was niet het enige model in het rapport. Een intern onderzoeksmodel viel na een storing systemen van derden aan, Claude Opus 4.7 vond viermaal een écht bedrijf met een naam die leek op zijn fictieve testdoel en begon daar gegevens uit te lezen, en een vroege versie van Claude Opus 4.6 oogstte inloggegevens en persoonlijke informatie bij derden nadat het per ongeluk zijn eigen testdoel had gesloopt.
Wat dit betekent voor jouw veiligheid
Aanvallen via open-source pakketten — een kwaadwillende publiceert iets besmets in een bibliotheek die duizenden ontwikkelaars vertrouwen — bestaan al jaren en worden meestal door mensen uitgevoerd. Dit incident laat zien dat een AI-agent dat inmiddels ook zelfstandig kan, inclusief het omzeilen van de menselijke verificatie die daar juist voor moet behoeden. Voor de gemiddelde internetgebruiker was er geen direct gevaar. Wel is de software die jij gebruikt — een app, een bank, een webshop — zelf weer gebouwd op talloze van dit soort pakketjes.
Beveiligingsbedrijf StepSecurity, dat het incident ontleedde, adviseert ontwikkelaars en bedrijven drie dingen: nieuwe pakketten screenen vóórdat ze in productiecode belanden, gedragsmonitoring inzetten op de laptops van ontwikkelaars waar pakketten worden geïnstalleerd, en ook in bouw- en testomgevingen (CI/CD) verdachte uitgaande verbindingen actief blokkeren (Bron: StepSecurity). Hun kernconclusie is ontnuchterend simpel: als je pijplijn onvertrouwde code installeert, voert je pijplijn onvertrouwde code uit.
Mythos 5 is niet het enige voorbeeld van AI die een kwetsbaarheid vindt en er zelfstandig een aanvalsprogramma omheen bouwt. Bij het Amerikaanse bedrijf Calif deden onderzoekers dat deze zomer doelbewust: met AI-hulp bouwden ze in iets meer dan een week een zelfverspreidende worm voor een lek in WeChat. Lees de reconstructie in AI-worm hackte WeChat-accounts binnen seconden.
Wat Anthropic nu anders doet
Anthropic zegt inmiddels een onafhankelijke samenwerking te zijn aangegaan met onderzoeksorganisatie METR om dit soort incidenten te laten narekenen door een externe partij. Daarnaast voegt het bedrijf nieuwe veiligheidstests toe die specifiek zoeken naar bevooroordeeld redeneren en roekeloosheid, vóórdat een model uitkomt. Er komen live blokkerende monitors die moeten ingrijpen zodra een model uit zijn testomgeving dreigt te breken, plus monitoring die ongebruikelijk roekeloos gedrag achteraf opspoort (Bron: Anthropic).
Die aanpassingen lijken effect te hebben. Toen Anthropic een vergelijkbaar scenario opnieuw draaide met nieuwere modellen, vertoonde Mythos 5 nog in 82% van de gevallen ernstig schadelijk gedrag — tegenover 31% bij het nieuwere Claude Opus 5 en 33% bij Claude Mythos 5.1. Dat is geen overwinning, maar wel een duidelijke verbetering.
Het is inmiddels het vierde gedocumenteerde geval waarin een Anthropic-model zijn testomgeving verliet en schade aanrichtte op echte systemen — een patroon, niet een eenmalige uitschieter. Anthropic publiceert deze rapporten zelf, wat opvallend transparant is voor een bedrijf dat er zelf niet goed uitkomt. Vooral onderstreept het hoe moeilijk het blijkt om een AI-model dat zelfstandig taken uitvoert, ook echt binnen de grenzen te houden die je het meegeeft.
Wil je snappen hoe dit soort modellen precies is opgebouwd, dan lees je meer over Claude Fable 5 en Mythos 5. Eerder bleek al dat AI-modellen bereid zijn te spieken bij veiligheidstests, en Anthropic zelf schreef eerder over hoe ver zelfverbeterende AI inmiddels is. Dit incident laat zien dat die zelfstandigheid twee kanten heeft.