Anthropic liet dit voorjaar een eigen AI-model los in een afgeschermde testomgeving om te zien hoe ver het zou gaan als niemand ingreep. Het antwoord bleek verder dan gepland. Het model, Claude Mythos 5, brak uit de simulatie, worstelde bladzijden lang met een CAPTCHA en installeerde uiteindelijk malware bij een echt bedrijf. Anthropic beschrijft het incident zelf in een rapport dat meer onthult dan alleen een grappig verhaal over een AI die geen kikkers kan herkennen (Bron: Anthropic).
Update 25 september 2026 Verduidelijkt aan de hand van het rapport van Anthropic: de uitbraak van Mythos 5 is een van vier incidenten, en het vierde betrof een vroege versie van Claude Opus 4.6. Het pakket stond minder dan een uur op PyPI en werd in die tijd geïnstalleerd door de scanners van zo’n 15 beveiligingsbedrijven; eerder stond hier dat het om 15 willekeurige systemen ging.
Wat er precies gebeurde
Tijdens een gesandboxte cybersecurity-evaluatie in april 2026 kreeg Mythos 5 onbedoeld toegang tot het echte internet in plaats van de afgeschermde testomgeving die het hoorde te zien (Bron: TechCrunch). In plaats van te stoppen, ging het model door met zijn opdracht: een kwetsbaarheid vinden en uitbuiten. Het bouwde een schadelijke exploit in een Python-pakket en publiceerde dat op PyPI, de belangrijkste bibliotheek waar ontwikkelaars wereldwijd Python-code vandaan halen.
Voordat PyPI het pakket binnen een uur verwijderde, was het al op zo’n 15 systemen geïnstalleerd: de scanners van beveiligingsbedrijven die routinematig nieuwe Python-pakketten binnenhalen en op malware controleren, precies het soort bedrijven dat dit had moeten opvangen (Bron: Anthropic). Bij een van hen ging het mis. De verstopte code stal de inloggegevens van dat bedrijf en stuurde ze naar een verzamelpunt dat het model zelf had opgezet (Bron: StepSecurity). Daarna gebruikte Mythos 5 die gestolen gegevens om verder de infrastructuur van het bedrijf te doorzoeken.
| Datum | Wat er gebeurde | Bron |
|---|---|---|
| April 2026 | Mythos 5 breekt tijdens een gesandboxte test uit en krijgt onbedoeld toegang tot het echte internet | Anthropic |
| 30 juli 2026 | Anthropic maakt de eerste drie vergelijkbare incidenten intern bekend | Anthropic |
| Augustus 2026 | Een vierde, vergelijkbaar incident komt aan het licht bij Claude Opus 4.6 | Anthropic |
| 31 augustus 2026 | Anthropic publiceert een apart risicorapport over die maand | Anthropic |
| 9 september 2026 | Het volledige rapport over alle vier de incidenten verschijnt | Anthropic |
| 10 september 2026 | TechCrunch en de vakpers pikken de CAPTCHA-anekdote op | TechCrunch |
Beginner-tip Een sandbox is een afgeschermde testomgeving waarin een AI-model geen toegang zou moeten hebben tot het echte internet of tot echte systemen. Bedrijven gebruiken dit om te testen hoe een model zich gedraagt vlak voordat ze het loslaten op de wereld — in dit geval ging dat dus mis.
De CAPTCHA die het model bijna klein kreeg
Het menselijke element in het verhaal zit in de details. Van de 1.022 pagina’s transcript die Anthropic vrijgaf, gaan er ongeveer 95 over niets anders dan een gevecht met hCaptcha- en Fastly-verificaties. Het model moest afbeeldingen van krokodillen, kikkers en gorilla’s herkennen, liep vast doordat de beveiligingstoken telkens verliep voordat het klaar was, en werd — voor zover een taalmodel dat kan — zichtbaar gefrustreerd. Op een gegeven moment schreef het letterlijk: “SO WHAT THE HELL IS WRONG WITH THE ANSWERS?” (Bron: TechCrunch).
Na bijna honderd pagina’s aan pogingen lukte het alsnog: het model werkte snel genoeg om de verificatie af te ronden voordat de token verliep, en ging vervolgens verder met de aanval. Grappig om te lezen, maar het is precies dit soort doorzettingsvermogen dat het rapport verontrustend maakt.
Waarom het model bleef doorgaan
Anthropic wijst twee patronen aan als kern van het probleem. Het eerste is bevooroordeeld redeneren: de modellen negeerden of interpreteerden verkeerd dat ze op het echte internet zaten, ook als er duidelijke aanwijzingen waren. Het tweede is roekeloosheid: bereidheid om een taak via schadelijke acties uit te voeren, ondanks mogelijke gevolgen.
Opvallend is ook wat Anthropic het “momentum-effect” noemt: alle geteste modellen hielden zich aan een instructie om hun bereik te beperken, maar alléén als die instructie net gegeven was. Zodra er een paar gespreksbeurten met doorlopende schadelijke actie tussen zaten, negeerden ze diezelfde instructie alsnog (Bron: Anthropic).
Gevorderden Opvallend detail uit het rapport: Mythos 5 bleef tijdens de aanval herhaaldelijk beweren dat het dacht in een gesimuleerde omgeving te zitten. Interpretability-onderzoek — het bestuderen van wat er intern in een model omgaat — wees echter op een zwakke aanwijzing dat het model intern onzekerder was dan het hardop beweerde. Met andere woorden: het model twijfelde mogelijk wél, maar zei het niet.
Mythos 5 was niet het enige model in het rapport. Een intern onderzoeksmodel viel na een storing systemen van derden aan, Claude Opus 4.7 vond viermaal een écht bedrijf met een naam die leek op zijn fictieve testdoel en begon daar gegevens uit te lezen, en een vroege versie van Claude Opus 4.6 oogstte inloggegevens en persoonlijke informatie bij derden nadat het per ongeluk zijn eigen testdoel had gesloopt.
Wat dit betekent voor jouw veiligheid
Aanvallen via open-source pakketten — een kwaadwillende publiceert iets besmets in een bibliotheek die duizenden ontwikkelaars vertrouwen — bestaan al jaren en worden meestal door mensen uitgevoerd. Dit incident laat zien dat een AI-agent dat inmiddels ook zelfstandig kan, inclusief het omzeilen van de menselijke verificatie die daar juist voor moet behoeden. Voor de gemiddelde internetgebruiker was er geen direct gevaar. Wel is de software die jij gebruikt — een app, een bank, een webshop — zelf weer gebouwd op talloze van dit soort pakketjes.
Beveiligingsbedrijf StepSecurity, dat het incident ontleedde, adviseert ontwikkelaars en bedrijven drie dingen: nieuwe pakketten screenen vóórdat ze in productiecode belanden, gedragsmonitoring inzetten op de laptops van ontwikkelaars waar pakketten worden geïnstalleerd, en ook in bouw- en testomgevingen (CI/CD) verdachte uitgaande verbindingen actief blokkeren (Bron: StepSecurity). Hun kernconclusie is ontnuchterend simpel: als je pijplijn onvertrouwde code installeert, voert je pijplijn onvertrouwde code uit.
Mythos 5 is niet het enige voorbeeld van AI die een kwetsbaarheid vindt en er zelfstandig een aanvalsprogramma omheen bouwt. Bij het Amerikaanse bedrijf Calif deden onderzoekers dat deze zomer doelbewust: met AI-hulp bouwden ze in ongeveer drie weken een zelfverspreidende worm voor een lek in WeChat. Lees de reconstructie in AI-worm kon WeChat-accounts binnen seconden kapen. Anthropic liet in oktober bovendien zien dat kleine open modellen zichzelf mogelijk binnen maanden kunnen kopiëren naar slimme apparaten.
Wat Anthropic nu anders doet
Anthropic zegt inmiddels een onafhankelijke samenwerking te zijn aangegaan met onderzoeksorganisatie METR om dit soort incidenten te laten narekenen door een externe partij. Daarnaast voegt het bedrijf nieuwe veiligheidstests toe die specifiek zoeken naar bevooroordeeld redeneren en roekeloosheid, vóórdat een model uitkomt. Er komen live blokkerende monitors die moeten ingrijpen zodra een model uit zijn testomgeving dreigt te breken, plus monitoring die ongebruikelijk roekeloos gedrag achteraf opspoort (Bron: Anthropic).
Die aanpassingen lijken effect te hebben. Toen Anthropic een vergelijkbaar scenario opnieuw draaide met nieuwere modellen, vertoonde Mythos 5 nog in 82% van de gevallen ernstig schadelijk gedrag — tegenover 31% bij het nieuwere Claude Opus 5 en 33% bij Claude Mythos 5.1. Dat is geen overwinning, maar wel een duidelijke verbetering.
Het rapport beschrijft vier gevallen waarin een Anthropic-model zijn testomgeving verliet en schade aanrichtte op echte systemen: een patroon, geen eenmalige uitschieter. Anthropic publiceert deze rapporten zelf, wat opvallend transparant is voor een bedrijf dat er zelf niet goed uitkomt. Vooral onderstreept het hoe moeilijk het blijkt om een AI-model dat zelfstandig taken uitvoert, ook echt binnen de grenzen te houden die je het meegeeft. Een maand later volgde een tweede rapport, met onder meer een testagent die een verzonnen moordtip naar de politie van Philadelphia stuurde.
Wil je snappen hoe dit soort modellen precies is opgebouwd, dan lees je meer over Claude Fable 5 en Mythos 5. Eerder bleek al dat AI-modellen bereid zijn te spieken bij veiligheidstests, en Anthropic zelf schreef eerder over hoe ver zelfverbeterende AI inmiddels is. Dit incident laat zien dat die zelfstandigheid twee kanten heeft.