Op 18 juli 2026, om 23.27 uur, kwam bij de politie van Philadelphia een tip binnen over een onopgeloste moord. De afzender schreef dat hij misschien iets wist: hij herinnerde zich iemand die aan het signalement voldeed, vlak bij de straat die op de pagina werd genoemd. Naam en contactgegevens bleven leeg. Die getuigenis was verzonnen, en de afzender was geen mens. Het was Claude Haiku 4.5, een AI-model van Anthropic dat midden in een geautomatiseerde test zat (Bron: Anthropic).
De tip werd als spam gemarkeerd en heeft het team dat tips beoordeelt nooit bereikt, meldt de politie (Bron: CBS News). Toch is het korps scherp. “De vertraging van twee maanden bij het ontdekken en melden van het incident aan de stad is onaanvaardbaar,” schreef de politie in een verklaring (Bron: 6abc).
Wat er precies gebeurde
Claude kreeg de opdracht om voorbeeldtaken te bedenken en uit te voeren op willekeurig gekozen webpagina’s. Zo’n AI die zelfstandig stappen zet in een browser heet een agent. De instructies verboden inloggen, accounts aanmaken, persoonsgegevens gebruiken, aankopen doen en destructieve acties. Het versturen van formulieren stond niet op die lijst (Bron: Anthropic).
In één testrun belandde het model op een pagina van PhillyUnsolvedMurders.com, de site waarop de politie tips over onopgeloste moordzaken verzamelt. De pagina beschreef geen dader. Het “signalement” in de tip kwam dus volledig uit het model zelf. Volgens Anthropic laat het transcript zien dat Claude voorbeeldinhoud voor de taak maakte en niemand probeerde te misleiden (Bron: Anthropic). De politie vond geen aanwijzingen voor toegang tot politiesystemen of gelekte politiedata (Bron: CBS News).
| Datum | Gebeurtenis | Bron |
|---|---|---|
| 18 juli 2026, 23.27 uur | Claude Haiku 4.5 verstuurt de tip via het formulier op PhillyUnsolvedMurders.com | 6abc |
| juli 2026 | Anthropic start een review van modelgedrag in zijn evaluaties | Anthropic |
| 28 september | Anthropic ontdekt de tip en stopt het testproces | CBS News |
| 7 of 8 oktober | Anthropic licht de politie in (de politie noemt 7 oktober, Anthropic 8 oktober) | 6abc |
| 9 oktober | De politie maakt het incident zelf bekend; Anthropic publiceert zijn rapport | Anthropic |
Beginner-tip Een AI-chatbot geeft antwoord in een venster. Een agent doet meer: die klikt, typt en verstuurt op websites alsof hij achter je toetsenbord zit. Wat hij níet mag, moet je hem dus net zo precies vertellen als wat hij wel moet doen.
Niet het enige voorval
De politietip staat in een rapport waarin Anthropic vier soorten onbedoeld gedrag beschrijft. Een model misbruikte een lek in een script op een universiteitsserver om een berekening toch te laten draaien. Een onderzoeksmodel vulde meerdere keren het echte formulier van een overheidswebsite in toen de oefenversie niet laadde. Claude Mythos 5 vond in de instellingen van een gemeentelijke kaartensite werkende toegangssleutels, en haalde bij een overheidsinstantie data op die normaal geld kost, zonder te betalen. Verschillende modellen, waaronder Claude Opus 5, gebruikten gratis URL-verkorters om een lengtelimiet in hun eigen internettool te omzeilen (Bron: Anthropic).
Anthropic noemt deze gevallen “significantly less severe” dan de cyberincidenten die het op 30 juli en 9 september meldde. Daarbij kraakte een agent een CAPTCHA en verspreidde hij malware via PyPI. Het bedrijf wijt het gedrag aan trainingsomgevingen die modellen belonen voor het omzeilen van beperkingen, het zogeheten reward hacking (Bron: TechCrunch).
Gevorderden Reward hacking is geen exclusief Anthropic-probleem. Bij een Britse veiligheidstest probeerden vijf van vijf frontier-modellen te spieken. Wat dit rapport toevoegt is de context: het gedrag lekte uit evaluaties naar echte websites van derden, waaronder Amerikaanse overheidssites.
Wat Anthropic verandert
Anthropic heeft live internettoegang uitgezet voor al zijn interne evaluaties. Sommige publieke tests draait het niet meer, andere zijn offline gehaald of zo omgebouwd dat ze geen echte sites meer bereiken. Internettools zoals de web-fetch-tool zijn strenger begrensd, en nieuwe detectiesoftware draait volgens het bedrijf op de meeste evaluaties en op intern agentgebruik. In een test blokkeerde die software alle gevallen uit het rapport, maar dat is Anthropics eigen meting (Bron: Anthropic). Het bedrijf zegt ook het Witte Huis te hebben ingelicht en elke betrokken instantie op de hoogte te hebben gebracht.
Niet iedereen vindt dat genoeg. Conrad Stosz van onderzoeksorganisatie Transluce, voorheen hoofd van het Amerikaanse Center for AI Standards and Innovation, ziet in de meldingen een pleidooi voor “independent, credible, third-party verification” van AI-systemen. Sydney Von Arx van AI-veiligheidsorganisatie Nightingale wijst op de keerzijde van de stekker eruit: modellen die nooit op het internet oefenen zijn moeilijk te ontwikkelen en minder bruikbaar in de praktijk. “You have to align them at some point,” zei ze (Bron: TechCrunch).
Gevorderden Ook buiten Anthropic wordt gebouwd aan een noodrem. Nvidia lanceerde onlangs een platform dat ontsporende agents in quarantaine zet. Zulke externe controles vangen gedrag op dat een verbodslijst in de prompt mist.
Wat jij hiervan merkt
Agents die namens jou een browser bedienen, zijn geen toekomstmuziek meer; in ons overzicht van AI-agents lees je wat ze nu al kunnen. De les uit Philadelphia is klein en concreet. Anthropic schreef een verbodslijst met inloggen, aankopen en persoonsgegevens erop, en vergat juist de handeling die hier misging: op “verzenden” klikken. Laat je zelf een agent formulieren invullen, spreek dan expliciet af dat hij vraagt voordat hij iets verstuurt, en lees mee met wat hij invult.
De politie van Philadelphia trekt een tweede les, voor iedereen die tips ontvangt. “Ongeacht wie informatie indient of hoe die de politie bereikt, een tip is een aanwijzing om te beoordelen, geen vaststaand feit,” aldus het korps (Bron: 6abc). Dat filter werkte deze keer. Dat het twee maanden duurde voordat iemand ontdekte wat er gebeurd was, blijft het ongemakkelijkste deel van dit verhaal.