Nieuwe AI-modellen kunnen cyberdreigingen versterken: Mythos toont kwetsbaarheden in software

De cybersecuritywereld staat op scherp na de aankondiging van Anthropic op 7 april 2026. Het bedrijf onthulde dat zijn meest geavanceerde AI-model, Claude Mythos Preview, onverwachte en indrukwekkende capaciteiten heeft getoond: het ontdekt en exploiteert softwarekwetsbaarheden in een tempo dat nooit eerder is waargenomen.

Deze ontwikkeling roept zorgen op bij overheden, het bedrijfsleven en het grote publiek over de impact van kunstmatige intelligentie op cyberbeveiliging. Sommigen zien het model als een potentiële wereldwijde bedreiging. Anthropic besloot daarom de publieke beschikbaarheid van Mythos uit te stellen. In plaats daarvan krijgt een selecte groep techgiganten toegang tot het model voor tests, onder de naam ‘Project Glasswing’.

Wat Mythos kan

Tijdens gecontroleerde evaluaties werd Mythos gevraagd om duizenden softwarecodebases te scannen op kwetsbaarheden. Zelfs met minimale beveiligingservaring slaagde het model erin om complexe, autonome aanvallen uit te voeren die experts weken of zelfs maanden kosten. Mythos ontdekte niet alleen 271 kwetsbaarheden in Mozilla Firefox, maar ontwikkelde ook exploits voor 181 daarvan.

Volgens rapporten van Anthropics eigen ‘red team’ en het Britse AI Security Institute vond Mythos duizenden zogeheten zero-day-kwetsbaarheden in belangrijke besturingssystemen, webbrowsers en applicaties. Deze nog onbekende en onopgeloste fouten kunnen direct worden misbruikt. De Amerikaanse National Security Agency (NSA) toonde zich onder de indruk van de snelheid en efficiëntie waarmee Mythos deze zwakke plekken opspoort.

Opvallende ontdekkingen

Mythos identificeerde onder meer een 27 jaar oude beveiligingsfout in OpenBSD, een besturingssysteem gericht op veiligheid, en een 16 jaar oude bug in FFmpeg, een tool voor video- en audioverwerking. Sommige van deze fouten stellen onbevoegde gebruikers in staat om controle over de desbetreffende systemen te krijgen. Opmerkelijk is dat zelfs relatief onervaren ingenieurs met Mythos binnen één nacht complete aanvallen konden uitvoeren – van het vinden tot het exploiteren van kwetsbaarheden – wat normaal weken duurt.

Het vermogen van Mythos om meerdere stappen in een aanval te koppelen, verraste zowel Anthropic als de organisaties die het model testten. Bij een evaluatie van het AI Security Institute slaagde Mythos erin om in drie van de tien pogingen een gesimuleerd bedrijfsnetwerk over te nemen. Dit is de eerste keer dat een AI-model deze taak succesvol volbracht.

Geen revolutionaire doorbraak, maar een spiegel

Als cybersecurityonderzoeker zie ik de capaciteiten van Mythos als indrukwekkend, maar niet als een fundamentele verandering. Het model is minder een nieuwe bedreiging dan een reflectie van hoe kwetsbaar moderne systemen al zijn en hoe mensen zich gedragen. Mythos onthult vooral wat er al lang bekend is: software is complex, en fouten zijn onvermijdelijk. De echte vraag is niet of AI dergelijke zwakke plekken kan vinden, maar hoe we onze systemen beter kunnen beschermen tegen zowel menselijke als machinale aanvallen.

‘Mythos is geen gamechanger, maar een wake-upcall. Het laat zien dat de grootste risico’s niet komen van de AI zelf, maar van de systemen die we al jaren gebruiken.’
– Cybersecurity-expert

De discussie over Mythos benadrukt de noodzaak van betere beveiligingsprotocollen en snellere patching van software. Het model toont aan dat AI niet alleen een hulpmiddel kan zijn voor verdediging, maar ook voor offensieve doeleinden. De vraag blijft: hoe gaan we hiermee om?