Claude Mythos: Hoe Anthropic Cybersecurity Verandert

In het voorjaar van 2026 werd de cybersecuritywereld opgeschrikt door het nieuws over een nieuw, uiterst krachtig AI-model van Anthropic. Dit model, intern bekend als “Capybara” en officieel uitgebracht onder de naam Claude Mythos, bleek zo goed in het vinden van softwarefouten dat het werd bestempeld als te gevaarlijk voor het grote publiek. Maar wat is feit en wat is fictie? En wat betekent dit voor de beveiliging van jouw bedrijf?

Als we kijken naar de razendsnelle ontwikkelingen binnen de kunstmatige intelligentie, is er één domein waar de impact direct en snoeihard voelbaar is: cybersecurity en pentesting (ethisch hacken).

In dit artikel leggen we uit wat Claude Mythos precies is, welke ontdekkingen het al heeft gedaan en hoe de rol van de menselijke hacker fundamenteel verandert. We bieden bovendien concrete handvatten voor bedrijven om zich te wapenen tegen deze nieuwe generatie AI-gedreven cyberdreigingen.

1. Wat is Claude Mythos (Codenaam: Capybara)?

Anthropic, het bedrijf achter de populaire Claude-chatbots, werkte in het geheim aan een nieuwe “tier” (niveau) van AI-modellen. Tot begin 2026 was de “Opus”-reeks (zoals Claude Opus 4.6 en 4.7) het paradepaardje van het bedrijf. In maart 2026 lekte door een configuratiefout echter interne documentatie uit over een nog krachtiger model: Capybara.

Dit model, dat later de officiële release-naam Claude Mythos kreeg, overtreft alle voorgaande modellen op het gebied van logisch redeneren, programmeren en vooral cybersecurity. Het is een zogeheten Large Language Model (LLM), net als ChatGPT, maar het bezit een unieke eigenschap: het kan complexe, meerlaagse taken over een langere periode zelfstandig plannen en uitvoeren.

Opvallend genoeg was Mythos niet primair ontworpen als een “hack-robot”. De makers wilden simpelweg een AI bouwen die beter was in algemeen redeneren en programmeren. Die verbeterde intelligentie zorgde er als bijproduct voor dat Mythos extreem goed werd in het doorzien van complexe computercode en het spotten van zwakheden die mensen structureel over het hoofd zien.

2. Project Glasswing: De AI in Quarantaine

Toen Anthropic zich realiseerde hoe krachtig Claude Mythos was, stonden ze voor een dilemma. Bij reguliere AI-modellen lanceer je een product en laat je gebruikers ermee experimenteren. Maar als je een AI uitbrengt die zelfstandig kan inbreken in systemen, geef je cybercriminelen het ultieme wapen in handen.

Daarom koos het bedrijf in april 2026 voor een zeldzame stap: ze hielden de deuren gesloten. In plaats van een publieke release, lanceerde Anthropic Project Glasswing. Dit is een exclusief, defensief programma waarbij een selecte groep van zo’n 50 strategische partners (waaronder techgiganten en overheden zoals Google, Microsoft, Amazon, Cloudflare en het UK AI Security Institute) beperkte, gecontroleerde toegang kreeg tot een preview-versie van Claude Mythos.

Het doel van Project Glasswing? De AI uitsluitend gebruiken om kritieke wereldwijde software—zoals de code waarop het internet en het bankwezen draait—te scannen op fouten, zodat deze gerepareerd kunnen worden vóórdat kwaadwillenden ze vinden.

3. De Gevolgen: Wat heeft Claude Mythos al ontdekt?

Dat de zorgen van Anthropic terecht waren, bleek al in de eerste maand van Project Glasswing. Claude Mythos overtrof alle verwachtingen en vond in extreem korte tijd meer dan 10.000 kritieke en hoognodige kwetsbaarheden in wereldwijd veelgebruikte software. Enkele opzienbarende wapenfeiten op een rij:

• De 27-jaar oude OpenBSD bug: OpenBSD staat bekend als een van de best beveiligde besturingssystemen ter wereld, veelgebruikt in firewalls en kritieke infrastructuur. Claude Mythos vond een programmeerfout in de code die er al 27 jaar onopgemerkt zat, verborgen voor de beste menselijke experts ter wereld.

• Mozilla Firefox: De makers van de Firefox-browser gebruikten Mythos en vonden en repareerden 271 serieuze kwetsbaarheden in hun nieuwste versie (Firefox 150). Dit was ruim tien keer zoveel als ze in een eerdere versie vonden met oudere AI-modellen.

• Cloudflare: Dit bedrijf, dat een groot deel van het internetverkeer beveiligt, vond dankzij Mythos 2.000 bugs in hun systemen, waarvan 400 als “kritiek” of “hoog risico” werden bestempeld, en dat met een verbluffend laag percentage aan ‘vals alarm’ (false positives).

4. Hoe Claude Mythos de Wereld van Pentesting Verandert

Voorheen was pentesting (ethisch hacken) ambachtelijk handwerk. Een expert of een team van experts ploos systemen na, scande netwerken en probeerde creatief “in te breken” om zwaktes bloot te leggen. De komst van AI-modellen van de Mythos-klasse zet deze industrie volledig op zijn kop.

A. De Verdamping van de Vaardigheidsdrempel

Vroeger had een hacker diepe, jarenlange kennis nodig van obscure programmeertalen en netwerkprotocollen om een zogeheten zero-day (een onbekende fout) te vinden.

Met autonome AI-modellen verdwijnt deze drempel. In de toekomst kan een cyberaanvaller met relatief weinig technische kennis een AI in gewone mensentaal de opdracht geven om een doelwit aan te vallen. De AI redeneert vervolgens zelf uit hoe dat moet en schrijft ter plekke de benodigde inbreekcode.

B. Van Handmatig Speurwerk naar Extreme Schaalbaarheid

Een menselijke pentester heeft slaap nodig, neemt pauzes en kan zich maar op één detail tegelijk focussen. Claude Mythos kan miljoenen regels code van duizenden projecten tegelijkertijd analyseren, dag en nacht.

Hacken wordt hiermee een kwestie van brute, geautomatiseerde rekenkracht gekoppeld aan hoogwaardige intelligentie.

C. Dynamisch en Adaptief Aanvallen

Waar simpele veiligheidsscanners alleen kijken naar vooraf geprogrammeerde foutenlijstjes, “begrijpt” Mythos de logica van een systeem.

Als het tijdens een gesimuleerde aanval (zoals in een ‘cyber range’) op een digitale muur stuit, stopt het niet. Het model leert van de blokkade, past zijn tactiek aan en probeert autonoom een andere route.

5. Is de Menselijke Ethische Hacker Nu Overbodig?

Bij het lezen van deze ontwikkelingen zou je denken dat de rol van de menselijke cybersecurity-expert is uitgespeeld. Niets is minder waar. Er ontstaat juist een enorme behoefte aan experts, maar hun takenpakket is onherroepelijk veranderd.

In plaats van zélf urenlang naar code te staren om één foutje te vinden, wordt de pentester van de toekomst een “AI-operator” of “Triage Specialist”. Omdat AI zoals Mythos in razend tempo duizenden fouten signaleert, moeten menselijke teams bliksemsnel beoordelen: “Welke van deze 10.000 gevonden bugs moeten we als allereerste repareren? Welke vormen een direct bedrijfsrisico?”

De focus verschuift van het handmatig opsporen naar strategisch risicomanagement en het implementeren van oplossingen.

6. Praktisch Stappenplan: Hoe Moet Jouw Bedrijf Zich Voorbereiden?

Voor ondernemers en IT-managers kan dit behoorlijk intimiderend overkomen. Omdat softwarebouwers nu (dankzij Project Glasswing) massaal AI inzetten om hun eigen code te controleren, komt er op dit moment een ongekende vloedgolf aan software-updates aan.

Microsoft waarschuwde al dat de omvang van hun patches flink zal blijven stijgen. Hier is wat je vandaag moet doen:

• Versnel je Patch-Cyclus: Vroeger was het acceptabel om beveiligingsupdates een keer per maand te installeren. In het tijdperk van AI is dat levensgevaarlijk traag. Zorg voor systemen die kritieke updates automatisch en veilig kunnen implementeren binnen enkele dagen of uren.

• Breng je ‘Dependencies’ in Kaart (SBOM): Je kunt niet beveiligen wat je niet kent. Zorg dat je IT-afdeling een exact overzicht heeft van alle (open-source) codeblokjes die in jullie software zitten. Als een AI een lek vindt in een verborgen bouwsteen, moet je direct weten of jullie die gebruiken.

• Bestrijd AI met AI: Je kunt de schaal van een geautomatiseerde aanval onmogelijk pareren met handmatige bewaking. Omarm de nieuwste generatie beveiligingssoftware die zélf gebruik maakt van AI om netwerkverkeer real-time in de gaten te houden.

7. Veelgestelde Vragen

Wat is een “Zero-Day” kwetsbaarheid?

Een zero-day is een programmeerfout in software waar de maker van de software nog niet van afweet. Omdat de maker letterlijk “nul dagen” tijd heeft gehad om het te repareren (er is nog geen patch), zijn deze kwetsbaarheden extreem gevaarlijk en waardevol. AI blijkt uitzonderlijk goed in het opsporen van precies deze gaten.

Wanneer wordt Claude Mythos voor iedereen beschikbaar?

Voorlopig niet. Anthropic heeft aangegeven dat ze “Mythos-klasse” modellen pas openbaar zullen maken als er veiligheidssystemen bestaan die sterk genoeg zijn om grootschalig misbruik te voorkomen. Op dit moment heeft niemand (inclusief Anthropic zelf) zulke betrouwbare remmen uitgevonden.

Zijn bestaande AI-modellen zoals de gratis ChatGPT of Claude Sonnet ook al gevaarlijk?

Bestaande publieke modellen kunnen zeker helpen bij het schrijven van basiscode of het herkennen van simpele configuratiefouten. Ze zijn echter niet capabel of consistent genoeg om zelfstandig complexe systemen te kraken. De sprong van deze modellen naar de nieuwe ‘Mythos-tier’ is waar de échte paradigmaverschuiving plaatsvindt.

Conclusie

Claude Mythos is een absolute mijlpaal in de geschiedenis van het internet. Het levert het harde bewijs dat kunstmatige intelligentie de drempel heeft overschreden waarbij het menselijke experts structureel kan verslaan in het vinden en misbruiken van softwarefouten.

Dankzij het beleid rondom Project Glasswing krijgt de wereldwijde cybersecurity-infrastructuur momenteel een broodnodige voorsprong om het internet veiliger te maken. De boodschap voor het bedrijfsleven is echter kraakhelder: de tijd van afwachten en reactief beveiligen is definitief voorbij. Organisaties moeten hun digitale weerbaarheid en snelheid van updaten drastisch verhogen om te overleven in een toekomst waar AI-gedreven aanvallen de norm zijn.