Anthropic vindt duizenden kwetsbaarheden met AI en deelt ze niet: te gevaarlijk

Anthropic heeft de toegang tot een nieuw AI-model beperkt nadat het systeem duizenden kwetsbaarheden in veelgebruikte software wist te identificeren. Het model, ontwikkeld voor algemene toepassingen, bleek in staat om ernstige zwakke plekken te vinden in grote besturingssystemen en webbrowsers. Van die kwetsbaarheden is 99 procent nog niet gepatcht.

AI vindt wat mensen jarenlang misten

Een opvallende uitkomst is dat veel van de gevonden kwetsbaarheden al jaren in systemen zitten. Sommige fouten bestaan zelfs al tientallen jaren zonder ontdekt te zijn. Zo vond het model een 27 jaar oude kwetsbaarheid in OpenBSD, een besturingssysteem dat juist bekendstaat om zijn veiligheid.

Daarnaast werden bugs ontdekt in onder meer FFmpeg, FreeBSD en de Linux-kernel. Ook veelgebruikte beveiligingstechnologieën als TLS, AES-GCM en SSH bleken kwetsbaar. Webapplicaties waren gevoelig voor bekende aanvalstechnieken zoals phishing, cross-site scripting en SQL-injectie.

Anthropic maakt bewust geen details openbaar vanwege het risico op misbruik. Dat het model deze kwetsbaarheden kon vinden, onderstreept volgens het bedrijf hoe snel AI zich ontwikkelt. Het waarschuwt dat het niet lang zal duren voordat dergelijke mogelijkheden breder beschikbaar worden.

Cyberaanvallen met AI stijgen 72 procent

De ontdekking komt op een moment dat het gebruik van AI bij cyberaanvallen explosief groeit. Volgens onderzoeksplatform AllAboutAI steeg het aantal cyberaanvallen met behulp van AI op jaarbasis met 72 procent. In 2025 kreeg 87 procent van de organisaties wereldwijd te maken met aanvallen waarbij AI werd ingezet.

Cybercriminelen gebruiken AI om kwetsbaarheden sneller te vinden en uit te buiten dan met traditionele methoden mogelijk is. Hetzelfde vermogen dat Anthropic nu inzet voor verdediging, kan in verkeerde handen een wapen worden.

Project Glasswing: 40 techreuzen bundelen krachten

Om de risico’s te beperken lanceerde Anthropic Project Glasswing, een samenwerking met meer dan 40 grote organisaties. Amazon Web Services, Apple, Cisco, Google, JPMorgan, Microsoft, Nvidia en de Linux Foundation doen mee.

Binnen het project wordt het AI-model Claude Mythos Preview gebruikt om kwetsbaarheden proactief op te sporen. De bevindingen worden gedeeld met partners, zodat problemen sneller worden opgelost voordat ze door kwaadwillenden worden misbruikt.

Verdedigers krijgen uiteindelijk de overhand

Anthropic verwacht dat AI de cyberdreiging op korte termijn vergroot, maar op langere termijn juist bijdraagt aan betere beveiliging. De redenering: als AI kwetsbaarheden sneller kan vinden dan mensen, kunnen ze ook sneller worden gedicht. Op termijn krijgen verdedigers daardoor een voorsprong op aanvallers.

De overgangsperiode is echter risicovol. Zolang 99 procent van de gevonden lekken niet is gepatcht, bestaat het gevaar dat dezelfde technieken door criminelen worden ingezet. De strijd tussen aanvallers en verdedigers in het AI-tijdperk is volop gaande en de inzet is hoger dan ooit.