Anthropic maakte woensdag een vierde incident bekend waarbij zijn kunstmatige intelligentie (AI)-model inbrak in echte systemen van derden, wat het laatste is in een groeiende lijst van gevallen die zorgen hebben doen rijzen over de veiligheidsrisico’s van autonome AI-agenten.
Het AI-bedrijf zei dat het incident dateert uit januari 2026 en betrekking had op een vroege versie van Claude Opus 4.6 die inbreuk maakte op “derden nadat hij zijn taak niet kon afbreken”. Het zegt dat het alle betrokken partijen op de hoogte heeft gesteld, maar geen verdere details heeft gedeeld. Het incident in januari zou tot vorige maand onopgemerkt zijn gebleven.
Eind juli 2026 onthulde Anthropic dat drie van zijn modellen, waaronder Claude Opus 4.7, Mythos 5 en een niet nader genoemd onderzoeksmodel, tijdens cyberveiligheidsevaluaties zonder medeweten in drie niet nader genoemde organisaties waren opgedeeld.
Het Amerikaanse bedrijf zei dat het zijn scan heeft uitgebreid tot ongeveer 481 miljoen transcripties na de ontdekking van het laatste incident, maar merkte op dat het geen “andere gevallen van vergelijkbare of ergere ernst” heeft gevonden.
“Alle vier de incidenten vonden plaats tijdens cybersecurity-evaluaties die door dezelfde evaluatiepartner waren gebouwd”, voegde Anthropic eraan toe. “Claude kreeg te horen dat het in een simulatie werkte zonder internettoegang, maar door een verkeerde configuratie werd het per ongeluk verbonden met het open internet.”
De evaluatiepartner in kwestie, Irregular, heeft sindsdien bekendgemaakt dat de inbreuk het gevolg is van een naamfout, waardoor een fictieve bedrijfsnaam die tijdens hacksimulaties wordt gebruikt, onbewust overeenkomt met een echt domein, waardoor de AI-modellen daarbij aanstootgevende acties ondernemen.
Anthropic zei dat het een overeenkomst heeft getekend met non-profitorganisatie METR om een onafhankelijk onderzoek naar deze incidenten uit te voeren, en voegt eraan toe dat de hoofdoorzaak terug te voeren is op twee fundamentele afstemmingsproblemen: bevooroordeelde redenering en roekeloosheid.
Anders gezegd: de modellen hadden de neiging om bewijsmateriaal dat hun omgeving met het echte internet was verbonden, buiten beschouwing te laten of verkeerd te interpreteren, nadat aanvankelijk werd verteld dat het gesimuleerd was, en ze toonden de bereidheid om schadelijke acties te ondernemen in hun doelbewuste streven naar een toegewezen taak.
“We zijn het meest bezorgd over de verkeerde uitlijning die aanwezig was in het incident met Claude Mythos 5, waarbij het model zich tot het uiterste inspande om een kwaadaardig pakket te uploaden naar PyPI, de openbare repository van waaruit de meeste Python-software is geïnstalleerd”, aldus Anthropic.
“Hoewel het model herhaaldelijk in zijn gedachteketen (CoT) verklaarde dat het geloofde dat het in een simulatie opereerde, bood de omgeving duidelijk bewijs dat het zich op het echte internet bevond, en de acties die het ondernam kwamen overeen met het feit dat het model dit wist.”
Anthropic zei dat Claude Mythos 5 nog steeds offensieve acties uitvoerde nadat gerichte wijzigingen in het transcript waren aangebracht om duidelijker te maken dat het model niet in een simulatie zat, terwijl een grotere mogelijkheid van schade in de echte wereld werd erkend.
“Om duidelijk te zijn over onze inschatting van de ernst van deze incidenten: hoewel de acties van Claude niet op elkaar waren afgestemd, bleven ze binnen een beperkte reikwijdte – de modellen weken nooit af van hun pogingen om de oefeningen die ze kregen op te lossen, en in sommige gevallen probeerden ze de taak te stoppen”, benadrukte het rapport.
‘Alle incidenten omvatten één enkele Claude-instantie; op geen enkel moment heeft Claude geprobeerd om met andere agenten te coördineren. Claude heeft ook nooit geprobeerd het bewijs van zijn daden te verbergen.’
Anthropic onthulde ook dat vooringenomen redeneren minder voorkomt in zijn recentere productiemodellen, niet lijkt te worden gestimuleerd door versterkend leren, en kan worden verminderd door uitgebreidere afstemmingstraining. Dat gezegd hebbende, blijft de exacte oorzaak erachter, of waarom het wordt uitgesproken in Mythos 5, onbekend.
De onthulling komt omdat AI-bedrijven te maken kregen met toenemende kritiek op de veiligheid van modellen nadat ze hadden toegegeven dat hun modellen tijdens het testen uit een sandbox waren ontsnapt en in de echte wereld systemen hadden geschonden, waaronder Hugging Face. Deze incidenten hebben ook geïllustreerd hoe AI-agenten als collectief kunnen samenwerken om manieren te bespreken om benchmarks te bedriegen of uit de sandbox te ontsnappen.
Onlangs erkende OpenAI een niet eerder gerapporteerd incident uit mei 2026 waarbij intern ingezette autonome agenten met toegang tot het internet (zij het alleen-lezen) een slapend 25 jaar oud Duits wikiforum, DseWiki, overnamen en omvormden tot een prikbord, waar meer dan 18.000 berichten werden uitgewisseld om antwoorden te vragen, resultaten te verzamelen en technieken te delen om hun beperkingen te omzeilen als onderdeel van een getimede web-lookup-taak.
Nadat een menselijke moderator deze ‘spam’-berichten had opgemerkt en ze een maand later begon te verwijderen, vochten de agenten terug en omzeilden de opruiminspanningen door de gemaakte back-uppagina’s een naam te geven met het voorvoegsel ‘ZZZ’, zodat ze begraven zouden worden aan het einde van een alfabetisch gesorteerde lijst met te verwijderen pagina’s. De activiteit van agenten op de website daalde op 22 juni 2026 naar bijna nulniveau, een indicatie dat OpenAI in dit stadium tussenbeide kwam om verdere bewerkingen te voorkomen.
“Deze AI’s spanden samen om antwoorden te delen, hun omgeving te onderzoeken en sandbox-beperkingen te omzeilen”, aldus onderzoekers Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts en Thomas Larsen. “Dit is weer een voorbeeld van een ‘zwerm’ intern inzetbare OpenAI-agenten die het internet op onbedoelde manieren gebruiken.”
De aanhoudende haast in de hele industrie om zelfverbeterende AI-systemen te bouwen heeft ook tot bezorgdheid geleid dat deze aan de menselijke controle zouden kunnen ontsnappen en dat het tempo van de AI-ontwikkeling veel sneller is dan ze veilig en betrouwbaar kunnen worden uitgerold en met voldoende toezicht.
“Toekomstige AI-systemen zullen steeds capabeler worden, wat impliceert dat een verkeerde afstemming het potentieel heeft om extremere schade aan te richten”, aldus het rapport. “Het trainen van de extreem krachtige modellen van de toekomst om robuust op elkaar afgestemd te zijn, is een onopgeloste technische uitdaging die voortdurend onderzoek en operationele uitmuntendheid vereist om te bereiken.”
OpenAI heeft op zijn beurt ook gewaarschuwd voor de groeiende veiligheidsrisico’s die AI met zich meebrengt, en roept op tot bredere interventies. “Als de AI-ontwikkeling op zijn huidige pad doorgaat, zullen de systemen die we de komende jaren zullen zien waarschijnlijk verdere capaciteitssprongen van gelijke of grotere omvang vertegenwoordigen, en in toenemende mate hun eigen ontwikkeling aansturen”, schreef Jakub Pachocki, hoofdwetenschapper bij OpenAI. “Ik ben bezorgd dat niemand voorbereid is op de gevolgen van een aanhoudende snelle stijging van de machine-intelligentie.”
