120.000 tekens volledig opengelegd! System prompt van Claude Fable 5 gelekt: hoeveel laat de AI-veiligheid er nog van zien?

Hoe langer je naar de affaire rond Claude Fable 5 kijkt, hoe meer het lijkt op een publieke naaktparade van de AI-veiligheidssector.

Volgens meerdere Chinese beveiligingsmedia en aggregatieplatforms is de door Anthropic aan het publiek beschikbaar gestelde Mythos-klasse-modus Claude Fable 5 mogelijk door jailbreaker elder_plinius opengebroken met een multi-agent gecoördineerde aanval; de volledige interne system prompt zou zijn gebundeld en naar GitHub geüpload, met een omvang van ongeveer 120.000 tekens.

Erger nog: het zou niet om een gewone rollenspelconfiguratie gaan, maar om kernlogica zoals veiligheidsbeheersing, risicoclassificatie, weigeringsgrenzen, tool-aanroepen en beleidsroutering. Met andere woorden: als de berichten kloppen, is de handleiding van de beveiligingsconsole van een geavanceerd AI-model op straat geplakt.

Vooraf: dit artikel reproduceert, citeert of legt niet uit hoe je de gelekte prompt gebruikt. We bespreken alleen waarom dit ernstig is en wat het betekent voor AI-veiligheid.

Eerst de tijdlijn van de zaak op een rij

Claude Fable 5 is het nieuwe model dat Anthropic begin juni uitbracht en dat van buiten wordt gezien als de publieke veiligheidsversie van Mythos 5. In openbare berichten wordt Fable 5 beschreven als een nieuwe generatie Claude voor complex redeneren, langetermijntaken en professionele workflows.

Maar sinds de lancering is er voortdurend controverse.

De eerste golf: de veiligheidsdrempel stond te hoog. Er zijn berichten dat Fable 5 zelfs basale biologische vragen weigerde te beantwoorden uit veiligheidsoverwegingen. Het probleem was dus niet een gebrek aan capaciteit, maar een te strak aangehaald veiligheidsbeleid.

De tweede golf: Microsofts dubbele moraal. Aan de ene kant werd Fable 5 gekoppeld aan klantgerichte diensten, aan de andere kant werd intern gebruik door medewerkers beperkt, naar verluidt vanwege gegevensveiligheid en risico's op modeluitvoer.

De derde golf, en de meest explosieve: een aanvaller beweert via een multi-agent jailbreak ongeveer 120.000 tekens aan system prompt te hebben verkregen en naar GitHub geüpload.

Wat er momenteel op de officiële nieuwspagina van Anthropic te vinden is: de Amerikaanse overheid heeft een exportcontrolebevel uitgegeven waarmee alle toegang tot Fable 5 en Mythos 5 is opgeschort. Over dit promptlek heeft de fabrikant nog geen volledige bevestiging gegeven.

Waarom deze aanval zo eng is: geen enkelvoudige doorbraak, maar een roedelwolf-tactiek

Traditionele jailbreaks vertrouwen meestal op één toverspreuk: het model overhalen regels te negeren, een rol te spelen, taken op te splitsen of weigeringen te omzeilen.

Maar in de berichten over deze zaak valt steeds één term: de roedelwolf-tactiek.

Dat betekent dat de aanvaller niet met één prompt frontaal aanvalt, maar meerdere agents inzet die samenwerken:

• één agent verkent de grenzen van het model
• één agent genereert varianten van vragen
• één agent beoordeelt of het antwoord structuurinformatie prijsgeeft
• één agent plakt de brokjes uitvoer aan elkaar tot een compleet document
• één agent stelt de aanvalstrategie voortdurend bij

Zo groeit een promptspelletje uit tot een geautomatiseerd roodteamsysteem.

Een menselijke aanvaller is na honderd pogingen moe; een AI-aanvalssysteem kan honderdduizend pogingen doen en optimaliseert zich bij elke poging op basis van feedback. Hoe sterker een topmodel is, hoe gevaarlijker het wordt als aanvalscoördinator.

Dat is ook het punt waarop je hier echt alert op moet zijn: de hoofdrolspeler die AI-veiligheidssystemen kraakt, wordt steeds vaker AI zelf.

Hoe ernstig is het lekken van de system prompt eigenlijk

Velen vragen zich af: het is toch maar een prompt? Wat maakt het uit dat die lekt?

Dat is een misvatting over moderne grote-modelsystemen. De system prompt van tegenwoordig is allang geen enkele zin meer als 'je bent een behulpzame assistent'. Het is eerder een policy-handleiding tijdens runtime, die mogelijk bevat:

• modelidentiteit en interactiestijl
• identificatienormen voor inhoud met een hoog risico
• hiërarchie van veiligheidsclassificaties
• weigeringssjablonen voor verschillende risicoscenario's
• grenzen van tool-aanroepen
• beleid voor gevoelige domeinen als code, cybersecurity, biologie en chemie
• wanneer wordt overgeschakeld naar een veiliger antwoord
• wanneer wordt volledig geweigerd
• wanneer een uitleg op hoofdniveau is toegestaan

Zodra dit openbaar is, hoeft een aanvaller niet meer te gokken.

Vroeger was het aanvallen van een model als een slot openmaken in het donker: je kende de cilinder niet en kon alleen maar lukraak proberen. Na een lek van de system prompt heb je in feite de doorsnedetekening van de cilinder in handen. De aanvaller kan per regel een omzeiling ontwerpen en zoekt gericht naar de gaten in de grenzen.

Daarom is een promptlek geen 'aangelegenheid van het gezicht', maar een reëel beveiligingsincident.

Wat betekenen 120.000 tekens

120.000 tekens komt ongeveer overeen met een middellange roman, of met tientallen pagina's aan beveiligingsbeleidsdocumenten.

Als die omvang klopt, dan is de veiligheidsbeheersing van Fable 5 geen handjevol regels, maar een compleet complex beleidssysteem. Het is heel waarschijnlijk dat verschillende risicodomeinen zijn opgesplitst in fijne vertakkingen: cybersecurity, bioveiligheid, chemie, psychologische manipulatie, financieel fraude, privacylekken, auteursrechten, politieke gevoeligheid, bescherming van minderjarigen, medisch advies en meer.

Daar zitten twee tegenstrijdigheden in.

Ten eerste: Anthropic heeft zijn beveiligingsengineering inderdaad uiterst gedetailleerd opgezet. Zoveel grenzen zijn expliciet gedefinieerd; dat is ook de reden waarom Fable 5 na de lancering 'net iets té veilig' werd gevonden.

Ten tweede: hoe fijner de regels, hoe duidelijker het aanvalsoppervlak wordt zodra ze lekken. De aanvaller kan zien welke categorieën een weigering oproepen, welke formuleringen worden doorgelaten en waar de grijze zones zitten.

Hoe complexer het beveiligingsbeleid, hoe meer het lijkt op een enorm softwaresysteem. En net zoals software bugs heeft, heeft een promptsystemen ook logische zwakke plekken.

Dit is niet de eerste keer: AI-veiligheid betreedt het lekentijdperk

De afgelopen twee jaar nemen vergelijkbare incidenten in de AI-wereld steeds verder toe.

Er waren mensen die de broncode van Claude Code lekten, mensen die de system prompt van commerciële agents opdoken, mensen die via browserplug-ins aan verborgen prompts kwamen en mensen die met modellen die elkaar ondervroegen de systeemregels eruit trokken.

De oorzaak is simpel: de kernactiva van grote-modelproducten verschuiven steeds meer van traditionele code naar prompts, tool-orkestratie, beleidsroutering, geheugensystemen en beveiligingsregels.

Vroeger vreesden bedrijven voor het lekken van broncode.

Nu moeten AI-bedrijven ook bang zijn voor:

• het lekken van de system prompt
• het lekken van tool-schema's
• het lekken van safety policies
• het lekken van interne evaluatiesets
• het lekken van agent-workflows
• het lekken van geheugen en gebruikersvoorkeuren

Dit is misschien geen code in de klassieke zin, maar het bepaalt wel het gedrag van het product. Het is de broncode van het nieuwe tijdperk.

Wat betekent dit voor zakelijke gebruikers

Ben je gewoon een particuliere gebruiker, dan is dit hooguit een sappig verhaal.

Maar ben je verantwoordelijk voor bedrijfsbeveiliging, dan ligt de situatie anders.

Bedrijven koppelen grote modellen aan klantenservice, code-audits, data-analyse, kantoorautomatisering, interne kennisbanken, financiële processen en zelfs het security operations center. Het model is niet langer alleen een chatbot, maar een acterend subject met toolmachtigingen.

Zodra de system prompt en de toolgrenzen openbaar zijn, kan een aanvaller zijn invoer veel preciezer samenstellen zodat het model tools verkeerd gebruikt, informatie lekt, goedkeuringen omzeilt of verkeerde handelingen uitvoert.

Vooral agentscenario's zijn het gevaarlijkst. Want een agent antwoordt niet alleen; hij bewerkt bestanden, roept API's aan, stuurt berichten, bevraagt databases en voert commando's uit. Na het lekken van de system prompt kent de aanvaller zijn taakverdelings- en weigeringslogica en kan hij een aanvalsketen op maat van zijn zwaktes ontwerpen.

Bedrijven mogen de system prompt daarom niet langer zien als 'interne tekst'. Het hoort onderdeel te worden van het beheer van beveiligingsactiva.

Hoe kunnen bedrijven zich beschermen

Ten eerste: leg de veiligheid niet volledig op de system prompt.

Een prompt kan het model sturen, maar is geen enige verdedigingslinie. De echte beveiliging moet zakken naar toolmachtigingen, API-gateways, de datatoegangslaag, auditlogs en menselijke goedkeuring.

Ten tweede: minimaliseer toolmachtigingen.

Wat een agent mag lezen, schrijven, verwijderen en naar wie hij mag sturen, moet expliciet geautoriseerd zijn. Geef geen globale beheerdersrechten alleen omdat het model 'slim lijkt'.

Ten derde: gelaagdheid in de system prompt.

Schrijf niet alle beleid in één enorme prompt. Splits het op in een identiteitslaag, taaklaag, toollaag, veiligheidslaag en auditlaag, en laad ze dynamisch per scenario. Zo krijgt een aanvaller bij een lek in één laag niet het volledige controlevlak in handen.

Ten vierde: detectie aan de uitvoerkant.

Controleer niet alleen de invoer van gebruikers. Ook de modeluitvoer moet worden gescreend op gevoelige informatie, onbevoegd gedrag en gevaarlijke instructies.

Ten vijfde: automatiseer je rode team.

Als aanvallers de multi-agent roedelwolf-tactiek gebruiken, moet de verdediging ook met een multi-agent roodteam werken. Laat regelmatig een groep modellen een andere groep aanvallen, genereer automatisch testvoorbeelden en houd de verdedigingslinie continu bijgewerkt.

Waarom ik het verspreiden van het origineel afraden

Zeker zullen sommigen online zeggen: geef die GitHub-link, ik wil het zien.

Ik raad het af.

Ten eerste: het origineel bevat mogelijk details die direct kunnen dienen om beveiligingsbeleid te omzeilen. Het verspreiden ervan helpt meer mensen om de aanval te reproduceren.

Ten tweede: de echtheid is niet officieel bevestigd; herdistributie maakt het gemakkelijk dat onvolledige of verontreinigde inhoud als feit wordt behandeld.

Ten derde: voor onderzoekers is het eigenlijke onderzoeksobject het faalpunt van de beveiligingsarchitectuur, niet het kopiëren en plakken van iemand anders gelekte prompt.

Wat de beveiligingsgemeenschap zou moeten bespreken: waarom lekte het, hoe beperk je de schade, hoe bouw je nieuwe verdedigingslagen – niet de prompt als elektronisch snoepgoed bekijken.

De grootste les van deze zaak

Het promptlek bij Claude Fable 5 lijkt op het oppervlak een puntfaal van Anthropic, maar in werkelijkheid is het een probleem waar de hele AI-sector niet omheen kan.

We dragen steeds meer beslissingen, handelingen en veiligheidsgrenzen over aan grote modellen. Toch berusten veel cruciale controles in deze systemen nog steeds op het kwetsbare medium van natuurlijke-taalprompts.

Het voordeel van natuurlijke taal is flexibiliteit, en het nadeel is precies diezelfde flexibiliteit. Het heeft niet de strenge typering van code, niet de duidelijkheid van toegangscontrolelijsten en niet de harde isolatie van een sandbox.

De AI-veiligheid van de toekomst kan dus niet alleen leunen op 'nog langere system prompts schrijven'.

De werkelijk betrouwbare richting is:

• veiligheidstraining binnen het model
• een externe beleidsengine
• een sandbox voor toolmachtigingen
• verplichte auditlogs
• isolatie van vertrouwelijke informatie
• kruisverificatie tussen meerdere modellen
• geautomatiseerde roodteamtests

De system prompt mag het stuurwiel zijn, maar nooit de rem.

Tot slot

Het meest ironische van de affaire rond Fable 5: Anthropic is al jaren het boegbeeld van AI-veiligheid, en nu wordt net het sterkste veiligheidsmodel korte tijd na de lancering getroffen door een vermoedelijk lek van de system prompt.

Dat betekent niet dat Anthropic faalt. Integendeel: het laat zien dat AI-veiligheid zelf een moeilijkere fase is ingetreden.

Vroeger viel de mens de AI aan.

Nu organiseert AI AI om AI aan te vallen.

Als de aanval geautomatiseerd is, het beleid geautomatiseerd is en de evaluatie geautomatiseerd is, dan is het verdedigen van de stad met één systeemprompt van 120.000 tekens gedoemd tekort te schieten.

Het tijdperk van de lente- en herfstannalen van de AI-veiligheid is voorbij; de strijd der strijdende staten begint pas.