Claude Mythos Enterprise legt meer dan 10.000 kritieke kwetsbaarheden bloot: Anthropic bundelt krachten met 13 techreuzen in AI-veiligheidsalliantie
Anthropic heeft weer iets groots gedaan, maar dit keer ging het om meer dan alleen de lancering van een nieuw model.
Op 7 april bracht het een reeks bedrijven bijeen waarvan je normaal nooit zou dromen dat ze schouder aan schouder staan — AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan, de Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks — om de oprichting aan te kondigen van Project Glasswing , een veiligheidsalliantie met precies één missie: de beveiliging van 's werelds meest kritieke software met AI oplossen.
Diezelfde dag maakte Anthropic nog een bombarie bekend: intern liet het Claude-modellen grootschalige veiligheidsscans uitvoeren op bedrijfscodebases, en dat leverde opmeer dan 10.000 kritieke kwetsbaarheden.
Die twee nieuwtjes samen deden de hele securitywereld ontploffen.
Hoe werden die meer dan 10.000 kritieke kwetsbaarheden gevonden?
Dat begint bij het AI-veiligheidsonderzoek van Anthropic.
Claude Mythos is het speciale veiligheidsmodel dat Anthropic intern al een tijdje slijpt. Anders dan de gewone Claude is het geoptimaliseerd voor code-reverse-engineering, het vinden van kwetsbaarheden en penetratietests, en spoort het in grote codebases automatisch kwetsbare plekken met een echte dreigingswaarde op.
Vóór de start van Project Glasswing liet het team van Anthropic Claude Mythos eerst een 'stresstest' uitvoeren op een reeks bedrijfscodebases — met kippenvel als resultaat:meer dan 10.000 kritieke kwetsbaarheden, variërend van authenticatie-omzeilingen en geheugencorruptie tot supply-chain-aanvallen.
Die kwetsbaarheden werden niet gevonden door klassieke scanners en ook niet met de hand door security engineers — het waren AI-modellen die ze automatisch opdiepten.
Ter vergelijking met de traditionele aanpak: een professioneel securityteam doet meestal enkele maanden over een volledige audit van een bedrijfscodebase, en de kosten lopen al snel in de honderdduizenden dollars. Claude Mythos comprimeert dat op een even grote codebase naar dagen of zelfs korter.
Dit is precies de sprong in orde van grootte die AI-onderzoekstools voor veiligheid maken.
Hoe sterk is Claude Mythos eigenlijk?
De New York Times schreef op 7 april een kop die alles zegt:“Anthropic Claims Its New A.I. Model Is a Cybersecurity Reckoning”— kortom: het model is zo krachtig dat Anthropic zelf vindt dat het niet geschikt is voor een publieke release.
De BBC volgde kort daarna met een eigen artikel, getiteld:“What is Anthropic’s Claude Mythos and what risks does it pose?”
Alles bij elkaar genomen concentreert de kernkracht van Claude Mythos zich op drie gebieden:
– Codebegrip en reverse engineering: het leest complexe structuren van bedrijfscodebases en legt er de beveiligingsfouten in bloot
– Beoordeling van de exploiteerbaarheid van kwetsbaarheden: het vindt niet alleen kwetsbaarheden, maar beoordeelt ook of ze in een echt aanvalsscenario daadwerkelijk te exploiteren zijn
– Grootschalige geautomatiseerde scans: in één keer over de hele codebase, zonder handmatige stapsgewijze controles
Wat betekent deze combinatie van vaardigheden?
Dat een securityteam vroeger drie maanden werk deed, kan AI nu in een paar dagen afronden. Bovendien wordt AI niet moe, slaat het niets over en deinst het niet terug voor complexe code.
Project Glasswing: wat is deze AI-veiligheidsalliantie voor iets?
AI-kracht alleen is niet genoeg: Anthropic haalde 13 techreuzen over de streep voor Project Glasswing.
Die namenlijst alleen al verdient een nadere blik:
– Cloudproviders: AWS, Microsoft Azure
– Securitybedrijven: CrowdStrike, Palo Alto Networks
– Chips/hardware: Broadcom, NVIDIA
– Ondernemingen: JPMorgan
– Open-sourceinfrastructuur: Linux Foundation
– Besturingssystemen: Apple
– Netwerkapparatuur: Cisco
– AI-bedrijven: Anthropic, Google
Die samenstelling zegt genoeg: dit is geen gezelschap voor theoretische studie, maar een bundeling die AI-veiligheid van chipniveau via besturingssysteem- en cloudniveau tot aan de applicatielaag end-to-end wil verankeren.
De kernplannen van Glasswing omvatten:
– een set AI-gedreven standaarden opzetten voor de beveiligingsbeoordeling van code
– veiligheidsaudits van kritieke open-source software stimuleren
– informatie over door AI gevonden kritieke kwetsbaarheden delen
– AI-beveiliging bieden voor kritieke infrastructuur wereldwijd
Rond gezegd: dit is een 'cybersecurity-alliantie' voor het AI-tijdperk, die AI inzet tegen de beveiligingsrisico's die AI zelf met zich meebrengt.
Het echte probleem achter die 10.000 kwetsbaarheden
Het vinden van 10.000 kwetsbaarheden is op zich geen nieuws — de securitywereld doet dat dagelijks.
Wat écht wakker schudt, is wat dit cijfer betekent.
Ten eerste: de orde van grootte ligt ver boven de verwachting.
Iedereen wist dat bedrijfscodebases kwetsbaarheden bevatten, maar wat zegt 'meer dan 10.000 kritiek'? Dat de veiligheidscontroles in het bestaande ontwikkelproces simpelweg ontoereikend zijn. Code geschreven, scanner gedraaid, goedgekeurd — en tóch gleed het nodige erdoorheen. De komst van AI legt dat probleem nog genanter bloot.
Ten tweede: wat vertelt de verdeling van de kwetsbaarheden ons.
Anthropic maakte niet bekend welke typen het meest voorkwamen, maar gezien de samenstelling van Glasswing is een redelijke inschatting: kwetsbaarheden in de supply chain (door de Linux Foundation), in authenticatie (door de cloud- en enterpriseleden) en in infrastructuur (door de chip- en OS-fabrikanten) zijn waarschijnlijk de zwaartepunten.
Ten derde: 'vinden' is niet hetzelfde als 'oplossen'.
Kwetsbaarheden blootleggen is slechts stap één. Wie gaat 10.000 kritieke fouten verhelpen, en hoe lang duurt dat? Veel historische kwetsbaarheden in bedrijfscodebases zitten er al vijf tot tien jaar in, en bij elke fix moet je oppassen dat bestaande functies blijven werken.
Het mes dat aan twee kanten snijdt: AI-veiligheidstools
Hier hoort één kanttekening: als Claude Mythos kwetsbaarheden kan opsporen, dan kunnen anderen vergelijkbare AI inzetten om dat ook te doen.
Anthropic heeft Claude Mythos bewust niet publiek uitgebracht, met het argument dat het 'te gevaarlijk' is. Dat sluit aan bij de aanpak uit het Claude Opus 4-tijdperk: eerst risico's beoordelen, daarna pas de mate van openstelling bepalen.
Maar de vraag is:
– zullen andere bedrijven vergelijkbare of zelfs sterkere modellen bouwen?
– wat als die modellen in handen vallen van aanvallers?
– kunnen bedrijven met AI hun eigen kwetsbaarheden dichten vóórdat de aanvallers ze vinden?
Glasswing is tot op zekere hoogte het antwoord op die vraag:in plaats van AI-veiligheidskracht te laten samenklonteren bij een handjevol bedrijven, is het beter de hele sector te verenigen rond een gedeelde verdedigingslinie. Aanvallers hebben AI; verdedigers moeten die ook hebben — en dan nog sneller, scherper en systematischer.
Wat betekent dit voor de gewone ontwikkelaar?
Ben je ontwikkelaar of security engineer, dan zit er een paar lagen in dit verhaal:
Op korte termijn: het kwetsbaarheden-deelmechanisme van Glasswing richt zich eerst op kritieke open-sourceprojecten en infrastructuur. Voor je eigen productlijnen moet je het voorlopig nog niet verwachten — maar houd hun toekomstige technische standaarden en kwetsbaarheidsbeoordelingsmethodes in de gaten.
Op middellijke termijn: veiligheidsmodellen zoals Claude Mythos komen geleidelijk in de enterprise security-toolkit terecht. Reken erop dat vergelijkbare AI-kracht opduikt in toekomstige IDE-plugins en CI/CD-scanprocessen. Kennis van deze richting vooraf kan geen kwaad.
Op lange termijn: de wapenwedloop tussen AI-veiligheidsonderzoek en AI-aanvalsonderzoek zal alleen maar escaleren. De AI van verdedigers wordt sterker, maar de AI van aanvallers evolueert mee. De oprichting van Glasswing toont dat de grote spelers dit inmiddels als een strategisch vraagstuk behandelen.
Waarom dit moment cruciaal is
In 2026 dringen AI-agents massaal door tot bedrijfsworkflows — van codegeneratie tot dataprocessing, van interne systemen tot klantcontact. Modellen als Claude en GPT zitten inmiddels diep verankerd in de kernprocessen van bedrijven.
Zodra AI gevoelige data verwerkt, kritieke code schrijft en aan productiesystemen hangt,worden de beveiligingszwaktes van AI zelf en de kwetsbaarheden die AI blootlegt twee kanten van dezelfde medaille.
Glasswing en die 10.000 kwetsbaarheden zijn een steen die Anthropic in de vijver gooit — de hele sector moet beseffen dat AI-veiligheid geen puur technische kwestie is, maar een ecosysteenvraagstuk.
Eén bedrijf lost dit niet op; dat kan alleen als de hele sector het samen oppakt.
Dat verklaart ook waarom Apple, Microsoft en Google — partijen die elkaar normaal liever mijden — nu aan dezelfde tafel zitten.
Tot slot
Die 10.000 kritieke kwetsbaarheden zijn geen cijfer om paniek te zaaien.
Het is Anthropic dat met AI een grootschalige 'keuring' uitvoerde en de resultaten aan de hele wereld voorlegde. Het rapport ligt op tafel; de vraag is wat jij ermee doet.
Wacht je op de standaarden van Glasswing, of start je nu met AI-tools een volledige scan van je eigen codebase?
Die keuze is aan jou.