Gelekte toegang tot Anthropic Mythos model
De Amerikaanse AI-gigant Anthropic kampt met een serieus beveiligingslek bij een externe partner. Een groep gebruikers op Discord heeft gedurende twee weken toegang gehad tot de Claude Mythos Preview. Dit model is specifiek ontworpen voor cybersecurity en kan volgens het bedrijf extreem gevaarlijk zijn wanneer het in de verkeerde handen valt.
De groep kreeg toegang via een externe contractor van Anthropic. Door een combinatie van inloggegevens van deze medewerker en informatie uit een eerder datalek bij Mercor, wist de groep de exacte online locatie van het model te achterhalen. Bloomberg meldt dat de leden inmiddels live demonstraties hebben gegeven van hun toegang tot de interne systemen.
Risico’s van het Mythos model voor de markt
Het Mythos model is geen doorsnee chatbot voor het schrijven van teksten. Het is in staat om actief gaten in de beveiliging van alle grote besturingssystemen en webbrowsers te vinden en te misbruiken. Tot voor kort was de toegang strikt beperkt tot een select groepje techreuzen zoals Nvidia, Google en Microsoft onder het zogeheten Project Glasswing initiatief.
Anthropic stelt in een officiële verklaring dat er vooralsnog geen bewijs is dat de eigen bedrijfssystemen direct zijn aangetast. Het lek lijkt beperkt tot de omgeving van de externe leverancier waar de contractor werkzaam was. Desondanks is de schade voor de reputatie van het bedrijf aanzienlijk, zeker nu ook overheden de technologie overwegen voor defensieve doeleinden.
Gevolgen van menselijke fouten bij AI-beveiliging
Dit incident onderstreept dat de zwakste schakel in AI-veiligheid vaak de mens is. De Discord-groep gebruikte eenvoudige internettools om gaten in de afscherming van het Mythos model te vinden. Hoewel de groep beweert de tool niet voor kwaadaardige hacks te hebben gebruikt, is het potentieel tot wereldwijde ontregeling van software nu voor iedereen zichtbaar.
De ongeautoriseerde toegang begon rond 7 april, exact de dag dat Anthropic de testfase voor partners aankondigde. Het feit dat onbekenden wekenlang onopgemerkt gebruik konden maken van dergelijke krachtige software, zet de discussie over AI-regulering en supply chain risico’s weer op scherp.
Wat valt ons op?
De groep kreeg toegang via een externe contractor van Anthropic en wist door een combinatie van inloggegevens en internet-detectivewerk de locatie van het model te achterhalen.
Wat betekent dit voor jou?
Dit lek bewijst dat je digitale veiligheid zo sterk is als je zwakste leverancier. Ook voor kleinere bedrijven is het cruciaal om de toegang van derden tot bedrijfsgevoelige systemen te beperken.
- Inventariseer welke externe partijen toegang hebben tot je data en trek overbodige rechten direct in.
- Verplicht het gebruik van multi-factor authenticatie voor alle medewerkers en contractors.
- Stel een protocol op voor het geval dat een van je leveranciers te maken krijgt met een datalek.
