Anthropic en OpenAI introduceren Claude Mythos en GPT-5.4-Cyber

Anthropic en OpenAI, twee pure AI-spelers, zetten grote stappen in geautomatiseerde kwetsbaarheidsdetectie. Met de introductie van Claude Mythos Preview en OpenAI’s GPT‑5.4‑Cyber komt de rol van AI in cybersecurity in een nieuwe fase terecht. Die fase kenmerkt zich door krachtigere modellen, verregaande automatisering en duidelijke gevolgen voor zowel verdedigers als aanvallers.

De recente release van Claude Opus 4.7 bleef grotendeels onder de radar door de aandacht voor Claude Mythos Preview. Toch laat deze lancering vooral zien dat Anthropic zijn inzet op agentic AI en kwetsbaarheidsdetectie verder opvoert. Volgens Vivien Mura, Chief Technology Officer van Orange Cyberdefense, maakt dit duidelijk hoe groot de impact van AI op cybersecurity kan zijn en waar tegelijkertijd nieuwe risico’s ontstaan.

Anthropic: ethiek en veiligheid als uitgangspunt

Anthropic is in 2021 opgericht door voormalige OpenAI-onderzoekers, waaronder Dario Amodei en zijn zus Daniela Amodei. Het bedrijf groeide in korte tijd uit tot een van de meest zichtbare spelers binnen generatieve AI.

Met de Claude‑familie van large language models onderscheidt Anthropic zich door een sterke focus op veiligheid en ethiek. Het principe van Constitutional AI staat centraal in de ontwikkeling van de modellen en zorgt ervoor dat beveiliging en verantwoord gebruik vanaf de basis worden meegenomen. Dat uitgangspunt vormt ook de basis voor Claude Mythos.

Claude Mythos Preview: een tweesnijdend zwaard?

De lancering van Claude Mythos Preview markeert een belangrijk kantelpunt in de samensmelting van artificial intelligence en cybersecurity. Dit niet‑publieke AI‑model is momenteel uitsluitend beschikbaar voor deelnemers aan Project Glasswing¹ en zou in staat zijn om kritieke softwarekwetsbaarheden te identificeren en te exploiteren.

Wat Claude Mythos bijzonder maakt, is het geavanceerde redeneervermogen. Het model is niet specifiek getraind op cybersecuritydata, maar kan toch de logica van informatiesystemen en software analyseren en doorgronden. In sommige gevallen lukt het zelfs om kwetsbaarheden daadwerkelijk te misbruiken. Volgens Vivien Mura kan Claude Mythos zelfstandig zogenoemde zero‑day kwetsbaarheden ontdekken in veelgebruikte omgevingen zoals OpenBSD en Firefox.

Het gaat hierbij om kwetsbaarheden die jarenlang onopgemerkt zijn gebleven, zelfs voor menselijke experts. Hoewel het model is ontwikkeld om digitale omgevingen beter te beveiligen, in lijn met de ethische visie van Anthropic, roept dit ook vragen op over mogelijk misbruik door cybercriminelen of hacktivisten.

Hoewel er op dit moment nog onvoldoende informatie is om de daadwerkelijke prestaties van het model volledig te beoordelen, wijzen de details uit de Mythos System Card² volgens Vivien Mura op verregaande en structurele gevolgen voor het cybersecuritylandschap.

Wat betekent Claude Mythos voor cybercriminelen?

De introductie van Claude Mythos luidt mogelijk een nieuwe fase in voor zero‑day kwetsbaarheden³ vanuit het perspectief van aanvallers. Het model kan in korte tijd meerdere kritieke kwetsbaarheden identificeren, wat wijst op een sterke daling van de kosten en inspanning die nodig zijn om dit soort fouten te vinden. Dat geldt zowel voor securityonderzoekers als voor hackers.

Daarnaast laat Claude Mythos Preview zien hoe ver de automatisering van aanvalsketens kan gaan. In gedocumenteerde tests wist het model volledig autonoom meerdere software‑ en configuratiekwetsbaarheden te combineren. In sommige gevallen slaagde het erin om uit sandbox‑omgevingen⁴ te ontsnappen en externe communicatie op te zetten. Dit niveau van tactisch redeneren was tot nu toe vooral voorbehouden aan menselijke pentesters.

Daarbij moet wel rekening worden gehouden met de omstandigheden. Het ging om informatiesystemen die specifiek waren ingericht voor onderzoeksdoeleinden en waarin klassieke detectie‑ en beschermingsmechanismen ontbraken.

Opvallend is ook dat Claude Mythos een generiek model is. Het is niet getraind op specifieke cybersecuritydatasets en maakt geen gebruik van een gespecialiseerde architectuur zoals retrieval‑augmented generation of agentic frameworks. Daarmee fungeert het model als een blauwdruk voor toekomstige offensieve cyber‑AI. Kwaadwillend gebruik vereist in principe niet meer dan toegang tot een zogenoemd Frontier model.

Een grote kans voor kwetsbaarheidsdetectie in cybersecurity

Tegelijkertijd biedt Claude Mythos Preview een aanzienlijke kans voor cybersecurity, met name op het gebied van kwetsbaarheidsdetectie en professionele ontwikkeling binnen het vakgebied.

Het digitale ecosysteem stelt steeds hogere eisen aan de integriteit van de software supply chain. Dit sluit direct aan bij het doel van de Cyber Resilience Act (CRA)⁵. AI kan hierbij een belangrijke rol spelen, zeker nu organisaties te maken krijgen met strengere compliance‑eisen en complexere softwareketens.

Hoewel de huidige modellen nog aanzienlijke rekenkracht vereisen, zal de kostprijs van offensieve cyberactiviteiten naar verwachting dalen. Dat zal onvermijdelijk gevolgen hebben voor activiteiten zoals pentesting en bug bounty‑programma’s⁶. Tegelijkertijd blijft menselijke expertise onmisbaar. Processen waarbij verhoogde toegangsrechten nodig zijn of waarbij het risico op ernstige fouten bestaat, zoals onbedoelde dataverwijdering, vereisen menselijk toezicht.

Automatisering met menselijk toezicht

De mate van automatisering die Claude Mythos laat zien, is niet alleen relevant voor aanvallers. Het model bevestigt vooral dat cyberdefensie zelf verder moet automatiseren, onder duidelijke menselijke regie.

Organisaties worden geconfronteerd met een constante stroom aan kwetsbaarheden, security‑updates en incidenten. Ook remediation, de laatste verdedigingslinie met grote impact op informatiesystemen, zal verder geautomatiseerd moeten worden. Daarbij is menselijk toezicht op de juiste momenten essentieel om fouten en ongewenste gevolgen te voorkomen.

GPT-5.4-Cyber en de volgende fase

Claude Mythos Preview staat niet op zichzelf. Sinds de publieke introductie van ChatGPT in 2022 verschijnen er vrijwel wekelijks nieuwe large language models die elkaar snel opvolgen.

Kort na de aankondiging van Claude Mythos volgde de reactie van OpenAI⁷. GPT‑5.4‑Cyber werd op beperkte schaal gelanceerd op 14 april en officieel aangekondigd op 15 april. Dit model is specifiek ontwikkeld voor defensieve cybersecurity en onderstreept hoe snel deze markt zich ontwikkelt.

Volgens Vivien Mura zullen in de komende maanden meerdere concurrerende modellen verschijnen, mogelijk ook in open source‑vorm, die vergelijkbare of zelfs grotere capaciteiten hebben dan Claude Mythos.

Wat kunnen organisaties nu verwachten?

De beperkte toegang tot deze modellen is bedoeld om defensieve toepassingen te versterken, maar creëert tegelijkertijd een tweedeling in het securitylandschap. Partners die Claude Mythos testen binnen Project Glasswing⁸ gebruiken het model om hun eigen ecosystemen te versterken. Dat zal naar verwachting leiden tot een aanzienlijke golf aan securitypatches.

Organisaties moeten zich voorbereiden op grootschalige updates van besturingssystemen, applicaties, securityproducten en diep geïntegreerde open‑source softwarecomponenten⁹. Voor organisaties met een volwassen patchmanagementproces is dit een forse maar beheersbare inspanning. Voor organisaties zonder dergelijke processen kan dit langdurige druk op IT‑ en securityteams zetten.

Op langere termijn zal de verhouding tussen prestaties en kosten van AI‑modellen verbeteren. Dat maakt het mogelijk om deze technologie structureel te integreren in softwareontwikkelprocessen zoals DevSecOps en CI/CD, en in geautomatiseerde audits van informatiesystemen.

De grootste dreiging voor de toekomst is dat beveiligingsmaatregelen die misbruik van krachtige AI‑modellen moeten voorkomen, worden omzeild. Dat kan leiden tot een ongekende opschaling van het dreigingslandschap, waarbij complexe aanvallen op industriële schaal worden uitgevoerd zonder dat daar diepgaande expertise voor nodig is.

AI en cybersecurity: samen vooruit

Geautomatiseerde cybersecurity staat nog maar aan het begin. De toekomst ligt in een nauwe samenwerking tussen mens en machine.

Via een partnership met Qevlar AI investeert Orange Cyberdefense in AI‑gedreven cybersecurity. Onze experts ondersteunen organisaties bij bewustwording en bij de implementatie van gecontroleerde, compliant en verantwoord ingezette AI‑platforms.

Wie grip wil houden op de toekomst van zijn organisatie in het tijdperk van artificial intelligence, kan hieronder de tweede editie van onze kwartaalreview verkennen.

Sources and notes