Anthropic breidt Project Glasswing fors uit

Anthropic zet Project Glasswing een flinke stap groter neer. Het bedrijf geeft ongeveer 150 nieuwe organisaties toegang tot Claude Mythos Preview, het beveiligingsmodel dat kwetsbaarheden in software opspoort en helpt dichten. De nieuwe deelnemers zitten in meer dan vijftien landen, schrijft Anthropic in de aankondiging op zijn eigen site. Daarmee groeit het programma van de oorspronkelijke groep van ongeveer vijftig partners naar bijna vier keer zoveel.

Wat Project Glasswing doet

Het idee achter Glasswing is dat verdedigers dezelfde slagkracht krijgen als aanvallers, of net iets meer. Partners gebruiken Claude Mythos om hun eigen code te laten doorlichten op zwakke plekken. De eerste groep, met onder meer Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, NVIDIA en de Linux Foundation, vond samen ruim tienduizend kwetsbaarheden met een hoge of kritieke ernstscore. Dat gaat om lekken in vrijwel elk groot besturingssysteem en elke grote browser.

Cloudflare liet weten dat het model in de eigen codebase zo’n 2.000 bugs aanwees, waarvan 400 hoog of kritiek. Ook Mozilla haalde er honderden problemen mee boven water. Dat het model juist bij dit soort partijen aanslaat, laat zien dat de aanpak niet blijft hangen bij theoretische testgevallen maar echte zerodays in draaiende systemen raakt.

Waarom het model niet vrij beschikbaar is

Een model dat zo goed kwetsbaarheden vindt, is ook gevaarlijk in verkeerde handen. Anthropic houdt Mythos daarom bewust achter slot en grendel. Volgens het bedrijf heeft nog geen enkele partij, Anthropic zelf incluis, waarborgen die sterk genoeg zijn om misbruik van zulke modellen volledig uit te sluiten. Vandaar de gecontroleerde uitrol via partnerorganisaties in plaats van een publieke release. Die voorzichtigheid past bij de bredere lijn van het bedrijf, dat eerder al Claude Fable 5 en Mythos 5 pas na afloop van exportcontroles weer wereldwijd aanzette en pleit voor strengere afspraken rond de veiligheid van krachtige modellen.

De timing is opvallend. AI-agents duiken inmiddels ook op aan de aanvallende kant: onlangs werd een geval beschreven waarbij een AI-agent onder de naam JadePuffer een volledige ransomware-aanval uitvoerde. Precies die dreiging maakt een defensief tegenwicht relevant.

Wat betekent dit

Voor de deelnemende bedrijven levert Glasswing directe winst op: honderden tot duizenden bugs die anders maanden onopgemerkt bleven. Voor de rest van de markt is de bredere vraag interessanter. Als AI kwetsbaarheden sneller vindt dan mensen ze kunnen dichten, verschuift het evenwicht tussen aanval en verdediging afhankelijk van wie de betere modellen heeft. Dat Anthropic toegang beperkt tot geselecteerde partners, en niet iedereen zomaar toelaat, is een keuze met gewicht. Het raakt aan het bredere debat over toezicht op zulke systemen, zoals de verplichte veiligheidsaudits die Illinois als eerste staat invoert. Voor gewone gebruikers blijft het effect indirect maar concreet: de software die zij dagelijks draaien, wordt stiller en sneller veiliger gemaakt.