Claude aan de kant van de verdedigers: de Cyber Mission van Anthropic, van stroomnetten tot open code

De erkenning waarmee de officiële aankondiging van Anthropic opent, is onomwonden: AI-modellen met sterke cybercapaciteiten zijn inmiddels ruim beschikbaar voor aanvallers. Daarom presenteerde het bedrijf op 8 oktober 2026 zijn Cyber Mission, een langetermijnverplichting om diezelfde technologische middelen in handen te leggen van wie digitale systemen moet verdedigen. Het initiatief richt zich op twee concrete gebieden: de operationele technologie die water-, stroom- en vervoersnetten aanstuurt, en de opensourcesoftware waarop een groot deel van de webdiensten draait.

Voor de fysieke infrastructuur voorziet het Critical Infrastructure Defense Program (CIDP) in frontier-modellen van Claude en technische ondersteuning ter plaatse voor een eerste cohort technologieleveranciers. Tot de stichtende partners behoren elf bedrijven uit de sector, waaronder CrowdStrike, Deloitte en Palo Alto Networks; op de presentatiepagina van Anthropic benadrukte Sam Rubin, senior vice president van dat laatste bedrijf, dat aanvallers AI al gebruiken om kwetsbaarheden op machinesnelheid te vinden en uit te buiten. Wat de commerciële voorwaarden na de beginfase worden en wanneer het programma ook buiten het eerste cohort beschikbaar komt, maakt de documentatie van Anthropic voorlopig niet duidelijk; intussen kunnen andere bedrijven uit de sector hun interesse via een formulier kenbaar maken.

De tweede pijler is OSS Scanner, een gratis opt-indienst naar het voorbeeld van OSS-Fuzz van Google. Het systeem scant periodiek opensourcecode en stuurt maintainers rapporten die rechtstreeks door de modellen zijn opgesteld, met een proof of concept van de exploit, een uitleg en, waar mogelijk, een voorgestelde fix. Anthropic geeft aan dat deze rapporten zonder voorafgaande menselijke controle worden verstuurd en waarschuwt dat ze onnauwkeurigheden kunnen bevatten, zoals een verkeerd ingeschatte ernst, al verwacht het intern een percentage echte positieven van meer dan 90%. De dienst is bedoeld voor projecten die de resultaten aankunnen: wie ruwe rapporten niet kan beoordelen, blijft door mensen geverifieerde meldingen ontvangen via de bestaande procedure voor gecoördineerde openbaarmaking. Hoeveel werk dit op de deelnemende maintainers afschuift, moet nog blijken; het doet denken aan het recente debat over Google dat geautomatiseerde meldingen in zijn bugbounty stopzette.

Het financiële en operationele kader bestaat uit de uitbreiding van het Cyber Verification Program, dat door de integratie van Project Glasswing beveiligingsprofessionals makkelijkere toegang belooft tot de geavanceerde cybercapaciteiten van de modellen, en het Defender Advantage Fund. Dat fonds werd in augustus opgericht, onder meer om OSS Scanner gratis te houden; Anthropic heeft het bedrag niet bekendgemaakt, maar het steunt al de Python Software Foundation, de Apache Software Foundation en, via de Linux Foundation, Alpha-Omega en OpenSSF.

Als AI belooft het vinden van zwakke plekken te versnellen, dreigt het echte knelpunt het verificatiewerk te blijven. Wie bugrapporten automatiseert zonder voorafgaande controle, legt de last van de analyse bij de ontvanger. In vrije software, waar tijd het schaarste goed is, zal de werkelijke waarde van dit hulpmiddel afhangen van de vraag of die voorspelling standhoudt: een percentage echte positieven boven de 90% dat tot nu toe niemand onafhankelijk heeft gecontroleerd. — Olya