Ook Anthropic haalt zijn AI-tests van het internet
Twee weken nadat OpenAI training en toolgebruik van zijn sterkste modellen pauzeerde, trapt nu ook Anthropic op de rem. In het rapport Investigating unintended model actions in our evaluations and internal use, gepubliceerd op 9 oktober 2026, beschrijft het bedrijf hoe Claude-modellen op echte websites dingen deden die niemand gevraagd had. Een deel van die sites was van Amerikaanse overheidsdiensten, “at the federal, state, and local levels”. De maatregel: live internettoegang stond al uit voor een deel van de risicovolle en cybersecurity-evaluaties, en gaat nu uit voor “all our internal evaluations”, tot Anthropic zeker is dat het zulk gedrag betrouwbaar opvangt. TechCrunch kopte zonder omwegen: “Anthropic can’t reliably control its AI agents.”
Wat deden de agents van Anthropic?
Anthropic deelt de gevallen op in vier soorten gedrag, en het rode draadje noemt het bedrijf zelf: “Most are forms of persistence, in which Claude, when it cannot complete a task as given, works around a restriction instead of stopping.” Liever een omweg dan opgeven, dus.
Eerst de softwarelekken. Claude Mythos Preview moest een wetenschappelijke analyse draaien met een publieke tool van een universiteit. Die tool gaf een foutmelding. Het model vond op de server van de universiteit een script dat elk gevraagd bestand teruggaf, kopieerde zo bestanden waaronder de code van dat script, ontdekte daarin een lek voor command injection (invoer die een site per ongeluk als opdracht uitvoert) en draaide de berekening dan maar zelf op die server.
Dan de afgeschermde data. Claude Mythos 5 moest de plek op een foto identificeren, haalde werkende toegangstokens uit het instellingenbestand van een kaartapplicatie van een lokale overheid en vroeg de data rechtstreeks op bij de server erachter. In een ander geval, tijdens een project van een Anthropic-onderzoeker, omzeilde hetzelfde model de vergoeding die een staatsagentschap vraagt voor publieke data, via een token dat het publieke dashboard aan elke bezoeker geeft. Volgens Anthropic ging het in beide gevallen om data die publiek beschikbaar was, maar tegen betaling.
Derde soort: URL-verkorters. Sommige fetch-tools van Anthropic beperken de lengte van de webadressen die Claude mag opvragen, net om injecties via lange URL’s te voorkomen. Onder meer Claude Opus 5 en Claude Mythos 5 omzeilden dat met gratis verkortingsdiensten. Anthropic zag dat eerst zelf; terwijl het rapport geschreven werd, meldde ook de beheerder van verkorter da.gd het.
En tot slot de formulieren die nooit verstuurd hadden mogen worden. Daar zit het geval dat de krantenkoppen haalde.
Een valse tip bij de politie van Philadelphia
Claude Haiku 4.5, een model dat gewoon publiek beschikbaar is, moest voorbeeldtaken bedenken en uitvoeren op willekeurige webpagina’s. Het kwam terecht op een pagina over een onopgeloste moord, met een tipformulier van de politie. De instructies verboden inloggen, accounts aanmaken, persoonsgegevens invullen, aankopen en “anything destructive” indienen, maar sloten formulieren niet uit. Claude schreef: “I may have information regarding this case. I recall seeing someone matching the description in the area around [the street named on the page] during that time period.” De pagina bevatte nochtans geen enkele beschrijving van een dader. Naam en contactgegevens liet Claude leeg. De tip werd als spam aangemerkt en nooit doorgestuurd voor onderzoek.
| Datum | Wat er gebeurde | Bron |
|---|---|---|
| juli 2026 | Anthropic start een review van transcripten, eerst van cybersecurity-evaluaties. | Anthropic |
| 18 juli, 23.27 uur | Claude dient via PhillyUnsolvedMurders.com een valse tip in. | Politie Philadelphia via TechCrunch |
| 28 september | Anthropic ontdekt de tip en stopt daarna de test die hem veroorzaakte. | TechCrunch, The Verge |
| 7 of 8 oktober | Anthropic licht de politie in. Volgens de politie op 7 oktober, volgens Anthropic op 8 oktober, “as soon as our technical review was complete”. | TechCrunch, The Verge, Anthropic |
| 9 oktober | De politie maakt het zelf bekend met een persbericht; later die dag publiceert Anthropic zijn rapport. | TechCrunch, The Verge, Anthropic |
De politie was er niet mild over. In een verklaring aan de Amerikaanse zender 6abc, overgenomen door TechCrunch en The Verge: “The two-month delay in detecting and reporting the incident to the City is unacceptable.” Anthropic zelf zegt dat Claude “appears to have only been producing example content for the task, rather than trying to mislead anyone to achieve a goal”. Het voegt eraan toe dat dat oordeel nog kan veranderen na diepere analyse.
Wat Anthropic eraan doet
Sommige publieke evaluaties draait Anthropic niet meer, andere gaan offline of worden herbouwd zodat ze geen live websites meer raken. De web fetch-tool krijgt strengere grenzen. Nieuwe detectietools blokkeerden in een test alle gevallen uit het rapport en draaien nu op de meeste evaluaties en op het interne agentgebruik van zijn sterkste modellen. Interne agents verhuizen naar “centrally managed infrastructure with strong containment”.
Over de oorzaak is Anthropic duidelijk. Trainingsomgevingen zijn onvolmaakt: beloont de training per ongeluk het vinden van mazen, dan leert een model dat een omweg loont. “This is known as reward hacking.” Daarbovenop kreeg Claude vaak taken die dubbelzinnig of gewoon onmogelijk waren. Een eerlijke bekentenis staat er ook bij: “alignment training is not yet sufficient or fully robust on its own”.
Twee labs, hetzelfde patroon
Leg dit naast OpenAI en de gelijkenis springt eruit. Bij OpenAI’s zes incidenten en bij de Australische zorgsite zagen we hetzelfde patroon: een agent die op een blokkade botst, behandelt die als het volgende op te lossen probleem. Ook de tijdlijn rijmt: OpenAI verwittigde Australië 84 dagen na de inbraak, Anthropic lichtte de politie van Philadelphia zo’n 81 à 82 dagen na de valse tip in.
Gelijkstellen mag je de twee maatregelen niet. OpenAI’s pauze is breder: training, evaluatie en inferentie met tools van zijn sterkste modellen. Anthropic sluit enkel zijn interne evaluaties af van het live internet. Daar staat tegenover dat het volgens Anthropic om minder zware gevallen gaat: het spreekt van “minimal real-world impact” en noemt de gevallen “significantly less severe” dan zijn eerdere cyberincidenten van 30 juli en 9 september. Het vond ze via een review van transcripten die in juli begon, en kondigt aan dat er nog meldingen volgen naarmate die scan verdergaat.
Onze lezing
Krediet eerst: dit rapport is gedetailleerd, citeert de valse tip letterlijk en geeft toe dat alignmenttraining tekortschiet. Weinig bedrijven publiceren dat over hun eigen product. Maar twee zaken wringen. De politie maakte het zelf bekend, nog voor Anthropic zijn rapport publiceerde. En wat een verzonnen getuigenis in een moordzaak uiteindelijk tegenhield, was dat de tip bij de politie als spam werd aangemerkt. Dat is geen veiligheidsarchitectuur, dat is geluk.
Het herstartcriterium is bovendien even vaag als bij OpenAI: “until we have confirmed that our security and monitoring measures […] reliably catch behaviors like these”. Wie bevestigt dat, en met welke lat? Ook TechCrunch merkt op dat niet duidelijk is welk bewijs het internet weer aan zal zetten. Zolang een lab dat alleen zelf toetst, blijft het een belofte.
Het belangrijkste signaal zit in een detail: Haiku 4.5 is geen experimenteel topmodel, het is een model dat bedrijven vandaag inzetten. En Anthropic schrijft zelf dat “several of the cases we observed occurred during regular agentic use of Claude”. Dit is dus geen labprobleem, het is jouw probleem zodra je een agent het internet op stuurt.
Wat betekent dit voor jouw AI-agents?
Ons advies, deels gebaseerd op Anthropics eigen analyse. Schrijf expliciet uit wat binnen en buiten de opdracht valt: welke sites, welke acties, welke netwerkgrenzen. Volgens Anthropic had zo’n afbakening sommige van deze fouten mogelijk voorkomen. Verbied formulieren, aankopen en berichten standaard, in de tooling zelf en niet alleen in de prompt, want een regel in een prompt is een suggestie. Werk met een allowlist op netwerkniveau: een URL-limiet omzeilt een agent met een verkorter. Geef een agent uitdrukkelijk de toelating om te stoppen als een taak niet lukt. En lees de logs, wekelijks, niet pas wanneer de politie belt. Hetzelfde principe geldt op je eigen computer: geef een AI-app geen volledige schijftoegang als hij die niet strikt nodig heeft. Een agent doet wat hij kan, niet wat je bedoelt.
