Anthropics Mythos heeft al 1600 bugs ontdekt en komt binnenkort toch beschikbaar

Anthropics Mythos-model heeft zo'n 1600 kwetsbaarheden in 281 coderepo's openbaar gemaakt sinds het in februari beschikbaar werd. Anthropic schrijft dat in een bijgewerkt dashboard waarop het bugs bijhoudt. Het lijkt erop dat Anthropic zich steeds meer richting een bredere beschikbaarheid van Mythos begeeft.

Anthropic heeft een publiek dashboard bijgewerkt waarin het bijhoudt welke kwetsbaarheden Claude Mythos heeft gevonden en gerepareerd. Het bedrijf zegt dat het inmiddels 1596 bugs heeft gevonden in 281 opensourceprojecten. Anthropic zegt dat het van 97 bugs weet dat ze gepatcht zijn. Het gaat om bugs die disclosed zijn, dus waarvan openbaar is wat de bug en de status ervan is. Volgens Anthropic gaat het over 'een deel' van het totale aantal kwetsbaarheden dat Mythos zou hebben gevonden, omdat menselijke reviewers de bugs ook nog bekijken. "Het aantal reviews is een beperkende factor", zegt het bedrijf.

Mythos bevindt zich nog in een previewfase. Mythos is een model binnen Claude dat vooral bedoeld is om securityonderzoek te doen. Het model is enigszins controversieel omdat het eenvoudig bugs kan opsporen in coderepository's, al ligt een belangrijk deel van de controverse in de marketinghype die Anthropic rondom Mythos creëert. Het bedrijf onthulde het model officieel in april, maar zei toen dat het dat voorlopig niet openbaar zou maken omdat het 'te gevaarlijk' zou zijn. Tweakers schreef er een achtergrondartikel over.

De claim dat een model 'te goed en te gevaarlijk' zou zijn, wordt wel vaker ingezet door AI-bedrijven. Die zeiden dat bijvoorbeeld ook al toen GPT-2 uitkwam.

Inmiddels maakt Anthropic zich er klaar voor het model wel uit te brengen, maar dan alleen voor betalende, zakelijke klanten. Die kunnen het dan gebruiken om hun eigen software te testen. Anthropic heeft Mozilla bijvoorbeeld al toegang gegeven. Dat gebeurt onder de naam Project Glasswing.

Anthropic schrijft in een blogpost dat het 'in de nabije toekomst' van plan is Mythos algemeen beschikbaar te maken. Daarvoor wil het bedrijf eerst 'veel sterkere vangnetten' opstellen, maar de stelling dat Mythos te gevaarlijk is voor een publieke release lijkt inmiddels vergeten te zijn.

Reacties (101)

[duck-face-swap]

Als zowel goedwilligen als kwaadwilligen deze tooling hebben lijkt het me niet dat er een grote verschuiving komt in security. Sterker nog, dit kan een tegenwicht bieden aan staatsgesteunde hackers die veel mankracht hebben. Als klein bedrijf of open source community kan je daar niet tegenop. In dat opzicht neutraliseert dit juist het speelveld.

[Keypunchie]

Behalve dat een bug vinden en patchen een stuk complexer is dan een bug vinden en exploiteren.

Vergelijk het met een gebouw dat je beveiligd. Een raampje intikken kan iedereen. Er beveiligd glas/tralies voorzetten is een specialisme.

[kiang]

Behalve dat een bug vinden en patchen een stuk complexer is dan een bug vinden en exploiteren.

Niet waar hoor. Voor veruit de meeste bugs is het vinden en reproduceren het moeilijkste. Patchen is soms slechts een enkele lijn code aanpassen, en vinden welke lijn code het is vertelt Mythos je dus net.

Natuurlijk zijn er sommige bugs die uiterst complex zijn om te patchen (ik denk maar aan spectr), of zelfs niet kunnen gefixt worden, maar heel vaak gaat het om een obscuur code pad te vinden waar een overflow net niet word afgevangen waardoor je arbitraire code kan uitvoeren. Zodra je weet waar het zit is oplossen een eitje.

[Reactie gewijzigd door kiang op 24 mei 2026 15:48]

[Jeffrey_KL]

Niet waar hoor. Voor veruit de meeste bugs is het vinden en reproduceren het moeilijkste.

Daar rept @Keypunchie toch ook geen woord over? Voor zowel het fixen als het uitbuiten van een bug moet je hem eerst vinden en reproduceerbaar maken. Bij het oplossen van de bug komt daarnaast bij kijken dat je daadwerkelijk de code fixed. Als ontwikkelaar trek je dus altijd aan het kortste eind.

[Skit3000]

Je kunt een bug fixen zonder 'm te kunnen reproduceren, maar zonder reproduceren kan je hem niet uitbuiten.

Daarnaast zijn veel bugs alleen in specifieke gevallen 'bruikbaar', als je bijvoorbeeld ook al toegang hebt tot een systeem via een andere ingang.

[Eluminate]

Als je niet kan reproduceren, hoe ga je dan garantie kunnen geven dat het gefixed is?

Je kan ook stellen in hoeverre een bug die niet te reproduceren boeiend is, tenslotte, niemand kan er last van hebben toch?

[Skit3000]

Als je er niks aan doet, weet je zeker dat de bug blijft bestaan. Misschien is de oplossing die je schrijft zonder het te kunnen reproduceren maar 90% effectief, maar dat maakt misbruik in ieder geval weer zo veel stappen moeilijker.

Als je zelf een bug niet kunt reproduceren, wil dat niet zeggen dat een aanvaller dat ook niet kan. Ik zou dus sowieso mijn best doen om een logische oplossing er voor te vinden.

[BHStar]

Je kan in code soms / regelmatig zien dat er iets niet juist staat / volledig juist is ingericht zonder dat het direct problemen oplevert. Dan is het alsnog goed om dat te fixen, omdat het zomaar kan zijn dat met een toekomstige feature zoiets wel voor problemen kan zorgen.

[Ulster Seedling]

Patchen is soms slechts een enkele lijn code aanpassen, en vinden welke lijn code het is vertelt Mythos je dus net.

Dat klinkt eenvoudig dan het is, in mijn ervaring. Afhankelijk van de aanpassing kan het nodig zijn om dieper te onderzoeken of door de aanpassing bepaalde scenario’s of edge cases beïnvloedt worden. (Wellicht dat AI bij die controle ook kan helpen, maar dit puur om aan te geven dat een aanpassing aan één regel niet per se gemakkelijk is.)

Bovendien moet je fix natuurlijk ook gereleased worden. Afhankelijk van hoe die processen zijn ingericht, zal het vaker/sneller uitbrengen van fixes naar aanleiding van deze ontwikkelingen ook extra moeite kosten.

[Reactie gewijzigd door Ulster Seedling op 24 mei 2026 22:39]

[Mathijs Kok]

Behalve dat een bug vinden en patchen een stuk complexer is dan een bug vinden en exploiteren.

Maar laten AI tools daar nu ook steeds beter in worden. De doorloop tussen een bug report en een gefixte release versie is bij ons van weken naar dagen gegaan. De coders krijgen elke morgen een nieuw overzicht van wat er die nacht is gevonden en besteden veel meer tijd aan nieuwe code. Ik heb mijn creditcard klaar voor Mythos!

[fenrirs]

Ik denk dat voor kleinere partijen of oss het gebruik van Mythos via tools als snyk zal haan lopen.

[humbug]

Het probleem is dat het voor hackers met dit soort tools mogelijk wordt om in een paar minuten tientallen zo niet honderden targets aan te vallen. Nadat Mythos de bug kent, is de hacker dus in minuten binnen. Dan is het leuk dat de fix er in dagen is, maar dat is dus alsnog dagen te laat.

[DdeM]

Ligt wel heel erg aan het soort bug en waar die zich bevind, dat is nu juist wat ik hier ook een beetje mis. Er zijn zo veel bugs die gewoon bekend zijn maar pas exploiteerbaar zijn nadat je door 6 ander lagen heen bent gekomen dat het gewoon de moeite niet waard is dit te fixen, zelfs als de fix relatief simpel is. Vraag me dus ook af van al die gevonden bugs welke er nu echt nieuw zijn en niet al lang eerder gevonden, geaudit en vergeten zijn.

[CapnCrinkle]

Wat dat betreft vind ik AI dus ook juist heel fijn. Die kan ik veel low-priority zaken laten fixen waar ik zelf minder snel aan toe kom wegens de lagere prio.
Het is precies wat jij zegt: veel security issues die gevonden worden door bv AI, kijken vaak naar enkel de code in een bepaalde file. In de meeste grotere projecten zitten hier hele systemen achter met permissions, walled gardens, whitelists, sandboxes, en met regelmaat externe systemen die iets afhandelen...

"Je loopt het risico dat, als een slechte acteur de keyfiles weet te bemachtigen, weet in te loggen als user met root-access, jouw code kent, en een aanval weet te timen met een willekeurige gebruiker die een file upload, hij kan veroorzaken dat de fileupload een foutmelding genereert" --- oh noooooo!

haha.

[CapnCrinkle]

Ik weet niet of ik het helemaal eens ben met die vergelijking eerlijk gezegd.

"een raampje intikken kan iedereen" klinkt alsof de meeste security bugs direct bruikbaar zijn zodra je ze vindt, maar zo werkt het meestal niet.

Bij veel vulnerabilities moet je eerst al door meerdere lagen heen voordat die bug überhaupt relevant wordt. In de praktijk is het vaak meer:

1. Toegang krijgen tot een afgeschermd systeem

2. Al genoeg rechten hebben om überhaupt bij het kwetsbare onderdeel te komen

3. De juiste omstandigheden treffen

4. De bug correct exploiten zonder detection of crashes

5. Dan nog hopen dat je daarna daadwerkelijk iets bruikbaars bereikt

En zelfs dan zit je vaak nog vast achter andere permissies, segmentatie of interne beveiliging.

Natuurlijk bestaan er ook gigantische blunders waarbij één fout meteen kritiek is, maar veel security issues zijn vooral gevaarlijk in combinatie met andere fouten of bestaande toegang.

Ik heb laatst bijvoorbeeld nog een zero-day gepatcht op mijn servers die in theorie serieus was, maar in de praktijk moest iemand al toegang tot die servers hebben voordat die bug überhaupt exploitable werd.

Dus dat voorbeeld van “even een ruitje intikken” vind ik eerlijk gezegd wat te simpel... Er zitten gewoon 30 lagen tussen voor je daadwerkelijk bij dat "ruitje" wat jij benoemt terecht komt.

[supersnathan94]

Behalve dat een bug vinden en patchen een stuk complexer is dan een bug vinden en exploiteren.

“Hallo Opus 4.7? Ja je neef mythos heeft net dit issue gevonden in codebase Y. Hoe kunnen we dit mitigeren?”

“ik ga even de code lezen voor ik met een analyse kom”

“Oh ja ik zie het al. Mythos geeft aan dat line 2748 van oops.cpp een <insert oorzaak> kan geven en dat dit <insert probleem> kan opleveren”

“ik heb een patch geschreven deze staat klaar als <insert PR>”

ik denk oprecht dat het minder tijd kost dan dat ik hier nu aan het typen ben.

[Keypunchie]

Dat soort bugfixes heb ik ook wel eens meegemaakt.

"de bug is dat hier een insecure connectie wordt gemaakt"
"zo de connectie is nu verplicht secure"
*alles stort in*

Uiteraard zitten er vast een hoop fixes in waar het gewoon een gecorrigeerde typfout is. Gefixt en klaar. Maar zeker Opus maakt ook nog wel eens fouten, met name in het inschatten van de twee-orde effecten.

Of waar het een architectureel probleem is. Om het op te lossen moet je dan een groot deel van de code gaan herschrijven.

[Reactie gewijzigd door Keypunchie op 24 mei 2026 22:33]

[CapnCrinkle]

Daarom gebruik ik sinds 5.3 eigenlijk altijd Codex.
Context-awareness ligt zó enorm veel hoger, dat is niet normaal.

Denk wel dat je wat programmeerfoutjes hebt gemaakt als shit opeens omvalt wanneer je de secure connection verplicht. Dit had ik vroeger nog wel met regelmaat met oude systemen die gemaakt waren voordat de nadruk op secured connections zo zwaar begon te wegen.
Niet dat ik jou beschuldig van slechte code, maar ieder nieuw project wat ik heb gemaakt sinds... lang geleden, is gewoon vanaf moment 1 een secured connection en anders niet, zeg maar. Oude systemen blijven natuurlijk lastig.

[fenrirs]

En dan heb je ineens een remote sensor die ergens hoog in de bergen op een zonnepaneel staat te knorren en alleen een secure connectie ondersteunt na een reboot.
Je hebt dan de keus, nemen we het risico dat we een dag mogen klimmen naar de sensor als de reboot misgaat (niet geheel ondenkbaar al een paar keer mee gemaakt), of laten we het maar even voor wat het is, maar krijgen we wel data binnen

[supersnathan94]

Tsja als je te karig bent om ook te reviewen en daadwerkelijk software ontwikkeling te doen met QA en andere checks and balances dan is dat aan jou.

Het kunnen fixen van een bug met AI ontslaat je niet van domein kennis en systeem kennis. Je hebt toch gewoon nog je tooling en andere processen om dat soort foute zaken te voorkomen? Zoals een unit en integratie test?

opus maakt zeker fouten. Best wel veel typefouten. Hij had bij mij laatst een .claire folder aangemaakt ipv .claude.

Dom en raar. Codex 5.3 vind ik nu vaak betere oplossingen voorstellen, maar het was maar een voorbeeld. Pak een willekeurig model om dit aan te vliegen en doe het twee of drie keer. Laat gemini pro er nog eens advocaat van de duivel op spelen en kijk wat daar uit komt.

Bugs vinden en patchen is gewoon zoveel simpeler geworden. Exploiteren is oprecht lastiger hoor.

[Keypunchie]

Tsja als je te karig bent om ook te reviewen en daadwerkelijk software ontwikkeling te doen met QA en andere checks and balances dan is dat aan jou.

Hoho. Let op, mijn opmerking is als reactie op de benadering "een bug is toch net zo snel gefixt als gevonden". Dat is precies mijn argument: QA, checks & balances kosten allemaal tijd. Als ze goed werken, leveren ze zelfs 'rework' op.

En dan nog.

Zelfs een one-liner fix staat doorgaans niet binnen een uur live en al helemaal niet als het om software deployment bij third parties gaat.

Een bug is niet zo snel gefixt, als gevonden en de fix is al helemaal niet zo snel wijdverbreid uitgerold.

Als het risico "medium" is, dan gaat de urgentie helemaal omlaag, in de praktijk. Omdat Mythos in staat is om meerdere mediums met elkaar te combineren, zijn dit reeele risico's.

Krijgen we Cyber-Apocalypse? Ik denk het niet. Leven we de komende 6-12 maanden in nogal roerige tijden qua informatiebeveiliging en kunnen we meer hacks, leaks en downtime verwachten door AI? Absoluut.

[supersnathan94]

Let op, mijn opmerking is als reactie op de benadering "een bug is toch net zo snel gefixt als gevonden". Dat is precies mijn argument:

Dat is niet wat je zei.

Behalve dat een bug vinden en patchen een stuk complexer is dan een bug vinden en exploiteren.

Exploitatie van een bug kost ook tijd.

laten we ff eerlijk zijn. Als het een serieuze bug is (dit gaat om daadwerkelijke kwetsbaarheden om data extractie te doen) dan hebben we het in prio gewoon over dagen. Niet weken.

Dat is precies mijn argument: QA, checks & balances kosten allemaal tijd. Als ze goed werken, leveren ze zelfs 'rework' op.

Mja ben ik het niet mee eens. Misschien hele complexe, groots opgezette legacy, maar leuke nieuwbouw en recente devops projecten hebben een doorlooptijd van uren. Sommigen minuten.

Het kan (en moet) ook echt beter.

Zelfs een one-liner fix staat doorgaans niet binnen een uur live

Kun je echt niet meer mee wegkomen de komende jaren.

[Keypunchie]

Jij werkt met betere collegas en klanten dan ik.

[jaenster]

het raam vinden kan echter niet iedereen

[HijDieAllesWeet]

Het maar een vergelijking natuurlijk. Maar modern dubbel of triple glas is echt goed stevig. Ik heb er mee gewerkt een tijd en je kan er makkelijk een steen tegen aan gooien of met een hamer op slaan.

[DefaultError]

Ik zie de metafoor eerder in een ‘escape room’.

Je moet aardig op zoek gaan en weten wat er aan exploit mogelijkheden zijn. Hopelijk is de eerste, tweede en derde patch ronde in volle gang voordat het een gatenkaas wordt.

[Stijnvi]

Maar als je weet dat de code onveilig is en je deze niet snel kan patchen kan je systemen tenminste nog offline halen voordat de bug geexploiteerd wordt.

[kabelmannetje]

Huh? Als een bug gevonden is, dan kan deze uiteraard ook eenvoudig gepatched worden. Vaak zijn het immers de bekende overflow-bugs.

[docdigit]

Neen hoor, dat kan ook iedereen.

[bzuidgeest]

Dat betwijfel ik. De AI kan de bugs zoeken in de code van de applicatie. Dat moet de hacker eerste reverse engineeren. Ofwel om bij jou analogie te blijven. De AI kan het slot testen met de specificaties bij de hand. De dief moet eerst een tijdje in het rond voelen en aanvoelen.

[SSH]

Waarom is een bug oplossen lastig? Vroeger had je daar misschien veel development uren voor nodig, maar tegenwoordig vraag je toch aan een andere tool van dezelfde fabrikant om het op te lossen?

[Keypunchie]

Dat heet "vibe coding". En dat werkt tot op zekere hoogte.

Het probleem is dat een AI tool doorgaans de meest recht-toe-recht-aan oplossing zoekt. En zeker met de wat moeilijkere bugs, kan dat prima ongewenste 2e-orde effecten hebben.

Wat voor een stuk van de code een bug is, kan best voor een ander stuk een feature zijn.

Ook kan een fix best een impact op je performance hebben. Stel de bug is "hier op plek Y wordt niet goed credential gevalideerd, dus als er ontrechte toegang op plek X is, dan kan je nu ook bij Y".

Simpele oplossing: ook gewoon by Y gaan valideren, toch? Maar wat als domweg die validatie het proces 10x vertraagd? Dan moet je toch wel een stuk code heel wat meer gaan opschonen.

Het zijn maar voorbeelden he, er zijn gaten in te schieten, want ik ben ook geen die-hard programmeur. Maar de stelling "bug fixen" is makkelijk is alleen al teniet te doen, door het simpele gegeven dat er zoveel zijn en meestal heel lang rondhangen op het backlog, tenzij "CRITICAL". Of je moet @supersnathan94 inhuren. Die heeft ze zo voor je gefixt :-)

[Opperpanter2]

Het probleem is meer dat de meeste organisaties nu al niet alles kunnen patchen wat ze zouden willen patchen. Als er steeds meer en vaker/sneller patches komen, wordt het nog moeilijker om bij te blijven qua patches.

[GertMenkel]

Het zal enorm aan de prijs liggen van Mythos zelf. Ik vermoed dat Anthropic hier flink aan gaat willen verdienen. Mogelijk zelfs zoveel dat je daadwerkelijk voor tokens zal moeten betalen naar gebruik ("API pricing").

Maar, qua staatshackers versus het kleine bedrijf? Veel hacks gebeuren juist doordat bestaande kwetsbaarheden niet worden gepatcht. Een maand achterlopen met updates voor WordPress plugins zal vaker voorkomen dan de Chinese staat die een 0day op je website afvuurt.

Als LLM's het speelveld gelijk trekken, denk ik dat dat eerder zal gebeuren door ICT-beheerders werk uit handen te doen nemen, al is dat natuurlijk een enorm risico met een algoritme dat de waarheid niet van fantasie kan onderscheiden.

[duck-face-swap]

Ja, als Anthropic zich uit de markt prijst helpt het alsnog niet. Maar ik denk dat ze er meer baat bij hebben om een prijspunt te vinden waarbij het logisch wordt om aan elke build pipeline een zero-day detectie toe te voegen dan dat ze het met een hoge prijs heel exclusief houden. Ze willen immers de wereld veroveren.

Slecht update beleid gaan we er niet mee oplossen inderdaad. Maar dan is detecteren met een geautomatiseerde pen-test nog steeds beter dan niks doen. Niet dat ik blij ben dat AI bedrijven zoveel macht krijgen hoor

[Mathijs Kok]

Het zal enorm aan de prijs liggen van Mythos zelf. Ik vermoed dat Anthropic hier flink aan gaat willen verdienen.

Anthropics is inderdaad niet goedkoop maar alle waar is naar zijn prijs. Ze zijn naar een omzet van bijna $11.000.000,000 gegaan en maken deze zomer winst. Gaat een gigantische firma worden, de geschatte waarde is nu al gelijk aan die van OpenAI.

[PeterPluijms]

Omdat ze twee maanden 1.25 miljard korting hebben gekregen op de huur van de datacenters van Xai. Leuke PR voor de IPO, maar meer is het op dit moment niet, ze draaien structureel verlies.

[DrVic]

die laatste komma moet een punt zijn

[supersnathan94]

Zolang ik per maand ongeveer $4800 kan verstoken met een abbo van €100/maand

Weet ik dat nog net zo niet hoor. Kheb nu de smaak wat meer te pakken en ga mogelijk vanaf volgende maand naar t €200 pakket omdat ik nu weer te vaak tegen limieten aanloop.

X5 naar x20 betekent dan iig dat ze voor mijn verbruik iig zwaar verlies draaien. Ik heb nu twee welen achter elkaar 100% van weeklimiet gehaald binnen de week en loop dagelijks meermaals tegen sessielimiet aan.

ze doen het erg netjes, maar ik betwijfel of die winst ook echt winst winst is, of winst op papier (door bedongen kortingen op afname).

[Llopigat]

Mogelijk zelfs zoveel dat je daadwerkelijk voor tokens zal moeten betalen naar gebruik ("API pricing").

Oh dat is wel zeker eigenlijk. Sowieso willen ze af van het all you can eat model. Daarom mag je ook steeds minder eaten Steeds meer beperkingen op max en pro abo's. Dat zijn meer lokkertjes geweest om mensen enthousiast te krijgen.

[internjet]

Inderdaad. Dit is een aspect dat ik weinig belicht zie. Er zullen veel hele dure zero-days (her)ontdekt worden door AI. Daar gaan groepen en staten geld verliezen.

Het is de vraag hoe duur het uiteindelijk wordt om de beste modellen te draaien. Wordt het te duur, dan zal er weinig veranderen aan het huidige security landschap en de verdeling van de middelen. Maar het heeft natuurlijk de potentie om als kleine speler straks toch mee te doen met de grote jongens...

[fuzzyIon]

juist niet, een aanvaller heeft maar 1 poc nodig tewijl de software maker alles moet patchen.

[kuurtjes]

Niet vergeten dat een aanvaller maar 1 keer sneller hoeft te zijn terwijl wij elke keer sneller moeten zijn.

[M3m3nt0m0r1]

ik denk dat het een illusie is om te denken dat staatsbacked hackers geen toegang gaan krijgen.

Als blue teamer verwacht ik een zeer vervelend speelveld te krijgen toebedeeld de komende tijd. Niet zozeer vanwege Mythos, maar ook vanwege de komende beweging naar aanleiding van de MOAK onthulling.

[duck-face-swap]

Ik bedoel dat als kwaadwilligen deze tools gebruiken, dat de countermeasure is om het als goedwillige al eerder gebruikt te hebben, tijdens de build pipeline voor het vinden van zero-days, of als pen-test bij deployment. Een countermeasure voor heel veel hacker mankracht heb je als kleine ontwikkelaar niet, hierbij wel. Anthropic verkoopt dus eigenlijk het vergif en het medicijn.

Het is marketing met angst als drijfveer. Je weet als ontwikkelaar al dat als jij de test niet doet, dat iemand anders hem voor je gaat doen. Gegeven dat deze tools wijd beschikbaar worden en daadwerkelijk gevaarlijke kwetsbaarheden vinden.

Dat is opzich ook nog maar de vraag. Anthropic en MOAK marketen trots hoeveel kwetsbaarheden ze gevonden hebben. Maar wie weet was dit het laaghangende fruit. Het valt te verwachten dat bij de introductie van een nieuwe tool een aantal kwetsbaarheden gevonden worden die eerder over het hoofd gezien zijn. Maar wie weet was dat het en is het zometeen schrapen naar meer kwetsbaarheden.

Tweakers schreef laatst dat Mythos 5 kwetsbaarheden vond in curl, maar dat 4 onterecht waren. Helemaal goed dat deze ene kwetsbaarheid gevonden is. Maar is dit nou bewijs dat curl vol zit met nog meer kwetsbaarheden, of dat je curl nu succesvol gecleard hebt? Dat mis ik een beetje in de communicatie. En ik denk dat het Anthropic wel goed uitkomt dat men uitgaat van de eerste optie.

[Reactie gewijzigd door duck-face-swap op 24 mei 2026 18:26]

[Jerie]

Dan zul je met bewijs moeten komen dat het actief uitgebuite zero days waren, die door staatshackers (bijv. Cellebrite) werden uitgebuit. Dat bewijzen bij actuele zaken is lastig. Naarmate de tijd vordert kun je e.e.a. reconstrueren.

Ook kun je kijken naar gedrag. De Amerikaanse overheid heeft al aangegeven dat ze als eerste toegang willen hebben tot de uitkomst can Mythos. Die willen graag zero days, dat zijn immers wapens. Bij China is het eenvoudiger. Product uitbrengen en dan weinig tot geen softwareupdates heeft tot gevolg dat je eerder vroeg dan laat lekken gaat krijgen in de stack. Vooral in het Node tijdperk vind ik dat gevaarlijk.

[Llopigat]

Ik denk dat het niet een verschuiving oplevert nee maar wel een stroomversnelling. Kwetsbaarheden worden veel sneller gevonden. Exploits verschijnen sneller en worden ook vaker meteen ingezet.

Ik denk dat we naar een situatie toegaan waarin we in plaats van een maandelijkse patch ronde echt wekelijks moeten gaan patchen.

[Thalion]

Ik denk dat het sowieso een tijdelijke verschuiving is, er komt nu een golf van bugs die door AI gevonden kan worden, die worden gepacht. Daarna wordt het met ai(s) testen van code hopelijk gemeengoed.

In die zin is de waarde van Mythos erg tijdsafhankelijk, nu is het veel waard, maar als de bugs gevonden en gepatcht zijn, wordt het één van meerdere ( zo niet vele) tools, lijkt me.

[xilanaz]

https://www.engadget.com/2180028/anthropic-claude-mythos-preview-project-glasswing-update

Hier is het 10.000 en dat Microsoft voorlopig flinke patches Tuesdays gaat krijgen, dus het is echt niet alleen opensource, alleen bij opensource is het transparanter wat er gevonden wordt. Denk zelf dat je ook voor Windows zo'n artikel zou kunnen maken als dat van eerder deze week over 4 kernel bugs, alleen MS gaat dat niet vertellen.

[Williams123]

Het is net wat je zegt. Nu lijkt het alsof linux(the kernel) heel buggy is etc en dat windows "nooit" bugs heeft.

Maar microsoft gebruikt de tool ook en kunnen achter gesloten deuren alles fixen en eventueel achterwegen laten wat ze gefixed hebben.

[Visgek82]

Iedereen weet dat letterlijk elke software bugs bevat. Het komt nu aan het licht dat Linux ook niet heilig is itt wat veel mensen dachten , maar dat is altijd zo geweest. Geld voor een os, een spel of applicatie.

[PolarBear]

Het prikt een beetje door de mythe heen, open-source dus iedereen kan mee kijken dus veiliger. Theoretisch waar, maar in de praktijk beperkt door tijdsgebrek en kennisgebrek. Op kernel niveau zijn er niet zo veel mensen die echt code kunnen reviewen.

[cvr42]

Dat geldt net zo hard voor closed source. Daar is ook tijd- en kennisgebrek.

[fastedje]

Bij Exchange meldt Microsoft ook.pas.bigs als ze die eerst in Azure hebben opgelost. Zo krijg je het vertekenend beeld dat Azure/Exchange Online/Office365 nooit bugs heeft.

[AnonymousGerbil]

Hoeveel bugs had men ontdekt indien deze pipo's, ik noem maar wat, slechts ééntje van de vele "ai" miljarden rechtstreeks hadden gestoken in een grote door mensenhersens gedreven bughunt?

[Reactie gewijzigd door AnonymousGerbil op 24 mei 2026 12:54]

[increddibelly]

dan heb je een eenmalige actie. zeker nuttig, maar nu hebben we een tool, en die kun je opnieuw inzetten. bovendien is het extreem taai en saai werk om een lap code na te lopen op 1000+ specifieke dingen die in combinatie misschien wel eens mis zouden kunnen gaan. een AI bot daarentegen raakt nooit verveeld in het herkennen van die patronen, doet dat met een virtuele glimlach op zn gezicht, dag in dag uit.

Dit is misschien wel de eerste keer dat ik mensenwerk juist liever aan een AI zou uitbesteden.

[GewoonWatSpulle]

Ik denk bizar weinig, want het is niet alsof mensen geld nodig hebben om dit soort bugs op te sporen, maar vooral tijd en middelen en Mythos is een van die middelen.

[brammieman]

Tijd en middelen = geld.

[demianmonteverd]

Waarop basseer je dat, we weten helaas niet wat de kosten waren om tot mythos te komen. Maar goed, stel dat het aardig wat heeft gekost, laten we zeggen 100M? De eerste keren dat databases op juistheid werden geaudit door een externe partij vonden ze vaak een grote lijst aan problemen. Van bijna alle SSL implementaties zijn ook meerdere bugs gevonden. Linux zelf ook, FreeBSD hetzelfde verhaal. Er zijn genoeg projecten die veel gebruikt worden die nog nooit een goede audit hebben gehad.

Toen microsoft haar eigen software ging auditten kwamen er direct problemen over, naar verluid zo veel dat men moeite had met het oplossen van de gevonden issues (net zoals nu met mythos). En die voorbeelden hebben waarschijnlijk voor de eerste scans bij elkaar nauwelijks de 100M gehaald (ja, ik weet dat MS zegt dat het veel duurder is geweest, maar ze hebben daar iedereen laten auditten en ook de oplossingen meegenomen en de opportuniteitskosten, overhead, etc.).

[GewoonWatSpulle]

De stelling was dat als er één van de vele AI miljarden beschikbaar werd gesteld voor bug hunting dat mensen dan misschien ook veel gevonden hadden. Ik denk niet dat geld het issue is bij bug hunting, eerder de tools want er is/was genoeg te verdienen met bug hunting maar makkelijk was het nooit.

[demianmonteverd]

Ok, bedankt voor het verduidelijken. Ben je mss een ontwikkelaar? Heb audits gehad in verleden. Ze zijn prima in staat om problemen te vinden en zijn lang niet zo duur als men denkt. Als je er een miljard tegen aan gooit krijg je gewoon een goed resultaat. Overigens maken veel van die security audits partijen tools. Dat deed men al ruim voor het bestaan van chatgpt zelfs. De eerste generaties van die tools werden geschreven in perl en later is men overgestapt op python. Ik heb gezien wat ze doen, het gaat veel verder dan een grep op strcpy.

[Bever!]

Uitstekende virale marketing toch?

[lighting_]

je hebt als corporate ook de keuze om er geen gebruik van te maken. Het is vanaf de zijlijn erg makkelijk kritiek te geven. Wat zou jij als CIO doen dan?

[dasiro]

Hangt er van af van wat voor bedrijf je CIO bent en hoe het software-landschap er uit ziet. Er zijn veel bedrijven die geen code schrijven of maar zo weinig dat het totaal irrelevant is om er zo'n tool op los te laten. Wat niet wil zeggen dat je van je leveranciers misschien niet kan eisen om het te gebruiken

[lighting_]

Ik typte "corporate". Dat zijn ook software huizen. Die ontwikkelen ook zelf.

[Reactie gewijzigd door lighting_ op 24 mei 2026 13:17]

[mphilipp]

Inderdaad, maar het is zeker niet alleen hype. Voor een deel wel, want er zijn security experts die zeggen dat ze met de huidige modellen ook al een eind komen. Maar Mythos is weer nét iets slimmer blijkt.
Ik was pas bij Oracle voor een workshop over patching en upgrading naar de nieuwste versie van de database, en daar hadden ze het ook over Mythos. Oracle had kort daarvoor al aangekondigd dat de laatste patchronde een paar dagen was uitgesteld, en dat er voortaan elke maand gepatched wordt, in plaats van elk kwartaal. Dat zegt op zich genoeg denk ik.

[pietvelleman]

"maar de stelling dat Mythos te gevaarlijk is voor een publieke release lijkt inmiddels vergeten te zijn."

Grappig. Tweakers lijkt vergeten te zijn dat ze zelf ook vooral suggereerden dat 'gevaarlijk' slechts een marketing hype was. Vertel eens: was het een slechts een marketing hype? Of tegelijkertijd ook een serieuze waarschuwing?

Evenals vele Tweakers die toen ook reaguurden en schreven dat AI dom is/niets-kan/nooit-wat-gaat-worden/slechts een hype is/bedoeld voor beurskoersen.

Altijd leuk om oude reacties terug te lezen:
review: Een omslag voor cybersecurity: Claude Mythos is té goed in lekken vinden

[MennoE]

Tweakers noemt nu alleen dat Anthropic haar eigen stelling lijkt te zijn vergeten. Tweakers zegt toch nergens dat ze deze stelling hebben overgenomen? Het is eerder juist een bevestiging van dat ze kennelijk denken dat het maar een marketing hype was.

[pietvelleman]

"Het is eerder juist een bevestiging van dat ze kennelijk denken dat het maar een marketing hype was...."

Precies! Tweakers doet voorkomen alsof het slechts een marketing hype is.

Maar met deze stelling lijken ze weer te suggereren dat Mythos niet aan het publiek vrijgegeven zou mogen worden.

"maar de stelling dat Mythos te gevaarlijk is voor een publieke release lijkt inmiddels vergeten te zijn."

Of was dit sarcatisch bedoeld van Tweakers?

Volgens mij hinkt Tweakers op twee gedachten als het gaat om AI. Energzijds zijn de negatief/hype/ai slop/etc. En anderzijds kunnen ze er ook weer niet omheen... Soort haat-liefde verhouding. Met iets meer haat.

Het zou mooi zijn als Tweakers iets serieuzer over AI zou praten. Mythos heeft er alles van weg dat het een bijzonder serieuze tool is. Met ook nog eens verstrekkende gevolgen, in zowel positieve als negatieve zin.

Die technische aspecten vind ik 100x interessanter dan gebla bla over wel of geen marketinghype.

[MennoE]

Ik denk dat je de tekst verkeerd leest. Als jurist gebruik ik vaker dit soort zinconstructies. Hoe je het denk ik moet lezen: "Terwijl Anthropic eerder stelde dat Mythos te gevaarlijk was voor een publieke release, vinden ze dat nu kennelijk niet meer, want anders zouden ze het niet releasen. Dit doet vermoeden dat het gestelde gevaar inderdaad, zoals sommigen al dachten, meer marketing was dan daadwerkelijk juist." Dat is niet sarcastisch, maar eerder een beetje spottend.

[pietvelleman]

Alleen een jurist maakt onderscheid tussen sarcatisch en spottend

Wellicht heb je gelijk. Maar dan nog begrijp ik het niet.

"Dit doet vermoeden dat het gestelde gevaar inderdaad, zoals sommigen al dachten, meer marketing was dan daadwerkelijk juist."

Bij mij doet dat helemaal niet vermoeden dat het meer marketing was dan daadwerkelijk juist. En dat vermoeden is ook nergens op gebaseerd. Wellicht brengen ze het naar buiten, aangezien andere modellen gelijksoortige dingen ook al kunnen (wat ze overigens ook aangekondigd hadden)...

Maar.. waar mijn frustratie zit: Tweakers moet techniek scheiden van de rest.
Ik ben niet geinteresseerd in de visie van Tweakers op de marketingstrategie van Antrophic.
Ik ben geïnteresseerd in de techniek, wat het kan, waarom mythos dit (op dit moment) beter zou kunnen...
Of de claims van de bugs die zijn ontdekt kloppen, etc.etc.

Maar goed... dat is een persoonlijk dingtje...

[FanaticNL]

Hun modellen worden ook beter. Als ze Mythos uitbrengen, dan hebben ze waarschijnlijk Mythos 2.0 al naar de 40 (of hoeveel zijn het er inmiddels) bedrijven gestuurd.

[TheBlackbird]

Er zullen uiteraard guardrails zijn: ik moest bvb al een speciale aanvraag doen om Opus te mogen gebruiken voor security analyses. Het is niet alsof iedereen zomaar de volledige kracht van Mythos naar goeddunken zal kunnen inzetten.

Op termijn zal het onvermijdelijk zijn dat dit soort krachtige AI voor een steeds grotere groep mensen beschikbaar zal worden. In de overgangsfase wordt het even spannend - krijgen we alle ernstige CVE's tijdig opgelost? -, nadien leidt het wellicht tot een veiliger online wereld.

De grotere dreiging lijkt me dat toekomstige AI's zo krachtig worden dat ze eigen doelstellingen gaan nastreven zonder we dat door hebben. Dat hoeft geen Terminator-scenario te zijn: je kan al ernstige incidenten hebben op kleinere schaal ook. Denk bvb aan de Dow Jones Flash Crash in 2010 van 9% in een paar minuten tijd, waarvan men denkt dat het grotendeels werd veroorzaakt door automatische tradingsystemen... en dat was nog zonder AI...

[nzall]

Vraag me eerlijk gezegd af hoeveel dit zal kosten, en of je dit ook zou kunnen gebruiken met private Subversion repositories (dus niet op Github of zo, gewoon een Subversion repository op de eigen servers). Kan interessant zijn om eens de eigen software mee te parsen.

[CodeCaster]

Om de code te analyseren is helemaal geen source control nodig; het is gewoon makkelijk om publieke, populaire GitHub-hosted git-repo's te downloaden en daarop de tool los te laten.

Ik zou zelf anno 2026 niet meer over SVN durven beginnen, waarom noem je dat?

[Reactie gewijzigd door CodeCaster op 24 mei 2026 12:58]

[nzall]

Omdat het bedrijf waar ik werkt SVN gebruikt... Ons product is ouder dan Git, en onze teamleider ziet het niet zitten om te migreren naar Git. Werkt niet met zijn workflow waarin hij verschillende branches van ons product en branches uit meerdere repositories tegelijk heeft uitgecheckt in dezelfde Eclipse workspace zodat hij makkelijker handmatig dingen kan vergelijken...

[Reactie gewijzigd door nzall op 24 mei 2026 14:25]

[riezebosch]

https://git-scm.com/docs/git-work tree kan je meerdere worktrees aan een repository toevoegen obv verschillende refs (dus ook branches)

[Keypunchie]

Met Claude Code kun je een willekeurig repository laten bekijken. Zelfs een lokaal repo. Lijkt erop dat Anthropic nu eerst het beschikbaar gaat maken in het Enterprise abonnement.

Zelf heb ik "slechts" beschikking over het Teams abonnement en kan niet wachten. Opus vind ik al heel indrukwekkend op wat het toevoegt aan beveiliging, dus van Mythos verwacht ik nog meer.

[GertMenkel]

Ik denk dat ze git-first zullen gaan in hun tooling, maar als je je SVN-repo's lokaal uitcheckt zou het geen probleem moeten zijn. Een LLM is en blijft een LLM, als je er maar tekst in krijgt, zal het zijn woordvoorspellingen blijven doen.

Dit zal wel een slagje duurder worden dan Opus ben ik bang, maar men zal Mythos wellicht ook minder vaak hoeven te gebruiken.

[Sjah]

Las dat Linus beetje moe wordt van de "makkelijk ingestuurde" bugreports oid.


Verder>> jullie schrijven: al ligt een belangrijk deel van de controverse in de marketinghype die Anthropic rondom Mythos creëert << jullie eigen woorden en inschatting, of algemeen aanvaard?

[Reactie gewijzigd door Sjah op 24 mei 2026 16:49]

[pietvelleman]

aanvulling: en wellicht is 'marketing hype' sowieso achterhaald. Want wellicht is het daadwerkelijk dus best een serieus ding en daadwerkelijk gevaarlijk... Dan is het woord 'marketing hype' niet van toepassing. En moet ook Tweakers zich achter de oren krabben bij de suggestie dat het slechts een hype was.

[ZpAz]

https://arstechnica.com/ai/2026/04/uk-govs-mythos-ai-tests-help-separate-cybersecurity-threat-from-hype/

Overall, Mythos’ performance on TLO suggests that the model “is at least capable of autonomously attacking small, weakly defended and vulnerable enterprise systems where access to a network has been gained,” AISI writes. That said, the group cautions that its simulated cyber ranges lack the kind of active defenders and defensive tooling often present in critical real-world systems. AISI’s TLO test is also designed to have specific vulnerabilities that might not exist in real-world systems and doesn’t penalize models for the kind of detection that might cause a real-world infiltration attempt to fail.

For those reasons, AISI says it can’t be sure whether “well-defended systems” would fall to an automated attack from Mythos Preview.

[Keypunchie]

De blogs van AISI over hun analyses zijn super-interressant:

Mythos: https://www.aisi.gov.uk/b...eviews-cyber-capabilities
GPT 5.5: https://www.aisi.gov.uk/b...pt-5-5-cyber-capabilities

En het verklaart waarom er *nu* al zoveel hacks, leaks en andere zaken gebeuren, want ook de "huidige" generatie, zoals Opus 4.6 of Codex 5.3 scoren ook al vrij hoog.

Het grootste verschil van wat ik heb begrepen, is ook niet zozeer dat Mythos "meer" bugs vind, maar dat het in agentic mode in staat is om verschillende bugs aan elkaar te koppelen en zo naar "full exploit" te gaan.

[ZpAz]

Ik denk dat het ook unit of scale is - je kan nu gewoon agents het internet af laten gaan - en veel "grouperingen zullen dat doen. De beveiliging van veel partijen is gewoon ondermaats en was het altijd al.

[Mars Warrior]

In dat plaatje over GPT 5.5 zie ik dat die eigenlijk net zo goed / beter scoort inmiddels dan de Mythos Preview.

Dus als je voldoende tokens tot je beschikking hebt, kun je e.e.a. ook gewoon door een vrij toegankelijke LLM gooien.

Als ik van een klein project in vscode codex vraag voor een code review verbrand ik al tienduizenden tokens.

Token usage: total=70,220 input=64,279 (+ 567,040 cached) output=5,941 (reasoning 1,114)

En daar laat je dan netjes een Markdown-rapport van maken. Werkt goed, is leesbaar en geeft per source module aan waar de problemen of potentiële problemen zitten.

[pietvelleman]

Wellicht domme opmerking.... Maar heeft het ook niet met 'schaal' te maken?

Bij de huidige generatie kun je bijv niet grotere codebases (>100k) in zijn totaliteit laten analyseren. Dan wordt het toch eerst in stukken geknipt, met bijkomende nadelen.

Wellicht heeft Mythos die beperkingen niet. En heeft het vooral hogere limieten (max tokens die het tegelijkertijd kan behappen). Maar ik ben ook benieuwd of het wellicht veel specieker is getraind en dat daar de kracht in zit...