AI-bedrijf Anthropic heeft bevestigd dat beveiligingsonderzoekers met behulp van AI ongeoorloofde toegang hebben gekregen tot verschillende interne systemen. Daarbij zijn gevoelige gegevens van medewerkers en bedrijfsinformatie blootgesteld.
De hack werd uitgevoerd door Cathedral, een Amerikaanse AI-startup die is opgericht door voormalige medewerkers van het Department of Government Efficiency (DOGE). Het bedrijf beweert binnen 12 uur te zijn binnengedrongen in het netwerk van Anthropic. De onderzoekers namen deel aan een bugbountyprogramma dat bedoeld is om beveiligingskwetsbaarheden op te sporen.
Volgens berichten kregen de onderzoekers toegang tot interne Slack-berichten, transcripties van vergaderingen, salarissen van medewerkers en vacatures met arbeidsvoorwaarden. De getroffen systemen maakten deel uit van de verkoop-, personeels- en IT-afdelingen van Anthropic.
Anthropic bevestigde de inbraak, maar benadrukte dat de toegang beperkt bleef. Gesprekken tussen gebruikers en AI-assistent Claude zijn niet blootgesteld en ook de broncode van de AI-systemen van het bedrijf bleef beveiligd.
Het bedrijf verklaarde daarnaast dat zijn monitoringsystemen een deel van de activiteiten van Cathedral al hadden gedetecteerd voordat de onderzoekers hun bevindingen meldden. Anthropic blokkeerde de ongeoorloofde toegang nog dezelfde dag.
Volgens cyberbeveiligingsexperts werd het incident veroorzaakt door kwetsbaarheden in software van externe partijen, en niet door een geavanceerde AI-aanval. Hoewel de inbraak plaatsvond tijdens toegestaan beveiligingsonderzoek, laat het incident zien hoe snel aanvallers vergelijkbare kwetsbaarheden zouden kunnen uitbuiten als deze onontdekt blijven.
Externe dienstverleners vormen steeds vaker een toegangspunt voor grote cyberaanvallen. Onlangs werden ook PwC en AI-platform OpenCode via vergelijkbare kwetsbaarheden gehackt.
Hoewel de snelle ontwikkeling van AI grotere risico’s met zich meebrengt voor online platforms, wordt de technologie ook steeds belangrijker bij het ontdekken van beveiligingslekken. Zo hielp AI onlangs bij het opsporen van meerdere kritieke kwetsbaarheden in PHP. Hierdoor werden wereldwijd veel grote websites, waaronder in Nederland, uit voorzorg tijdelijk offline gehaald.
