Ik zat gisteren iets te lezen wat me niet losliet. Anthropic, het AI-bedrijf achter Claude, heeft een nieuw model gebouwd. Ze noemen het Mythos. En ze geven het niet vrij aan het grote publiek. Niet omdat het niet goed genoeg is, maar omdat het te goed is. Het model vindt kwetsbaarheden in software die menselijke experts al decennia missen. En in diezelfde software draait voor circa $200 miljard aan DeFi-kapitaal.
Wat Mythos kan
Anthropic lanceerde gisteren officieel Project Glasswing, een beveiligingsinitiatief waarbij veertig bedrijven toegang krijgen tot Mythos. Denk aan Amazon, Apple, Google, Microsoft, CrowdStrike en JPMorgan. Zij mogen het model gebruiken voor defensief beveiligingswerk. Voor iedereen buiten die kring geldt: geen toegang.
De reden is de prestatie van het model. In interne tests vond Mythos een 27 jaar oude kwetsbaarheid in OpenBSD, een besturingssysteem dat specifiek gebouwd is om onhackbaar te zijn, voor minder dan $50 aan rekenkracht. Het vond een 16 jaar oude fout in FFmpeg, de videosoftware die het grootste deel van het internet aandrijft, die vijf miljoen keer was gescand door geautomatiseerde tools zonder dat iemand hem vond. Het ketende vier afzonderlijke kwetsbaarheden samen tot één browseraanval die twee beveiligingslagen tegelijk doorboorde. En het zette een bekende Linux-kwetsbaarheid om in een werkende aanval in minder dan één dag, voor minder dan $2.000. Hetzelfde werk kost een ervaren menselijke onderzoeker doorgaans weken.
Ter vergelijking: de beste menselijke teams ontdekken ongeveer 100 van dit soort zero-day kwetsbaarheden per jaar. Mythos vond er in zijn testperiode duizenden.
Waarom dit crypto raakt
De meeste mensen denken bij AI en crypto aan koersanalyse of handelsrobots. Maar de echte bedreiging zit in de beveiliging van de infrastructuur zelf. DeFi-protocollen draaien op open-source software. Smart contracts op Ethereum, Solana en andere ketens zijn publiek toegankelijk. Iedereen kan erin kijken. Inclusief een model als Mythos.
Anthropic meldde zelf dat het model kwetsbaarheden vond in veelgebruikte cryptografiebibliotheken, waaronder TLS, AES-GCM en SSH. Dat zijn protocollen die de basis vormen van beveiligde internetverbindingen en de servers waarop DeFi-exchanges en protocollen draaien. Fouten daarin stellen aanvallers in staat om versleutelde communicatie te onderscheppen of serverstoegang te verkrijgen.
Anthropic schreef zelf dat beveiligingsmaatregelen die hun waarde ontlenen aan wrijving, aan de tijd en moeite die het kost om een aanval uit te voeren, aanzienlijk zwakker worden als een aanvaller toegang heeft tot een model zoals Mythos. In DeFi zijn dat precies de maatregelen waarop de sector vertrouwt: multisig-goedkeuring, timelocks en auditrapportages. Ze vertragen aanvallen. Ze blokkeren ze niet op codeniveau.
Wat er al is misgegaan
Dit is geen theoretisch verhaal. Eerder deze week verloor het Solana-protocol Drift Protocol $285 miljoen aan een hack die wordt toegeschreven aan Noord-Koreaanse aanvallers. Crypto-verliezen bedroegen in 2025 in totaal $3,4 miljard, inclusief de $1,5 miljard Bybit-aanval. Een Chinese staatsgerelateerde groep gebruikte al een eerder Claude-model om aanvallen te coördineren op ongeveer dertig organisaties.
Mythos is nu in handen van veertig geselecteerde bedrijven. Anthropic stelt $100 miljoen aan rekenkrediet beschikbaar voor defensief gebruik. Maar gelijkwaardige modellen zullen vroeg of laat ook beschikbaar zijn bij andere partijen. Dat is de reden waarom dit verhaal nu telt voor iedereen die geld heeft staan in DeFi. Lees ook hoe Algorand reageert op vergelijkbare dreigingen via kwantumbestendige cryptografie.
