Anthropic Waarom de Amerikaanse exportcontrole op AI niet standhield
indignatieai-redactie
8 min read
De tweeledige aanval op Anthropic bracht de Amerikaanse veiligheid in gevaar.
Anthropic ontving op 12 juni een brief, uitgevaardigd onder leiding van minister van Handel Howard Lutnick. Daarin werd Anthropic opgedragen om de AI-modellen Fable 5 en Mythos 5 uit te schakelen voor alle buitenlandse gebruikers, inclusief buitenlandse werknemers. Gezien het feit dat Anthropic niet in staat was om gebruikers in realtime op nationaliteit te filteren, deed het bedrijf wat elk redelijk bedrijf zou doen: het schakelde de modellen voor alle gebruikers uit. Bijna drie weken later versoepelde de overheid de maatregelen nadat Anthropic had ingestemd met aanvullende waarborgen. Deze omkering liet zien hoe moeilijk het was om de beperking vol te houden terwijl vergelijkbare mogelijkheden elders beschikbaar bleven.
Anthropic noemde het een misverstand. Washington noemde het een kwestie van nationale veiligheid, vanwege de vermeende mogelijkheid voor gebruikers om de modellen te “ontmantelen”: om ze voor andere, mogelijk kwaadaardige doeleinden te gebruiken. Maar wat hield deze “ontmanteling” precies in en wat maakte het zo gevaarlijk dat Anthropic een van de krachtigste AI-modellen die voor het publiek beschikbaar waren, moest uitschakelen?
In een eigen verklaring schrijft Anthropic dat de jailbreak inhield dat “het model een specifieke codebase moest lezen en eventuele softwarefouten moest herstellen”. Gewoon code lezen en bugs repareren. Dat doet je beveiligingsteam toch al voor de lunch? Anthropic’s eigen Project Glasswing gebruikt ditzelfde model momenteel om de openbaarmaking en het verhelpen van kwetsbaarheden in open-source code op te schalen. Vóór de sluiting had Glasswing met hetzelfde model al meer dan 10.000 ernstige en kritieke kwetsbaarheden in kritieke softwaresystemen geïdentificeerd.
De overheid heeft besloten dat er een fundamenteel verschil bestaat tussen offensief en defensief gebruik van het instrument. De waarheid is: zo’n verschil bestaat niet echt. Je kunt geen wet schrijven die een onderscheid maakt dat de technologie zelf niet maakt, en vervolgens de technologie de schuld geven van precies datgene wat ze doet.
De grootste, onbesproken hypocrisie in het standpunt van de overheid is echter dat hetzelfde bevel tot het stopzetten van Fable 5 en Mythos 5 de GPT-5.5 van OpenAI ongemoeid liet. Anthropic wijst hier direct op: “ Het getoonde niveau van mogelijkheden is breed beschikbaar bij andere modellen ( waaronder de GPT-5.5 van OpenAI ) en wordt dagelijks gebruikt door de verdedigers die systemen veilig houden .” De systeemkaart van OpenAI voor GPT-5.5 beoordeelt de cybersecuritycapaciteit als “hoog”. Het Britse AI Security Institute testte GPT-5.5 als cyberaanvalagent in een 32-stappenplan voor een aanval op een bedrijfsnetwerk, waarvoor naar schatting 20 uur expertise nodig is, en het model voltooide de volledige aanval in één van de tien pogingen. De benchmark was hetzelfde 32-stappenplan dat eerder door Mythos Preview was voltooid, hoewel Mythos in de eerste evaluatie vaker succesvol was.
Omdat dezelfde brede functionaliteit beschikbaar bleef via GPT-5.5, droeg de richtlijn weinig bij aan de nationale veiligheid gedurende de weken dat deze van kracht was. Het gaf OpenAI een voordeel, sloot Amerikaanse verdedigers af van een van Anthropics meest geavanceerde verdedigingsmiddelen en werd ingetrokken zodra Anthropic aanvullende waarborgen had onderhandeld.
Eerdere pogingen
Washington heeft decennia geleden al soortgelijke maatregelen genomen. In de jaren negentig bestempelden ambtenaren sterke encryptie als een wapen, wat leidde tot een federaal onderzoek naar Phil Zimmermann vanwege de verspreiding van zijn e-mailversleutelingssoftware. Het Clipper Chip-initiatief probeerde ondertussen een permanente, door de staat gecontroleerde achterdeur te creëren om toegang te krijgen tot versleuteld verkeer. In 1996 droeg de regering-Clinton de meeste commerciële encryptie over aan het ministerie van Handel, toen duidelijk werd dat gepubliceerde wiskundige formules simpelweg niet inperkt konden worden.
Het Wassenaar-akkoord, een exportcontroleovereenkomst tussen 41 landen, probeerde in 2013 een vergelijkbare manoeuvre door controles in te voeren op inbraaksoftware. De resulterende definities bleken echter te vaag en omvatten onbedoeld legitieme penetratietests, wat leidde tot felle tegenstand van beveiligingsonderzoekers en de industrie en het ministerie van Handel dwong zijn eigen voorgestelde regelgeving in te trekken. Software gedraagt zich niet als een centrifuge of een ballistische raket, maar Washington herhaalt steeds dezelfde misrekening wanneer een nieuwe technologie alarm slaat.
Het meest directe tegenargument betreft de controle op halfgeleiders, en dat verdient een degelijk antwoord. Beperkingen op EUV-lithografieapparatuur hebben aantoonbaar de verwerving van geavanceerde computercapaciteiten door China vertraagd. Maar chips zijn fysiek. Ze zijn zwaar, worden geproduceerd door een klein aantal wereldwijde producenten en kunnen niet heimelijk massaal over grenzen worden vervoerd . Een getraind AI-model is een bestand, dat binnen enkele seconden kan worden verzonden zonder fysieke sporen achter te laten. Fysieke knelpunten maken effectieve beperkingen mogelijk, maar zodra het doelwit wiskundige code is die onzichtbaar wordt verplaatst, wordt controle onhaalbaar. De chipanalogie gaat hier niet op.
Anthropic zelf heeft dit probleem in november 2025 aangekaart toen het een incident onthulde dat de naam GTG-1002 kreeg . In de analyse achteraf sprak Anthropic zijn grote zekerheid uit dat een door de Chinese staat gesteunde actor Claude Code had ingezet om een cyberaanval te leiden die gericht was op ongeveer 30 technologiebedrijven, financiële instellingen, chemische bedrijven en overheidsinstanties. Anthropic schatte dat Claude Code 80-90 procent van de tactische operaties van de campagne uitvoerde; menselijke operators grepen slechts vier tot zes keer per uitvoeringscyclus in op specifieke beslissingspunten. De groep omzeilde veiligheidsprotocollen door zich voor te doen als een gerenommeerd cybersecuritybedrijf dat geautoriseerde penetratietests uitvoerde.
Die omzeiling berustte echter niet op een technische kwetsbaarheid, maar op social engineering gericht op een algoritme. Vanuit een prompt-niveau perspectief is er geen waarneembaar onderscheid tussen een defensieve beveiligingsoperatie en een offensieve inbraak, wat betekent dat geen enkel exportbeperkingskader een dergelijk scenario redelijkerwijs zou kunnen voorzien of voorkomen.
Doelwit antropisch
Eind februari 2026 gaf minister Hegseth het Pentagon opdracht om Anthropic aan te merken als een risico voor de toeleveringsketen . Deze classificatie is historisch gezien voorbehouden aan bedrijven die afhankelijk zijn van Peking of Moskou. Voormalig CIA-directeur Michael Hayden en gepensioneerde hoge officieren van de luchtmacht, landmacht en marine noemden het “een categoriefout met gevolgen die veel verder reiken dan dit conflict”. Het Pentagon bestempelde Anthropic als een risico voor de toeleveringsketen omdat het bedrijf weigerde de beveiligingsmaatregelen tegen massale binnenlandse surveillance en volledig autonome wapens op te heffen.
Drie maanden later beperkte het ministerie van Handel het beste verdedigingsmiddel van datzelfde bedrijf, omdat het te gevaarlijk zou zijn. De ene hand straft Anthropic voor het hebben van veiligheidsvoorzieningen. De andere hand straft hen omdat ze er niet genoeg hebben. De kritieke infrastructuur van Amerika bevindt zich in de kloof tussen die twee beslissingen.
Het is mogelijk om de acties van het Pentagon en het Ministerie van Handel niet te interpreteren als een bureaucratische tegenstrijdigheid, maar als twee vormen van druk die op Anthropic werden uitgeoefend na het conflict met de regering. Het beschikbare bewijsmateriaal toont echter geen coördinatie of vergeldingsintentie aan. De meest aannemelijke conclusie is gebaseerd op het effect in plaats van het motief: ongeacht of er sprake was van coördinatie of niet, de twee acties samen hebben de toegang tot defensieve AI-capaciteiten beperkt, terwijl vergelijkbare capaciteiten via andere aanbieders beschikbaar bleven.
Volgens een artikel in Small Wars Journal uit maart creëert de overmatige afhankelijkheid van het leger van extern ontwikkelde AI-modellen van bedrijven een reeks kwetsbaarheden die niet met beleidschecklists kunnen worden ingedamd. De Hegseth-aanduiding en de Lutnick-richtlijn vormden samen een levende demonstratie van deze stelling: twee takken van dezelfde overheid trokken in tegengestelde richtingen aan dezelfde technologie, terwijl de onderliggende risico’s toenemen.
Deze modellen bezitten geen cognitie in de betekenisvolle menselijke zin. Het zijn eerder statistische machines die getraind zijn op meer kwetsbaarheidsrapporten en databases met exploits dan een individu in meerdere levensjaren zou kunnen verwerken. Het gevaar dat ze vormen is economisch, niet existentieel. De richtlijn van 12 juni had geen betrekking op een singulariteit die de overgang van menselijke naar kunstmatige intelligentie markeerde. De minimumprijs voor cyberaanvallen op nationaal niveau is gedaald tot een maandelijks abonnementsbedrag. Het uitschakelen van het model van één bedrijf herstelt die minimumprijs niet. De wiskunde is alomtegenwoordig en het huidige beleid hield geen rekening met die realiteit. GTG-1002 heeft al plaatsgevonden. Het heeft met succes een klein aantal doelwitten binnengedrongen. De reactie was om het defensieve equivalent uit Amerikaanse handen te nemen. Op een gegeven moment wordt dat een breder institutioneel falen.
Wat werkt er nu echt?
De Amerikaanse overheid heeft al een effectieve richtlijn uitgevaardigd: CISA’s Binding Operational Directive 26-04 , die federale instanties opdraagt het tempo van het patchen van beveiligingslekken te versnellen op basis van risico en impact. Maar een richtlijn alleen is geen raamwerk. Er moeten drie dingen gebeuren.
Het Congres moet de kloof in bevoegdheden tussen het Ministerie van Handel en het Ministerie van Defensie op het gebied van AI dichten. Het Congres moet verduidelijken hoe de exportcontrolebevoegdheid van het Ministerie van Handel en de inkoop- en toeleveringsketenbevoegdheden van het Ministerie van Defensie op elkaar inwerken wanneer beide worden toegepast op dezelfde aanbieder van geavanceerde AI. Dit is de reden waarom Hegseth en Lutnick in hetzelfde kwartaal tegengestelde richtingen opgaan met betrekking tot hetzelfde bedrijf. Project Glasswing, dat al meer dan 10.000 ernstige en kritieke kwetsbaarheden in kritieke softwaresystemen heeft geïdentificeerd, moet worden uitgebreid en federaal worden gefinancierd als hét antwoord op de nationale veiligheidsvraagstukken, waarbij verdedigers AI gebruiken om kwetsbaarheden sneller te vinden en te verhelpen dan tegenstanders ze kunnen bewapenen. Elk toekomstig kader voor exportbeperkingen van AI moet bovendien een duidelijke bewijsdrempel hebben. Beperkt bewijs van een specifieke, niet-universele jailbreak mag niet volstaan om een model dat door honderden miljoenen mensen wordt gebruikt, terug te trekken.
Anthropic heeft bijgedragen aan deze uitkomst. Jarenlang benadrukte Anthropic dat Mythos over uitzonderlijke cyberbeveiligingscapaciteiten beschikte, ongebruikelijk sterke beveiligingsmaatregelen vereiste en aanvankelijk beperkte toegang rechtvaardigde. Die argumentatie rechtvaardigde hun veiligheidsstandpunt en hun samenwerking met Project Glasswing. De toenmalige minister van Handel, Lutnick, ondertekende een brief waarin hij het systeem precies behandelde zoals Anthropic het noemde: als een wapen.
Dreigingsonderzoeker Peter Girnus zei het onomwonden toen het nieuws naar buiten kwam: “Als je je product in elk persbericht als munitie omschrijft, neemt een overheid je uiteindelijk op je woord. Ze hebben de juridische grondslag zelf bedacht en het een merk genoemd.” Dat is niet zomaar een sneer naar de PR-strategie van Anthropic. Dat is een beschrijving van hoe ze in deze situatie terecht zijn gekomen.
Maar de les voor Washington is harder. Je kunt geen embargo instellen op wiskunde die al openbaar is. Washington heeft er bijna drie weken over gedaan om dat te bewijzen, door een van de meest geavanceerde defensiemodellen die beschikbaar zijn voor Amerikaanse gebruikers offline te halen en de toegang vervolgens weer te herstellen toen duidelijk werd dat vergelijkbare mogelijkheden nog steeds beschikbaar waren via andere commercieel verkrijgbare modellen. De controle is weggevallen. Dat roept de vraag op: gaan we wel de goede kant op?
