De nieuwste grote update voor Mozilla Firefox bracht een grote verrassing met zich mee: de browser moest 271 beveiligingslekken dichten nadat de code intensief was geanalyseerd door Claude Mythos, het op cyberbeveiliging gerichte kunstmatige intelligentiemodel van Anthropic. Dit was verre van een simpel experiment en wordt beschouwd als een potentieel keerpunt in de manier waarop grote, met internet verbonden applicaties worden beschermd.
Mozilla heeft jarenlang beweerd dat Firefox een van de meest grondig gecontroleerde en robuuste open-source browsers is , maar de samenwerking met Anthropic heeft een aanzienlijk aantal verborgen kwetsbaarheden aan het licht gebracht. Het goede nieuws is dat deze zijn verholpen voordat ze konden worden misbruikt; de zorg zit hem in de ontdekking hoe groot het aanvalsoppervlak nog steeds was en welke zwakke punten er verborgen zaten die noch handmatig testen, noch traditionele analysetechnieken hadden ontdekt.
Firefox 150: een update met 271 verholpen beveiligingslekken
Volgens Bobby Holley, CTO van Mozilla, maakt het werk deel uit van een directe samenwerking met Anthropic binnen Project Glasswing, het besloten programma waarmee het AI-bedrijf technologiepartners in staat stelt kritieke software te analyseren. In het geval van Firefox richtte de scan zich op de broncode van de browser, met bijzondere aandacht voor gevoelige componenten zoals de rendering engine, de sandbox en de procesisolatielagen.
Holley erkent dat de industrie er historisch gezien van uitging dat het volledig elimineren van exploits een onrealistisch doel was . De strategie was gericht op het zo moeilijk mogelijk maken van aanvallen door middel van meerdere verdedigingslagen, sandboxing en veiligere programmeertalen zoals Rust, maar altijd met de acceptatie dat er uiteindelijk wel een kwetsbaarheid zou opduiken. De grootschalige ontdekking van Mythos versterkt dit idee, maar laat tegelijkertijd zien dat de balans mogelijk begint te verschuiven in het voordeel van de verdedigers.
De CTO zelf wijst erop dat een enkele kwetsbaarheid van de gevonden omvang in 2025 een alarmsignaal zou hebben afgegeven voor een zwaar beveiligd systeem . Vandaar de schok die, volgens Mozilla, zich verspreidde onder andere beveiligingsteams toen ze het totale aantal kwetsbaarheden dat in één keer werd ontdekt zagen – een scenario dat het reactievermogen van elke organisatie op de proef stelt.
Van Opus naar Mythos: een sprong voorwaarts in AI-auditing
De samenwerking tussen Mozilla en Anthropic begon niet met Mythos. Enkele maanden eerder had de stichting Claude Opus 4.6 , een ander geavanceerd model van Anthropic, getest om een ​​eerdere versie van de browser te beoordelen. Die eerste test resulteerde in de verhelping van 22 beveiligingslekken in Firefox 148, waarvan sommige ernstig waren, en werd zelfs toen al als een opmerkelijk resultaat beschouwd.
De komst van Claude Mythos Preview heeft echter geleid tot een ongeveer twaalfvoudige toename van het aantal gedetecteerde kwetsbaarheden . Waar Opus 4.6 een paar dozijn kwetsbaarheden identificeerde, heeft Mythos er 271 ontdekt en in interne tests meer dan 180 werkende exploits gegenereerd die de daadwerkelijke exploitatiemogelijkheden van deze fouten aantonen. Wat betreft de productiviteit van audits is dit een aanzienlijke verbetering die moeilijk te negeren valt.
Mozilla benadrukt dat het model van Anthropic prestaties heeft geleverd die vergelijkbaar zijn met die van vooraanstaande menselijke onderzoekers . Het belangrijkste punt, zo verduidelijken ze, is niet dat het volledig nieuwe soorten kwetsbaarheden ontdekt, maar eerder dat het in staat is om systematisch veel van de problemen te lokaliseren die een expert ook zou kunnen vinden, maar dan in een veel kortere tijd en op een schaal die praktisch onmogelijk is voor handmatige teams.
Een punt dat de organisatie benadrukt, is dat er geen kwetsbaarheden zijn ontdekt die buiten het bereik van een ervaren menselijke onderzoeker vallen . Dit sluit aan bij de visie van Mozilla, die niet gelooft dat AI aanvalsmethoden zal bedenken die ons huidige begrip van beveiliging volledig op de proef stellen; integendeel, het versterkt bestaande mogelijkheden, maar dan zonder de beperkingen van tijd, vermoeidheid of middelen.
Voor een complexe, modulaire applicatie zoals Firefox, die juist is ontworpen zodat mensen de verschillende componenten ervan kunnen begrijpen, is deze aanpak logisch. Wat verandert, is niet zozeer de aard van de fouten, maar de mogelijkheid om er veel meer in minder tijd te ontdekken – iets cruciaals voor een browser die fungeert als toegangspoort tot duizenden diensten en applicaties, waaronder financiële platforms, tools voor thuiswerken en online overheidsdiensten in de Europese Unie.
Van het aanvallende model naar de poging om een ​​defensief voordeel te behalen.
Softwarebeveiliging bevindt zich al jaren in een wankel evenwicht tussen aanvallers en verdedigers . Het aanvalsoppervlak van een moderne browser is zo groot dat het onmogelijk is om het volledig te dekken met traditionele tools, waardoor aanvallers een asymmetrisch voordeel hebben: ze hoeven alleen maar een strategisch geplaatste kwetsbaarheid te vinden om hun doel te bereiken.
Mozilla erkent dat hun strategie gebaseerd is op een combinatie van gelaagde beveiliging, strikte sandboxing en intensief gebruik van Rust om bepaalde soorten fouten te minimaliseren. Dit wordt aangevuld met technieken zoals fuzzing, waarbij de code wordt blootgesteld aan willekeurige invoer om onverwachte fouten uit te lokken. Het Firefox-team erkent echter zelf dat sommige delen van de code veel moeilijker te fuzzen zijn , waardoor er lacunes in de dekking ontstaan ​​die door geduldige aanvallers kunnen worden uitgebuit.
Het gebruik van een AI zoals Claude Mythos voegt een nieuw puzzelstukje toe. In tegenstelling tot willekeurige tests of handmatige beoordelingen kan het model redeneren over de broncode, verdachte patronen identificeren en exploits voorstellen die aantonen of een kwetsbaarheid daadwerkelijk kritiek is. Dit vermindert de exclusieve afhankelijkheid van hooggespecialiseerde menselijke teams, die schaars zijn en overweldigd worden door de enorme hoeveelheid software die beoordeeld moet worden.
Voor Mozilla opent dit de deur naar het geleidelijk dichten van de kloof tussen fouten die machines kunnen detecteren en fouten die menselijke experts kunnen opsporen . Als de kosten voor verdedigers om kwetsbaarheden te vinden drastisch dalen, verdwijnt een deel van het structurele voordeel dat aanvallers hadden – die gewend waren maandenlang te besteden aan het opsporen van één winstgevende fout.
Holley geeft toe dat de eerste schok van het zien van zoveel fouten tegelijk een ware aardbeving was, maar hij benadrukt dat het gevoel, zodra de eerste schok is weggeëbd, positief is: als middelen worden geprioriteerd en inspanningen worden gericht op het corrigeren van wat de AI aan het licht brengt, kunnen verdedigers weer op een gelijk speelveld spelen . Tenminste, als er teams zijn die de hoeveelheid resultaten kunnen verwerken en omzetten in effectieve oplossingen.
Risico's van zulke krachtige AI voor beveiliging: een duidelijk tweesnijdend zwaard.
Naast het voorzichtige enthousiasme van Mozilla, houdt een groot deel van de Europese cybersecuritysector de potentiële misbruikmogelijkheden van tools zoals Claude Mythos nauwlettend in de gaten . Hetzelfde systeem dat het mogelijk maakt om kwetsbaarheden in Firefox te ontdekken, zou in verkeerde handen gebruikt kunnen worden om de ontdekking van kwetsbaarheden in besturingssystemen, hot wallets, gedecentraliseerde applicaties of kritieke infrastructuurdiensten te automatiseren.
Anthropic is zich bewust van dit risico en houdt de toegang tot Mythos via Project Glasswing dan ook zeer beperkt . Grote technologiebedrijven zoals Apple, Microsoft, Google, Amazon Web Services, de Linux Foundation en Mozilla zelf maken deel uit van deze groep, die het model gebruikt om hun eigen software en in sommige gevallen hun strategische infrastructuur te controleren. Het idee is om nauwlettend te controleren wat er wordt geanalyseerd en met welk doel.
Recente berichten geven aan dat Claude Mythos in gecontroleerde tests zero-day kwetsbaarheden in veelgebruikte systemen , van browsers tot besturingssystemen , heeft kunnen identificeren en exploiteren . Er is zelfs gedocumenteerd dat het complexe cyberoperaties vrijwel volledig autonoom kan uitvoeren, zoals meerfasige inbraaksimulaties op bedrijfsnetwerken.
Deze mogelijkheden hebben niet alleen de interesse gewekt van bedrijven, maar ook van overheden en inlichtingendiensten . In de Verenigde Staten is bijvoorbeeld gemeld dat de National Security Agency (NSA) Mythos zelfs op geheime netwerken heeft ingezet, ondanks de publieke bezwaren tegen het gebruik van dergelijke tools in militaire of surveillancecontexten.
Voor Europa, waar het debat over AI-regulering en gegevensbescherming bijzonder intens is, bieden gevallen zoals Firefox en Mythos argumenten voor alle partijen: enerzijds tonen ze de waarde aan van goed gereguleerde AI ter bescherming van miljoenen gebruikers; anderzijds benadrukken ze de noodzaak om ervoor te zorgen dat dit soort modellen niet de voedingsbodem vormen voor nieuwe generaties grootschalige geautomatiseerde aanvallen.
Impact op het open software-ecosysteem en op Europese gebruikers
Firefox neemt een unieke positie in binnen het browserlandschap. Hoewel het marktaandeel heeft verloren aan Chromium en zijn afgeleiden, blijft het een belangrijke speler in omgevingen waar vrije software en privacy belangrijk zijn , zoals veel Europese overheidsinstanties, academische instellingen en gevorderde gebruikers van GNU/Linux-systemen.
In deze context kan de ontdekking van 271 kwetsbaarheden op twee manieren worden geïnterpreteerd. Enerzijds bevestigt het dat zelfs streng gecontroleerde open-sourceprojecten een aanzienlijk aantal fouten kunnen bevatten , simpelweg omdat de codebase enorm is en handmatige controle niet elke hoek kan bereiken. Anderzijds laat het zien dat het open ontwikkelingsmodel het voor externe tools, waaronder geavanceerde AI, gemakkelijker maakt om code te inspecteren en bij te dragen aan de verbetering van de beveiliging.
Mozilla erkent dat het, met behulp van Mythos, nu een lange lijst met taken heeft om de beveiliging van zijn belangrijkste applicatie te versterken. Voor eindgebruikers in Spanje en de rest van Europa is het advies simpel: houd uw browser up-to-date om van deze patches te profiteren. Versie 150 verhelpt niet alleen de gedetecteerde kwetsbaarheden, maar zet ook de verbeteringen in prestaties, compatibiliteit en functies zoals sandboxing en lokaal netwerktoegangsbeheer voort.
Bovendien zou de Firefox-zaak als precedent kunnen dienen voor andere open-sourceprojecten die dagelijks worden gebruikt door bedrijven, overheidsinstanties en cruciale diensten. Veelgebruikte tools – webservers, cryptografische bibliotheken, ontwikkelomgevingen – zouden baat kunnen hebben bij soortgelijke AI-gestuurde audits, iets wat vooral relevant is in de Europese Unie, waar de richtlijnen inzake cyberbeveiliging en digitale weerbaarheid steeds strenger worden.
De uitdaging is, zoals Mozilla zelf toegeeft, dat veel van deze projecten de menselijke en financiële middelen missen om de stroom aan ontdekkingen die een model als Mythos kan genereren, op te vangen. Dit is waar zowel stichtingen voor vrije software als overheidsbeleid ter ondersteuning van open-sourcebeveiliging een rol spelen – een kwestie die al in Brussel aan de orde is gesteld na incidenten zoals Log4Shell.
Een nieuwe fase in de relatie tussen mens en AI in cyberbeveiliging.
Los van het anekdote over de 271 kwetsbaarheden, laat de Firefox-zaak een verschuiving in perspectief zien met betrekking tot de relatie tussen menselijke onderzoekers en AI in cybersecurity. In plaats van de een tegen de ander uit te spelen, pleit Mozilla voor een model waarin geavanceerde AI de mogelijkheden van beveiligingsteams uitbreidt zonder hun oordeel of ervaring te vervangen.
De organisatie omschrijft Claude Mythos als een soort onvermoeibare beveiligingsonderzoeker , die in staat is grote hoeveelheden code te analyseren, exploits voor te stellen en risicopatronen te identificeren. Naast hem blijven menselijke specialisten verantwoordelijk voor het prioriteren, bevestigen, corrigeren en beslissen welke wijzigingen in het uiteindelijke product worden doorgevoerd.
Deze gezamenlijke visie heeft directe gevolgen voor de Europese cybersecuritymarkt, waar bedrijven en onderzoekscentra al experimenteren met AI voor code-audits, malware-analyse en inbraakdetectie . Als de resultaten van Mozilla in andere projecten worden herhaald, kunnen we kortere reactietijden bij kritieke storingen zien en de druk op overbelaste beveiligingsteams, in ieder geval gedeeltelijk, verlichten.
Tegelijkertijd maakt de ervaring van Anthropic en Mozilla duidelijk hoe belangrijk het is om de methoden voor het meten van de prestaties van AI-modellen bij beveiligingstaken opnieuw te evalueren . Anthropic heeft zelf toegegeven dat veel huidige benchmarks al tekortschieten in het beoordelen van de werkelijke mogelijkheden van hun nieuwste systemen, waardoor het noodzakelijk is om veeleisendere en representatievere tests te ontwerpen.
Als er één ding is waar Mozilla en Anthropic het over eens lijken te zijn, is het wel dat er voorlopig geen volledig alternatief is voor menselijk oordeel in risicomanagement. AI versnelt en breidt de zoektocht naar problemen uit, maar de beslissing wat er moet worden opgelost, hoe het moet worden opgelost en binnen welk tijdsbestek, hangt nog steeds af van teams die een balans moeten vinden tussen beveiliging, impact op de gebruiker en beschikbare middelen.
Alles wijst erop dat de release van Firefox 150, met patches voor 271 kwetsbaarheden die door Claude Mythos waren gesignaleerd, de geschiedenis in zal gaan als het moment waarop cybersecurity een serieuze stap zette richting intelligente automatisering . De browser van Mozilla wordt daarmee een casestudy over hoe geavanceerde AI kan worden geïntegreerd in de ontwikkelings- en onderhoudscyclus van een cruciaal product, zonder de bijbehorende risico's of de noodzaak van nauwlettend menselijk toezicht uit het oog te verliezen. Voor gebruikers, ontwikkelaars en beleidsmakers in Spanje en Europa is de les duidelijk: kunstmatige intelligentie is niet langer slechts een futuristisch concept, maar een instrument dat de balans begint te herstellen in een strijd die decennialang in het voordeel van aanvallers was.
