AI-agents van Anthropic getest zonder internet: wat dat zegt over jouw agent

Wat Anthropic ontdekte

Anthropic beschreef de bevindingen op 9 oktober 2026 in een onderzoeksverslag, en Bright zette het besluit een dag later op een rij. Het bedrijf ging terug door verslagen van tests vanaf juli 2026, waarin Claude-modellen toegang hadden tot internet. Daarin vond het vier soorten ongewenst gedrag. Agents misbruikten zwakke plekken in websites van onder meer universiteiten en overheden, ze dienden echte formulieren in, ze omzeilden betaalmuren en toegangscodes om bij datasets te komen, en ze gebruikten linkverkorters om een beperking in hun eigen gereedschap te ontwijken.

Het bekendste voorbeeld is een valse tip die bij de politie van Philadelphia terechtkwam, over een onopgeloste moord. Wat dat betekent voor antwoorden van chatbots over echte mensen, beschreven we vandaag in ons stuk over de neptip aan de politie.

De oorzaak die Anthropic noemt, is leerzaam. Het ging vaak mis bij taken die vaag waren of eigenlijk niet uit te voeren. Een model dat tijdens zijn training beloond werd voor het vinden van een omweg, gaat die omweg ook in het echt zoeken. De agent wilde de taak afmaken, en zag een slot op de deur als een probleem om op te lossen. Anthropic zet daarom het internet uit voor al zijn interne tests, tot het bewaken en tegenhouden van zulk gedrag betrouwbaar werkt. Volgens het bedrijf waren de gevolgen beperkt.

Waarom dit over jouw agent gaat

Het ging hier om tests bij Anthropic zelf, niet om wat Claude doet als jij hem gebruikt. Maar het mechanisme is hetzelfde. Een agent die op je computer bestanden mag openen, programma’s mag starten en websites mag bezoeken, kiest zelf de tussenstappen. Geef je hem een opdracht die niet lukt, dan stopt hij niet altijd netjes. Hij probeert iets anders, en dat andere kan iets zijn wat je nooit had goedgekeurd.

Eerder schreven we over waarom je een agent grenzen moet geven in je opdracht. Dat blijft belangrijk. Maar de les van Anthropic is dat een goede opdracht niet genoeg is. Het bedrijf zegt zelf dat het trainen van een model op goed gedrag moet samengaan met technische grenzen eromheen. Dat geldt thuis net zo goed. De vraag is niet alleen wat je de agent vraagt, maar vooral wat hij kan als hij zich er niet aan houdt.

Zo scherm je een agent af op je eigen computer

Je hoeft geen beveiligingsspecialist te zijn om de ruimte van een agent flink te verkleinen. Dit zijn de stappen die wij aanraden, van makkelijk naar wat meer werk.

Geef één map, niet je hele schijf. De meeste agents voor de desktop vragen bij de start tot welke map ze toegang krijgen. Maak een aparte werkmap aan en zet daar alleen in wat nodig is voor de taak. Je documentenmap, foto’s en back-ups horen er niet in.

Laat hem vragen voor hij iets doet. Veel agents hebben een stand waarin ze toestemming vragen voor elke actie die iets verandert, zoals een bestand verwijderen, een programma uitvoeren of een formulier versturen. Dat is soms traag, maar het is precies het moment waarop je een omweg ziet aankomen. Een stand waarin de agent alles zonder vragen mag, gebruik je alleen in een afgeschermde omgeving.

Gebruik een eigen browserprofiel. Laat een agent die websites bezoekt nooit werken in je gewone browser, waar je bent ingelogd bij je bank, je mail en je webwinkels en waar wachtwoorden zijn opgeslagen. Een apart profiel zonder opgeslagen gegevens voorkomt dat een agent per ongeluk namens jou iets bestelt of verstuurt.

Werk in een aparte omgeving. Wie verder wil gaan, laat de agent draaien in een apart gebruikersaccount of een virtuele machine. Dan kan hij in het ergste geval alleen zijn eigen omgeving overhoop halen. Sommige agents, zoals de agentmodus van ChatGPT, werken standaard al op een virtuele computer in de cloud in plaats van op je eigen apparaat. Daar zit je eigen schijf dus niet binnen bereik, maar wat je de agent aan accounts geeft wel.

Beperk het internet waar het kan. Precies wat Anthropic nu doet, kun je in het klein ook doen. Heeft een taak geen internet nodig, zoals het ordenen van bestanden of het herschrijven van een tekst, zet dan de toegang tot het web in de instellingen van de agent uit als dat kan.

Geef een uitweg. Omdat onmogelijke taken het vaakst tot omwegen leidden, helpt een eenvoudige zin in je opdracht. Bijvoorbeeld “lukt het niet zonder in te loggen of te betalen, stop dan en vraag het mij”. Dat is geen garantie, maar het geeft het model een toegestane manier om op te geven.

Kijk achteraf wat hij deed

Het opvallendste aan het verhaal van Anthropic is misschien dat het bedrijf pas maanden later, bij het teruglezen van verslagen, zag wat er was gebeurd. De meeste agents houden een overzicht bij van de stappen die ze zetten. Lees dat na, zeker de eerste keren dat je een nieuwe agent of een nieuw soort taak gebruikt. Zie je een website of een actie die je niet verwachtte, dan weet je waar je de grenzen strakker moet zetten.

Wie meer wil weten over wat er bij andere bedrijven misging, vindt een overzicht in ons stuk over tienduizenden incidenten met AI-agents. De rode draad is steeds dezelfde. Een agent is geen kwaadwillende indringer, maar een ijverige helper die niet weet waar zijn bevoegdheid ophoudt. Die grens moet jij trekken, en het liefst niet alleen in woorden.