De komst van Anthropic’s Claude Mythos in april 2026 zorgde direct voor onrust in de cybersecuritywereld. Voor securityverantwoordelijken was de verleiding groot om meteen nieuwe tools aan te schaffen. Anderen haalden hun schouders op en werkten rustig verder aan hun eindeloze lijst met openstaande CVE’s. Geen van beide reacties doet recht aan wat er werkelijk aan de hand is. De realiteit is interessanter en heeft grotere gevolgen.
Mythos heeft cybersecurity niet op zijn kop gezet. Het model maakte vooral duidelijk – voor zover dat nog nodig was – hoeveel kwetsbaarheden er al waren. En de belangrijkste oplossing daarvoor is niet degene waar momenteel het meest over wordt gesproken.
De achterhaalde aanname achter vulnerability management
Jarenlang ging de sector uit van een geruststellende aanname: tussen de ontdekking van een kwetsbaarheid en het moment waarop aanvallers die daadwerkelijk konden misbruiken, zat voldoende tijd om een patch uit te rollen. Eerst maanden, later weken. Maar die tijd was nooit ingebakken in het dreigingsmodel. Aanvallers hadden simpelweg beperkte capaciteit. Mythos heeft die beperking grotendeels weggenomen.
Volgens Anthropic kan Mythos binnen enkele uren zelfstandig kwetsbaarheden identificeren en misbruiken. Daarmee verdwijnt een tijdsvenster waarop complete securityprogramma’s zijn ingericht.
De cijfers daarachter zijn zorgwekkend. Gartner bevestigde dat minder dan 1% van de door Mythos ontdekte kwetsbaarheden is gepatcht. Dat probleem is niet door Mythos ontstaan. Het gaat om een al bestaande achterstand in het patchen van kwetsbaarheden, die nu potentieel binnen bereik komt van iedere aanvaller met toegang tot een vergelijkbaar AI model. Onderzoek van Kenna Security en het Cyentia Institute laat bovendien zien dat voor 77% van de bekende kwetsbaarheden nooit is waargenomen dat ze daadwerkelijk zijn misbruikt. Het idee dat organisaties simpelweg alles kunnen vinden en vervolgens alles kunnen patchen, was altijd al schijnveiligheid. Mythos heeft dat nu pijnlijk zichtbaar gemaakt.
Maar één ding heeft Mythos niet veranderd: het echte knelpunt was nooit het vinden van kwetsbaarheden. En ook snelheid was niet de kern van het probleem. De moeilijkste vraag binnen vulnerability management is altijd geweest: van de 10.000 CVE’s in mijn IT-omgeving, welke zijn daadwerkelijk misbruikbaar via het internet, binnen mijn specifieke infrastructuur en zonder dat andere beveiligingsmaatregelen een aanval tegenhouden?
Mythos heeft die vraag urgenter gemaakt, maar heeft hem niet beantwoord.
Context is de ontbrekende factor en CVSS biedt die niet
Veel organisaties zullen op Mythos reageren door nog meer scanners in te zetten. Daarmee trekken ze de verkeerde conclusie. CVSS-scores vertellen hoe ernstig een kwetsbaarheid in theorie is. Ze vertellen niet of het getroffen systeem vanaf het internet bereikbaar is, of je detectiecapaciteit een aanval zou opmerken, of de kwetsbare dienst achter vier lagen netwerksegmentatie zit, of dat misbruik überhaupt gevolgen heeft voor de bedrijfsvoering.
Context maakt hier het verschil. Concreet betekent dat dat je iedere kwetsbaarheid realtime moet kunnen koppelen aan je daadwerkelijke aanvalsoppervlak, met de mogelijkheid om direct in te grijpen. Die context krijg je niet van een scanner die één keer per week een scan uitvoert en vervolgens een CSV-bestand exporteert. Als een kwetsbaarheid binnen vier uur kan worden misbruikt, is een wekelijkse scan geen serieuze beveiligingsmaatregel. Het is een excuus om de andere kant op te kijken.
Daarom is vulnerability detection direct op het endpoint belangrijker dan ooit. Een endpoint weet welke software daadwerkelijk is geïnstalleerd, welke versie actief is en welke systemen met elkaar communiceren. Alleen op basis daarvan kun je geloofwaardig prioriteiten stellen.
Het rechtstreeks koppelen van vulnerability scanning aan een EDR-agent is daarom geen kwestie van architectuurvoorkeur. In een wereld na Mythos is het een randvoorwaarde. Hoe snel je op een kritieke CVE kunt reageren, hangt rechtstreeks af van hoe snel je kunt vaststellen of die kwetsbaarheid voorkomt in een actief onderdeel van je omgeving. Losstaande tools kunnen dat niet met de snelheid die het huidige dreigingslandschap vereist.
Organisaties die in dit nieuwe tijdperk overeind blijven, hebben bewust afscheid genomen van het idee dat ze alles moeten patchen. Zij hebben de capaciteit opgebouwd om de vijftig kwetsbaarheden te identificeren die voor hun specifieke aanvalsoppervlak daadwerkelijk relevant zijn, en die vervolgens gericht op te lossen. De rest is ruis.
Zoals Erik Nost, senior analist bij Forrester, al opmerkte: de toekomst van proactieve security draait niet om het vinden van méér kwetsbaarheden, maar om het sneller oplossen van de juiste.
Het nieuwe normaal
Mythos is slechts het begin van een bredere ontwikkeling. Enkele dagen na de aankondiging van Anthropic onthulde OpenAI GPT-5.4-Cyber, een variant die specifiek is afgestemd op securityonderzoek en inmiddels via het Trusted Access for Cyber-programma beschikbaar is voor duizenden geverifieerde securityprofessionals. Sindsdien heeft OpenAI nieuwe versies uitgebracht die Mythos Preview overtreffen in de resultaten op ExploitBench.
Recent meldde SC World bovendien dat een Chinees open-weight model, uitgebracht onder een MIT-licentie, op specifieke benchmarks voor kwetsbaarheidsdetectie al beter presteert dan de meest geavanceerde LLM’s – tegen ongeveer een achtste van de kosten.
De toegangsbeperkingen die Anthropic rond Mythos heeft ingebouwd, leveren tijd op. Ze veranderen de ontwikkeling zelf niet. De technologie wordt breder beschikbaar, de kosten dalen en het aantal modellen neemt toe. Securityteams die hun strategie baseren op wat Mythos vandaag kan, lopen daarom nu al achter. Het juiste uitgangspunt is dat AI-ondersteunde ontdekking van kwetsbaarheden op grote schaal een permanent onderdeel van het dreigingslandschap is geworden. Voor aanvallers én verdedigers.
Vulnerability management was nooit het einddoel
De echte verschuiving die LLM’s en agentic AI veroorzaken, zit niet in de manier waarop kwetsbaarheden worden ontdekt. De grootste verandering is de snelheid waarmee een aanval zich kan ontwikkelen zodra een aanvaller toegang heeft gekregen.
AI-agents verleggen daarbij ook de grenzen vanuit endpointperspectief. Waar browsers en servers bijvoorbeeld voorheen door duidelijke barrières van elkaar gescheiden waren, kunnen LLM-agents die grenzen steeds gemakkelijker laten verdwijnen. Autonome agents kunnen kwetsbaarheden aan elkaar koppelen, privileges verhogen en data exfiltreren in aanvalsketens waarvoor voorheen een team van ervaren aanvallers dagen nodig had.
AI Detection and Response wordt daarmee de volgende ontwikkeling voor securityleveranciers. Het bouwt voort op dezelfde EDR-architectuur die endpointsecurity heeft veranderd, maar breidt die uit naar de laag waarop AI-systemen redeneren, handelen en beslissingen nemen.
Dat is de categorie waar cybersecurityleveranciers naartoe moeten werken: AIDR, Artificial Intelligence Detection and Response. Niet als marketingterm, maar als fundamenteel onderdeel van de architectuur. De logica is eenvoudig: als aanvallers agentic AI inzetten om de tijd tussen toegang en impact drastisch te verkorten, moeten detectie- en responsesystemen in hetzelfde tempo kunnen opereren.
Dat vraagt om AI-agents die realtime triage uitvoeren, signalen uit de volledige IT-omgeving correleren zonder eerst op een analist te wachten en alleen die incidenten escaleren waarvoor menselijk oordeel daadwerkelijk nodig is.
In die context wordt ook de integratie tussen VOC en SOC essentieel: een directe verbinding tussen de data van het Vulnerability Operations Center en de workflows van het Security Operations Center. De tijd tussen “we hebben een kritieke CVE geïdentificeerd” en “het SOC zoekt actief naar tekenen dat deze kwetsbaarheid wordt misbruikt” moet worden teruggebracht van dagen naar minuten.
Organisaties die deze functies nog altijd gescheiden uitvoeren en ze via een wekelijks rapport met elkaar verbinden, beheersen hun risico niet. Ze beheren vooral de schijn dat ze dat doen.
Wat hetzelfde blijft
Mythos vraagt niet om een compleet nieuw securityparadigma. Het dwingt organisaties om bestaande securityprincipes uit te voeren met een snelheid en precisie die de meeste nog niet eerder hebben bereikt.
Volledig inzicht in assets. Prioritering op basis van context. Detectie direct op het endpoint. Geautomatiseerde triage. Continue monitoring die het tempo van de dreiging volgt, niet de agenda van het securityteam. En een detectie- en responselaag die kan blijven functioneren wanneer een door AI versterkte aanvaller sneller beweegt dan een menselijke analist ooit kan.
Organisaties die vóór april 2026 al in deze fundamenten investeerden, hoeven nu niet halsoverkop in actie te komen. Zij weten al welke 1% van hun kwetsbaarheden voor Mythos interessant zou zijn. Ze weten welke alerts onmiddellijk actie vereisen en welke kunnen wachten.
Dat voordeel komt niet voort uit één product. Het is het resultaat van de juiste architectuurkeuzes, gemaakt voordat de urgentie voor iedereen zichtbaar werd.
De belangrijkste vraag voor securityverantwoordelijken is daarom niet wat Mythos heeft veranderd. De vraag is hoeveel van hun huidige beveiligingsstrategie afhankelijk was van tijd die ze nu niet meer hebben.
Dit is een ingezonden bijdrage van HarfangLab. Via deze link vind je meer informatie over de mogelijkheden van het bedrijf.