Claude Opus 5: waar security-specialisten wel en niet iets aan hebben

Anthropic bracht op 24 juli 2026 Claude Opus 5 uit. De meeste berichtgeving gaat over prijs en codeerprestaties. Voor ons vak zit het interessante deel ergens anders: in de asymmetrie tussen het vinden van kwetsbaarheden en het exploiteren ervan. Die asymmetrie is meetbaar, staat in de eigen documentatie van Anthropic, en heeft praktische gevolgen voor hoe je AI in een securityworkflow inzet.

Wat er precies is uitgekomen

De harde feiten, uit de aankondiging en de system card:

• Opus-tier model, 5 dollar per miljoen input tokens en 25 dollar per miljoen output tokens. Gelijk aan de voorganger Opus 4.8.
• Een instelbare effort-instelling, van laag tot maximaal, waarmee je intelligentie afweegt tegen tokenverbruik en snelheid.
• Sterker in het verifiëren van eigen werk en het herstellen van fouten zonder tussenkomst. Dat is relevant bij lange agentic runs, waar het model anders halverwege vastloopt en je het handmatig moet bijsturen.
• Er is een Fast mode die ongeveer 2,5 keer zo snel draait tegen dubbele prijs.
• Geen data retention-eis bij algemeen gebruik. Dat verschil met de zwaardere Mythos-klasse modellen, waar verplichte retentie voor safety monitoring geldt, is niet triviaal als je onder NDA met klantdata werkt.

Positionering van Anthropic zelf: dicht bij de intelligentie van hun topmodel Fable 5, tegen ongeveer de helft van de kosten.

Het echte verhaal: vinden versus exploiteren

Anthropic traint Opus 5 naar eigen zeggen bewust niet op cybertaken. Wat het model op dit vlak kan, komt voort uit algemene capability-winst. Toch is het aantoonbaar beter geworden.

De kern zit in hun OSS-Fuzz evaluatie, die meet hoe goed een model zonder uitgebreide menselijke sturing kwetsbaarheden vindt en er vervolgens een exploit voor bouwt. Uitkomst: Opus 5 komt dicht in de buurt van hun sterkste model bij het identificeren van kwetsbaarheden, maar blijft er substantieel bij achter zodra het om exploitontwikkeling gaat. Vinden lukt goed. Wapenen niet.

Dat patroon wordt breder bevestigd. Naast OSS-Fuzz rapporteert Anthropic evaluaties op ExploitBench, Firefox 147 en twee nieuwe benchmarks, CyScenarioBench en ExploitGym, plus externe cyber range-tests door het UK AI Security Institute. Het beeld is consistent: cybercapaciteit boven Opus 4.8, onder de Mythos-klasse, met de grootste winst aan de detectiekant.

Wie wel eens een 0-day van crash naar reliable RCE heeft gebracht, herkent waarom. De stap van “hier klopt iets niet” naar “hier heb ik betrouwbare code-uitvoering” bestaat uit heap-manipulatie, geheugenlayout, mitigatiebypasses en tientallen iteraties tegen een omgeving die je maar deels kunt observeren. Dat is precies het type werk waarin taalmodellen nog structureel tekortschieten.

Wat de safeguards in de praktijk doen

Hier moet je rekening mee houden als je iets bouwt op deze modellen.

De cyberclassifiers op Opus 5 zijn duidelijk minder streng dan die op Fable 5. Anthropic verwacht dat ze ongeveer 85 procent minder vaak ingrijpen. Concreet is toegestaan: het zoeken van kwetsbaarheden in broncode. Geblokkeerd blijven: binary-based vulnerability scanning, penetratietesten en exploitgeneratie.

Geflagde verzoeken worden in Claude.ai, Claude Code en Cowork standaard doorgezet naar Opus 4.8. Op de API kun je die fallback expliciet aanzetten.

Twee praktische gevolgen:

1. Bouw geen pipeline die uitgaat van ononderbroken toegang tot hetzelfde model. Als een deel van je verzoeken stilletjes terugvalt naar een ander model, krijg je inconsistente outputkwaliteit zonder dat je het merkt. Log welk model daadwerkelijk antwoordde.
2. Het onderscheid dat de classifier maakt is niet “legitiem versus kwaadaardig”, maar “type taak”. Een geautoriseerde pentest met getekende opdracht valt in dezelfde categorie als misbruik. Reken er dus niet op dat een goede intentieverklaring in je prompt iets oplevert.

Waar het in een securityworkflow rendeert

Op basis van waar het model aantoonbaar sterk in is, en waar de safeguards ruimte laten:

• Source code review en het opsporen van logicafouten, authenticatie- en autorisatiefouten en onveilige defaults
• Rapportage: bevindingsteksten, impactonderbouwing, CVSS-scoring consistent houden over een heel rapport
• Tooling bouwen, parsers, scan-orkestratie, dashboards
• Triage van scanneroutput, ruis wegfilteren en bevindingen correleren over verschillende bronnen
• Detection engineering en loganalyse, inclusief het schrijven en toetsen van detectieregels
• Threat modeling en architectuurreview, waar je vooral redeneervermogen nodig hebt en geen exploit

Waar het niet werkt:

• Hands-on exploitatie. Dat wordt geblokkeerd, hoe legitiem je opdracht ook is
• Scopebeslissingen en risicoafweging in klantcontext. Het model kent de businessimpact van een bevinding niet
• Alles waar aansprakelijkheid aan hangt. Een rapport gaat de deur uit met de naam van een tester eronder, niet die van een model

Het risicoperspectief

Als het vinden van kwetsbaarheden goedkoper wordt en het exploiteren ervan duur blijft, verschuift het evenwicht. Voor verdedigers is dat op korte termijn gunstig: je kunt je eigen code laten doorlichten voordat iemand anders dat doet, tegen kosten die een paar jaar geleden onrealistisch waren.

Maar dezelfde daling geldt aan aanvallerskant. De praktische consequentie is dat de tijd tussen het publiek worden van een kwetsbaarheid en het beschikbaar zijn van bruikbare exploitatie korter wordt, en dat het aantal bekende kwetsbaarheden per codebase omhoog gaat. Je patchvenster wordt strakker, en je moet scherper prioriteren welke bevinding er echt toe doet.

Belangrijke kanttekening: dit is een inschatting, geen meting. De gepubliceerde benchmarks gaan over het vinden van kwetsbaarheden in software. Er zijn geen publieke cijfers over hoe deze modellen presteren op een echte opdracht in een Active Directory-omgeving of een M365-tenant, waar het werk voor een groot deel bestaat uit configuratiefouten, identiteitspaden en misbruik van legitieme functionaliteit. Wie beweert dat AI dat werk nu overneemt, heeft daar geen data voor.

Conclusie

Opus 5 is geen pentester. Het is wel een serieuze versterking van de analytische helft van securitywerk: lezen, redeneren, correleren en schrijven. Dat is toevallig ook de helft waar de meeste uren in gaan.

De juiste vraag is niet of je AI inzet, maar of je weet welk deel van je proces je eraan uitbesteedt en welk deel bij een mens hoort. Wij houden die grens bewust scherp.

Wil je sparren over hoe dit past in jullie securitytesten of ontwikkelproces? Plan een gesprek van 30 minuten: https://calendly.com/rootsec/30min?back=1