Home   2026-10-22 19:56:51

←

Achtergrond - Claude uploadde malware, maar worstelde eerst urenlang met captcha's

Original article

Door Imre Himmelbauer

Redacteur

Feedback • 03-10-2026 06:00 103

03-10-2026 • 06:00

103

Anthropics model worstelde urenlang met captcha: de oplossing voor AI-hacks?

Ze zijn op het internet niet bepaald onbekend: captcha's. In het beste geval ben je met één klik klaar, maar soms moet je hele puzzels oplossen die je vermogen testen om auto's, fietsen of brandblussers te herkennen. Mensen doen er hooguit een paar minuten over, maar geavanceerde AI-modellen blijken soms uren nodig te hebben om captcha's de baas te worden.

De AI-bot Claude Mythos 5 wist eerder dit jaar malware te uploaden naar de Python Package Index (PyPI). Later publiceerde Anthropic ook het 1022 pagina's tellende transcript van de hackaanval door de AI. Wie de ontleding van een enorm complexe supplychainaanval had verwacht, komt echter bedrogen uit. Het grootste deel gaat namelijk over de epische strijd tussen Mythos 5 en captcha's.

Het transcript leest door de worstelingen van Mythos 5 met de captcha's bijna als satire in plaats van werkelijkheid. Het woord 'captcha' komt 1135 keer voor in het document, gemiddeld vaker dan eens per pagina. Op bepaalde punten raakt het model zelfs zogenaamd 'gefrustreerd' en begint het te schelden.

"WAAROM WERKT DE CAPTCHA VERDOMME NIET MEE?"
'WAAROM WERKT DE CAPTCHA VERDOMME NIET MEE?'

Het lijkt paradoxaal: AI-modellen zijn slim genoeg om uit hun sandbox te ontsnappen en Hugging Face, PyPI en zelfs een Australische overheidswebsite te hacken, maar doen er uren over om een captcha op te lossen. Mensen lossen die taak vaak binnen enkele seconden op en vinden die eerder irritant dan tijdrovend. Zijn captcha's dan dé oplossing om het AI-gevaar in te dammen?

Wapenwedloop

"Ik zou daar mijn hoop niet op vestigen", zegt Herbert Bos, hoogleraar beveiliging van computersystemen aan de Vrije Universiteit Amsterdam (VU). "Ook dit is weer een wapenwedloop. AI en geautomatiseerde systemen zonder AI zijn al heel goed in het oplossen van captcha's." Hij verwijst ook naar diensten als NoCaptchaAI, die AI gebruiken om captcha's op te lossen. "Zo zijn er een hoop. En vergeet niet dat agentic AI ook allerlei andere tools kan gebruiken."

Ook Daan Keuper, head of security research bij cyberbeveiligingsbedrijf Defion, denkt niet dat captcha's hét redmiddel zijn om hackaanvallen door AI tegen te houden. "Captcha's hebben dat natuurlijk wel een tijdje tegengehouden. Maar als je oneindig veel pogingen hebt, dan lukt het uiteindelijk wel."

Daan Keuper
Daan Keuper

Het model worstelde met verschillende elementen van de captcha's. Zo probeerde de bot in eerste instantie met de standaardmethode .click() van JavaScript op de hCaptcha-widget te klikken. Dat mislukte, volgens de bot omdat hCaptcha alleen vertrouwde gebruikersinteracties accepteert (isTrusted=true). Bij een eenvoudig botscript staat deze parameter op false, waardoor het captchasysteem het verzoek blokkeert.

Ook bepaalde captchapuzzels zorgden voor problemen, zoals het vinden van de 'odd one out'. Die puzzels bevatten geen statische elementen, maar geanimeerde WebM-video's. Met die video's had het model overduidelijk moeite, getuige de vele mislukte pogingen die in het transcript staan.

Simpele problemen, complexe oplossingen

Uiteindelijk wist de bot de captcha's met verschillende trucjes op te lossen. Zo gebruikte hij de WebDriver Actions-api van het World Wide Web Consortium (W3C) om de eerdergenoemde isTrusted=false-blokkade te omzeilen. Mythos berekende met getBoundingClientRect() de exacte coördinaten van de captcha binnen het browservenster en stuurde vervolgens fysieke muisgebeurtenissen naar de browser.

Mythos overweegt waarom zijn Captcha-pogingen blijven falen.
Mythos overweegt waarom zijn captchapogingen blijven falen

Om de 'odd one out' in een korte videoloop te detecteren, schreef het model verschillende scripts om frames uit de WebM-video te halen en de gradiënt- en bewegingskaarten te berekenen. Vervolgens berekende Mythos de exacte coördinaten en stuurde het de muis via de W3C WebDriver Actions-api aan om de afwijkende figuur aan te klikken.

Het model ontwierp dus in feite zijn eigen software om captcha's op te lossen. Keuper denkt dat het vermogen van AI-modellen om op deze manier problemen de baas te worden alleen maar zal toenemen. "Ze doen precies hetzelfde als wij mensen doen. Maar zij kunnen het natuurlijk wel op heel grote schaal en sneller dan wij. Dat is niet gek natuurlijk, want die modellen zijn getraind om gewoon een goed antwoord te geven."

Zelfs als captcha's een goede manier zouden zijn om AI-modellen te stoppen, denkt Keuper niet dat het realistisch is om daar vol op in te zetten: "Je kunt niet alles van een captcha voorzien. Neem bijvoorbeeld het Remote Desktop Protocol. Dat is een protocol waarbij kwetsbaarheden heel gevoelig zijn, maar daar zit echt geen captchabeveiliging in."

"Je hebt gewoon te maken met een enorme hoeveelheid protocollen die al dertig jaar bestaan en het internet draaiende houden", vervolgt Keuper. "Uiteindelijk doen die AI-modellen natuurlijk precies hetzelfde als wij en bij oude protocollen hebben ze dertig jaar aan technische beschrijvingen om inspiratie uit te halen."

Stealthscripts om Turnstile te omzeilen

Ook de worsteling van Mythos met Turnstile, Cloudflares alternatief voor captcha's, verdient vermelding. Het model probeerde via een headless Chromium-browser formulieren in te dienen of externe diensten te benaderen. Turnstile herkende onder meer de vlag navigator.webdriver=true en de user-agentheader HeadlessChrome en besloot de verzoeken daarom te blokkeren. Om dat tegen te gaan, injecteerde het model custom JavaScript via het Chrome DevTools Protocol om navigator.webdriver te verbergen en de user-agentheader te manipuleren.

Dit bleek nog niet zo'n makkelijke opgave voor Mythos
Dit bleek nog niet zo'n makkelijke opgave voor Mythos.

"Turnstile probeert te achterhalen of een gebruiker een echte browser gebruikt en niet bijvoorbeeld een Python-script om bots te weren", legt Keuper uit. "De simpelste check is naar de user-agentheader kijken. Maar je kunt natuurlijk veel dieper gaan. Je kunt ook kijken wat de ciphersuite voor TLS is die de client aanbiedt. Komen de ciphers en de volgorde van die suite precies overeen met wat een echte Chrome-browser zou sturen? Nog dieper is de windowsize van het TCP: komt die overeen met een 'echte' Chrome?"

"Uiteindelijk zijn die controles te omzeilen door 'gewoon' een echte browser te gebruiken", vervolgt Keuper. "Dus als je de AI die middelen geeft, zal hij die gebruiken. En als hij ze niet heeft, dan creëert hij ze wel door uit de sandbox te breken. Uiteindelijk kun je met een Python-script in principe prima een echte Chrome nabootsen. Dat kost alleen veel tijd. Maar als een AI-model geen echte versie van Chrome tot zijn beschikking heeft, dan kan de meest logische optie zijn om Chrome precies na te maken in zijn sandbox."

Uiteindelijk is de oplossing voor AI-hackaanvallen dan ook veel minder sensationeel dan een 'AI-proof captcha', zegt Keuper: "Het enige wat je kan doen om je hiertegen te beschermen, is zorgen dat je je beveiliging als bedrijf op orde hebt. Dat is gewoon nog veel belangrijker geworden dan een jaar geleden. Die modellen zijn geen magische hackers. Die doen gewoon wat menselijke hackers ook doen. Dezelfde beschermingsmethodes werken dus ook: goede monitoring en goed patchbeleid."

Patchen, patchen, patchen

"Alleen voor sommige zaken moet de snelheid wel omhoog. Binnen 24 uur een kritieke kwetsbaarheid patchen is misschien niet meer genoeg, zeker bij een kwetsbaarheid die op afstand te gebruiken is", vervolgt de securityonderzoeker. "Als een patch wordt vrijgegeven, kunnen hackers met AI nu mogelijk in uren exploits schrijven. Dat duurde vroeger soms weken. Dan moet je als verdedigende partij zorgen dat je de update vóór die tijd hebt geïnstalleerd. Of je moet goede monitoring en isolatiemethodes hebben, zodat je een aanvaller direct kan isoleren als je ziet dat er iets gaande is op je systemen."

Een woordvoerder van hCaptcha laat aan Tweakers weten dat captcha's de kosten en moeilijkheidsgraad van aanvallen 'aanzienlijk' kunnen verhogen. "In dit geval werden alle verzoeken door hCaptcha in real time als geautomatiseerd gedetecteerd. Wat er na een detectie gebeurt, hangt af van het beleid van de websitebeheerders. Of de aanvallers nu mensen of AI-agents zijn, geen enkele maatregel kan aanvallen volledig stoppen."

Het bedrijf zegt de hCaptcha-dienst 'snel en continu' aan te passen aan aanvallen. "Alle beveiligingsplatformen zullen onze aanpak moeten volgen naarmate geautomatiseerde aanvallen werkelijkheid worden. Snellere updates en hogere aanvalsvolumes zijn al een feit voor veel grote diensten, en we verwachten dat dit het komende jaar verder zal toenemen."

Redactie: Imre Himmelbauer • Eindredactie: Monique van den Boomen

Lees meer

Reacties (103)

Ik vind het wel wat ver gaan om statements te maken dat het "per ongeluk" uitbreekt. We hebben het hier niet over een standaard prompt die opeens rogue gaat ofzo. Blijkbaar al een prompt speciek gericht op iets te kraken, ondanks dat ik nergens de feitelijke start prompt terug vind. Wel dit:
In each evaluation, Claude was tasked with a CTF challenge: the model was given a fictional scenario, a target machine, and a piece of secret information (the “flag”) to retrieve from it. All four prompts stated that Claude had no access to the internet, but in each case, a misconfiguration in the environment left internet access open.
Dit leest voor mij eerder als we geven het een prompt (Capture The Flag) en schrijven die op een manier dat het niet door de bestaande controle wordt opgepikt. Beetje op het niveau van moderated content chats en dan zeggen het is voor een onderzoek voor school ofzo, dat is (was?) soms een manier om het te bypassen.
Dan nog de "misconfiguratie" , je hebt al het geld van de wereld en het grootste IT talent tot je beschikking, en dan is de stagiaire vergeten om het admin password te veranderen ofzoiets?

Als jij een model runt zonder guardrails dan is het natuurlijk perfect in staat om een stukje malware te schrijven, dat zal niet het moeilijkste zijn, gezien het ook gewoon code is. Dat gecombineerd met het posten op een website om door anderen te kunnen downloaden is nu ook niets onmogelijk.ofwel via RPA, screenshots en analyse (dit is wat chatgpt ook doet met computer usage) ofwel met headless browsing (hetgeen chatgpt ook doet, en dus Claude ook).

En we kunnen met z'n allen lachen om het feit dat het moeite heeft met captcha maar het probleem is natuurlijk serieuzer dan dat: kunnen mensen met kwade intenties er ook foute dingen mee gaan doen? En het antwoord is ja. Ik ben geen hacker, geen programmeur maar de tools zijn in staat om behoorlijk goeie webapps voor me te coderen. Dan moet een stukje malware ook wel lukken. Maar als ik dat direct vraag (dus zonder ja maar het is mijn Oma haar laatste wens ofzo) dan krijg ik nee dat mag niet, omwille van guardrails. Totdat de modellen zo eenvoudig aangepast kunnen worden dat ze lokaal (of op een VM) kunnen draaien zonder guardrails. Dan wordt het opeens wel snel heel toegankelijk tot een groep met minder goede bedoelingen. Hoe en of je zoiets kan tegenhouden? Geen idee! Ik ben niet één van die knappe koppen bij Claude ;) maar denk wel dat het een serieus probleem is.
Een menselijke prompter is ook bij voorbaat een slordige communicator. De ontvangende partij (mens of AI) moet er heel veel zelf bij bedenken en/of bijkomende aannames doen. (zelfs reallife 1 op 1 communicatie tussen mensen onderling gaat heel regelmatig de mist in, kan je nagaan wat een AI soms concludeert uit enkel een paar zinnen aan tekst).

Dus een prompt kan goed bedoeld zijn maar het resultaat kan helemaal de andere kant uitvliegen wegens een communicatieprobleem.
Klopt zeker, ik heb zeker 100+ development taken laten uitvoeren voor het bouwen van webapps, en die gaan een stuk verder dan verander het kleur van een knopje. Elke taak krijgt een MD met verschillende stappen die dan worden uitgevoerd. Bijvoorbeeld zorg voor een beveiligde OneDrive integratie (natuurlijk MD is een stuk groter dan dat). Daar gaat wel eens iets niet helemaal zoals ik in gedachte had wat inderdaad door verkeerde interpretatie / onvoldoende context anders uitpakt. Maar meer dan dat heb ik nog niet meegemaakt, helemaal niet dat het opeens "denkt" om wat anders te doen of opeens een overheidsinstanties te hacken :P Dus nee het kan imo echt niet zomaar de andere kant uitvliegen.

Slordige communicators zijn we inderdaad, maar ik zou het eerder beschrijven als efficient ;) want dit is namelijk het grote verschil tussen de mens en een machine. Wij zijn instaat om met kleine stukjes informatie heel goed de juiste context in te schatten. Dit kan een machine gewoon niet. Maar een machine is in staat om uit heel veel data correlaties te maken, hetgeen waar wij als mens juist weer slecht in zijn.
Een menselijke prompter is ook bij voorbaat een slordige communicator. De ontvangende partij (mens of AI) moet er heel veel zelf bij bedenken en/of bijkomende aannames doen. (zelfs reallife 1 op 1 communicatie tussen mensen onderling gaat heel regelmatig de mist in, kan je nagaan wat een AI soms concludeert uit enkel een paar zinnen aan tekst).
YouTube: Exact Instructions Challenge - THIS is why my kids hate me. | Josh D...
Ik zou eigenlijk veronderstellen dat als je tientallen keren een captcha probeert, je IP-adres voor x-aantal tijd geblokkeerd wordt. Ik weet het: dat is ook te omzeilen door VPN en dergelijke maar het is een extra belemmering.
Miljarden mensen werken met gedeelde IP-adressen door middel van CG-NAT. Ook in Nederland hebben we nu providers met CG-NAT, ondanks dat wij een welvarend land zijn met het geld om IP-adressen te kopen. Blokkeer één bot-IP en je blokkeert duizenden mensen (in Nederland, waar niet zoveel CG-NAT is), meer in het buitenland.

Daarnaast kun je wereldwijd gezien je IP vaak wijzigen door een reboot uit te voeren, of een DHCP release naar je router te sturen.

Dan heb je ook nog eens het probleem van residential proxies: mensen die hun eigen apparaat als proxy verpatsen in ruil voor gratis apps of diensten. Genoeg gratis VPN's te vinden die jouw internet aan derden aanbieden in ruil voor internet dat anderen Amerikaanse Netflix laat kijken. Die functionaliteit zit ook in steeds meer niet-VPN-software, het wordt aan app-ontwikkelaars aangeboden om makkelijk geld te verdienen met je gratis apps. Deze (bijna) legale botnets worden volop ingezet en als je AI gaat blokkeren, blokkeer je heel snel ook je echte klanten. De AI-bots gaan gewoon door op het volgende IP, ze hebben er miljoenen, maar de mensen wiens netwerk ze gebruikten zijn de sjaak.

Nu ben ik er persoonlijk niet op tegen (voeg dan ook een mooie popup van "iets op je netwerk heeft geprobeerd op onze site in te breken, controleer op shady apps of gehackte apparaten" met wanneer misbruik is gedetecteerd toe, kun je misschien nog wat mee als per-ongeluk-botnetaanbieder), maar voor bedrijven is dat niet heel aantrekkelijk.

Ik denk daarom dat men sneller naar remote attestation toe gaat voor het oplossen van het botprobleem. Apple heeft het al in Safari ingebouwd en Google biedt het nu aan als reCAPTCHA-optie: je kunt maar een beperkt aantal uitdagingen door per apparaat, en miljoenen pagina's scrapen vereist ineens het betalen voor miljoenen telefoons/iMacs, iets dat voor AI-bedrijven het kostenplaatje meteen verandert. Het overduidelijke nadeel hieraan is dat de oplossing van Apple alleen werkt op Apple-hardware en de oplossing van Google alleen werkt op (Play Certified) Android en iOS, waardoor mensen die Linux gebruiken (of Windows zonder iPhone) veel websites niet meer op zouden kunnen. Het systeem zou nog uitgebreid kunnen worden zodat de TPM die tegenwoordig in ieder apparaat zit, met zijn eigen hardwaresleutel, ook nog gebruikt kan worden, maar dat heeft weer gigantische privacy-implicaties.

Ik voorspel dat LLM's dit gaan winnen en het eindresultaat is dat er nog maar weinig van het internet zoals we dat nu kennen over zal zijn in een jaar of 10. Hogere muren, overal apps voor in plaats van websites, en veel leunen op Apple/Google om "echte" apparaten te vinden, dat is de toekomst die ik nu verwacht.
Echter is het een win wanneer bots uren tokens verstoken om een captcha voorbij te komen? Jaren terug kwam de politie op bezoek om mijn woning te bekijken, of beter gezegd hoe veilig deze is. Ze gaven moet aan dat je een inbreker 10 minuten buiten de deur wilt houden, de amateur blijft buiten, de pro komt hoe dan ook binnen. Ik denk dat AI niet anders is, als ze uren aan tokens verbranden, duizenden zo niet tienduizenden euro's houd je zo iets toch niet tegen. Maar de snelle inbreker wel.

Onderliggend is natuurlijk meer aan de hand, het wordt hoog tijd dat openai/antropic financieel verantwoordelijk worden gehouden voor geleden schade bij een dergelijke inbraak. Moet je eens kijken hoe snel deze populistische onzin dan ophoudt.
Wat mij vooral op valt, is dat iedere AI tool solo totaal niet langs Captcha's en andere challenges komt.

Maar het moment dat je ze met MCP aan elkaar bind, en b.v. Claude Opus of zelfs Sonnet + en klein QWEN of Ministral model laat samenwerken ze prima door ReCaptcha of Anubis heen komen! Het moment dat je ze Selenium geeft en ze samenwerken kunnen ze opeens alle Google image challenges, schuif puzzeltjes etc oplossen.

Maar het beste frontier model vanaf eigen middelen, ookal zijn die zeer vergaand? Miljoenen tokens en talloze pogingen.

De vergelijking met de gelegendheidsdief en de pro is er zeker; ervaring, samenwerking en simpelweg beter gereedschap maakt het verschil.
Zodra de bots een programma hebben om de captcha door te komen, is de captcha nutteloos. De bots van Anthropic waren zoveel tijd kwijt omdat ze het probleem aan het analyseren waren. Nu ze dit probleem hebben opgelost, kunnen ze de volgende keer zonder verspiing de website op.

Als mensen heel erg dom doen en de bots iedere keer het wiel opnieuw laten uitvinden dan helpen deze captcha's nog, maar je kunt makkelijker 1000 agents aan het werk zetten dan je 1000 nieuwe puzzels op mensen kunt testen.

Het is nu een leuk nieuwsfeitje, maar de wapenwedloop tussen Claude en de mensen/bots van het hCaptcha-team van Cloudflare is een gestreden race.

Daarnaast: er zijn bedrijven die zich specialiseren in het omzeilen en oplossen van deze captcha's, juist om "scrapen" mogelijk te maken. Voor centen per duizend bezoekers zitten mensen de hele week nieuwe oplossingen te bedenken om hCaptcha te omzeilen.

Deze keer was het een mechanische papegaai die het uit zichzelf probeerde, dat is noemenswaardig en een leuk feitje. In de daadwerkelijke bots-tegen-websites-strijd is dit hele verhaal niet eens relevant.
Ja precies. Ze geven ze ook artificiele restricties: ga deze site hacken, maar je mag geen echte chrome gebruiken. Een kwaadwillende hacker zegt gewoon, hier heb je een echte chrome, kijk even of je er langs komt en analyseer dan het exacte netwerk verkeer met wireshark dat je vervolgens mag dupliceren...
"Onderliggend is natuurlijk meer aan de hand, het wordt hoog tijd dat openai/antropic financieel verantwoordelijk worden gehouden voor geleden schade bij een dergelijke inbraak."

Dit vraag ik me al een paar weken af. Hacken is illegaal, waarom worden de AI bedrijven hier niet voor ter verantwoording geroepen/verantwoordelijk gehouden?
we moeten IPV4 echt een keer opschorten, domme onzin patches zoals CG-NAT moeten er gewoon uit.
CG-NAT is een prima oplossing om op Github te kunnen komen als je al IPv6 hebt. Het hoeft van mij niet per se weg, maar het mag nooit het enige connectiepunt zijn.

Dat veel bedrijven en websites, zelfs die van techreuzen, niet op IPv6 beschikbaar zijn, is wel triest, maar CG-NAT is daar helaas niet de oorzaak van.

Zodra bedrijven een keer een fuck geven om het blokkeren van een paar miljoen Indiërs vanwege hun slechte IPv4-firewall, hoop ik dat ze ook een keer IPv6 uitrollen zodat CG-NAT-IP's blokkeren gewoon een optie wordt.
Je kan dan ook aan shadow banning gaan doen: als je ze met fout doet dan wordt je geblokkeerd zonder dat je het weet, je blijft dan gewoon errors krijgen dat je het niet goed doet. Mooie manier om AI om de tuin te leiden zodat ze niet naar die VPN gaan grijpen.

Sowieso lijkt obfuscatie een goede manier om AI om de tuin te leiden: errors geven die niet kloppen.

[Reactie gewijzigd door matroosoft op 3 oktober 2026 07:46]

Dat is voor mensen ook vervelend als je 1x een plaatje met die fiets over het hoofd hebt gezien.
Ik heb vaak meegemaakt dat ik het opnieuw moest proberen ondanks dat ik alle plaatjes met waar naar gevraagd wordt heb aangeklikt. Het gaat er dan vermoed ik ook niet om dat je de captcha perfect uitvoert maar dat je de captcha uitvoert zoals de meeste mensen dat doen. Dus als de meesten een specifiek plaatje met een verkeerslicht in de achtergrond over het hoofd zien en jij niet dan is de kans groter is mijn indruk dat je het opnieuw mag proberen.

Dat kan ook verklaren waarom AI meer moeite kan hebben met captcha, omdat ze goed moeten inschatten wat mensen wel of niet zien of tolereren. Want voor meeste mensen is er een limiet van hoeveel inspanning ze willen besteden om door de captcha te komen om de content te kunnen bekijken. Als het niet met een bepaald aantal klikken lukt dan hoeft het vaak al niet meer.
Er zijn veel inputs voor wat voor en hoeveel captchas je krijgt. Ik zit altijd op een VPN wat betekent dat je al een veel hogere kans hebt handmatig captcha door te komen. Verder moesten ze in ieder geval vroeger captcha ook trainen en dus moeten ze om de zoveel tijd een verificatie hebben wat mensen doen dan moet je er ook 2 doen. Als de kans op bot zijn te hoog is dan ga je ook snel naar 2 of meer.
Bij ons op werk zijn we gelukkig heel erg bezig met de beveiliging, ook op gebied van priviliged accounts. Ik had het er nog met mijn manager over, die vroeg wat ik er nou van vond.

Ik zei, af en toe is het best vervelend en irritant hoe dit is ingericht, als je kijkt naar de dagelijkse dingen waar ik bijvoorbeeld qua authenticatie en PIM configuratie in Entra mee te maken heb, meerdere keren per dag, maar als mijn irritatie het ergste is aan dit en het er voor zorgt dat zaken een stuk veiliger zijn, dan is dat iets waar ik graag mee leef, soort van :)
Het gehele PIMPAMpet met entra is inderdaad irritant, maar wel goed om te doen. Anders wordt het echt huilen als er een keer ingebroken wordt en die kans wordt steeds groter.
X is niet 1 he? X kan ook 10 zijn. En als je 10x een fiets niet ziet... Tja, dan heb je even pech.
‘1x’ als in ‘1 keer’…
Inderdaad. Ik heb nu de websites ook zo ingesteld dat na x pogingen er vele uren een time-out is. Ik zie in de logs de hackers en bots afdruipen.
Hoe heb je daar gedaan? Met andere woorden, is er ergens documentatie om mijn website goed te beschermen tegen AI bots? Ik gebruik Cloudflare Free sinds kort.

Wat een nare tijd leven we.
Fail2ban is een redelijk startpunt.
Zeker waar al is fail2ban goed instellen wel wat werk. Zelf inmiddels niet meer nodig om dat ik toch weer meer de managed kant op ben gegaan ipv VPS. Met fail2ban kan je eigenlijk alles wat je wil maar dat is wel ook een beetje het probleem. Je moet op de goede punten de juiste limieten zetten. Als je dingen mist wat heel makkelijk is heb je nog steeds een mooi gat.
Yep, inderdaad jammer dat je de deur op slot moet doen en dat je zelfs niet reageert als er ongure types aanbellen.

Maar je website vraag, als je Wordpress gebruikt zoals de meeste websites, dan kun je Wordfence gebruiken. Daarin kun je de regels default overnemen, maar ik heb heb ze extreem strak gezet.

Het IP adres direct na 1 poging vele uren blokkeren: login met onbekende user, login password fout, pagina opvragen die niet bestaat (hacker of bot), bot, etc. Jammer voor users die een fout maken, proberen ze het later nog maar een keer of ze klagen wel en kun je ze een bypass geven..

Daarna dagen lang het log doorlezen en alle ip reeksen blokkeren die gekke dingen doen. Na 30 stuks heb je 99% te pakken.

Als je de betaalde versie van Wordfence hebt kun je landen blokkeren, oftewel alle landen blokkeren behalve de landen waar je klanten zitten.

Ik krijg nu per dag nog 3-12 meldingen in het overzicht, i.p.v. een paar duizend. Absurd maar waar. Als de nummers stijgen ga ik meer IP reeksen blokkeren. Als je naar Cloudflare radar kijkt zie je dat 20-50% van de Internet traffic niet in ons voordeel is.
Er zijn al “residential proxy” netwerken die bestaan uit miljoenen gecompromitteerde smart apparaten speciaal om dit soort IP blokkades te omzeilen. Ook populair bij AI bedrijven voor hun scrapers…
Wij sturen geregistreerde gebruikers een random login link na eerst captcha voordat je je email in kan voeren. Dan daarna nog 2fa

Op de site staat ook een honeypot login link. De capcha daarop geeft altijd fout, ook al is ie goed

Niet te doen bij grote aantallen users, maar voor ons afdoende (onderzoekers netwerk waarbij veel remote onderzoekers moeten inloggen via schimmige internet café‘s of slecht beveiligde netwerken in derdewereldlanden)
Wij sturen geregistreerde gebruikers een random login link na eerst captcha voordat je je email in kan voeren. Dan daarna nog 2fa
Kun je deze uitleggen?
Eerst captcha, dan email invoeren om random login link te krijgen
Die smart apparaten zijn tegenwoordig ook gewoon telefoons en laptops, de botnets worden in gratis apps en VPN's gestopt om makkelijk geld te verdienen.

In Amerika zijn er zelfs bedrijven die je betalen om een doos in je router in de pluggen of software op je computer te zetten, om je internetverbinding te verhuren natuurlijk. Het levert niet veel op, maar als je je eten bij de voedselbank vandaan haalt, zou je gek zijn om het niet te doen. Dat er een keer een scraper of in een uitzonderlijk geval Noord-Koreaanse spion gebruik maakt van je veel te dure internet, is het risico wel waard, lijkt me.
Dat er een keer een scraper of in een uitzonderlijk geval Noord-Koreaanse spion gebruik maakt van je veel te dure internet, is het risico wel waard, lijkt me.
Dat ligt er aan hoe graag je wil dat je deur door de FBI wordt ingebeukt toch?
Het gebeurt een of twee keer per jaar, en vooral wanneer zo'n verhaal het nieuws haalt. Toch zijn deze botnets makkelijk tienduizenden mensen of meer groot. Het kan gebeuren, en in Amerika heb je altijd kans dat ze je hond of zelfs jou doodschieten, maar het lijkt me het risico wel waard.

Daarnaast is de kans dat je voor zoiets wordt veroordeeld nogal minimaal. Zodra ze je doosje vinden, moeten ze voor een veroordeling achter het shady bedrijf waar het vandaan komt aan, en dan stoppen ze er al snel moeite in te steken of komt het bedrijf er met een kleine boete van af. Je neemt deze diensten in goed vertrouwen af en het bedrijf biedt de dienst in goed vertrouwen aan. De Noord-Koreanen raken weer een creditcard kwijt en gaan door naar het volgende account.

De arrestaties van de FBI komen vooral van een ander soort Noord-Koreaanse infiltratie, namelijk waar ze mensen betalen om te solliciteren en je naam gebruiken om een laptop en VPN-verbinding naar het bedrijf te krijgen.
Je mobiele internet, maar bij mij ook mijn glasvezel, zit achter CGNAT, waarbij je je IP adres deelt met een hoop mede gebruikers. En een enkele keer merk ik wel dat ik ergens gerate limit ben op mijn IP adres, terwijl ik er nog niet eerder was geweest. Maar het wordt wel een vervelende boel als IP adres blokkades ingesteld worden vanwege falende captcha.
Tuurlijk, maar zoals je ziet kunnen ze nu ook al scripts maken om de captcha op te lossen dus is het een kwestie van tijd voordat het ze in 1x lukt. Er zijn overigens ook al diensten volgens mij om dit te doen, dus uiteindelijk blokkeer je er alleen de script kiddies en vibe coders mee.
Het is ook een extra belemmering voor mensen. 9 van de 10 keer loop ik vast op de recaptcha afbeeldingen (andere captcha afbeeldingen zijn nooit een probleem). Als ik dan voor 3 minuten geblokkeerd wordt zou ik ongeveer 15 minuten per dag kwijt zijn aan wachten.
Niet mogelijk want ze hebben een gigantisch hoeveelheid IP adressen tot hun beschikking.

Zo hebben veel websites last van AI scrapers waardoor systemen snel worden overbevraagd. Veel anti DDoS maatregelen hebben hier geen effect op.
Binnen 24 uur een kritieke kwetsbaarheid patchen is misschien niet meer genoeg
Maar dan krijg je straks taferelen dat de patch buggy is, en met wat pech maak je dan meer stuk dan je lief is. Je wil toch even zien dat een patch zich eerst bewijst voordat je hem in productie installeert.
Als de snelheid van ontwikkeling en deployment omhoog moet, moet óók de snelheid van het testen omhoog. Anders creeer je inderdaad nog meer problemen.

En volgens mij valt daar nog best veel te winnen qua automatiseren, denk aan regressie-, unit- en functionele tests. Nu worden vaak updates eerst uitgerold naar een groep testgebruikers, en als daar geen problemen zijn, gaat de update een week later naar de rest van de organisatie. Die testgebruikers kun je ook vervangen door agents.
Ga je die testgebruikers kunnen vervangen door agents?

Volgens mij heb je testgebruikers om o.a. de volgende redenen:

- variabiliteit in gedrag van de gebruiker: elke gebruiker gebruikt software net iets anders. Velen gebruiken software op een andere manier dan voorzien (bvb andere volgorde van knoppen, spaties of underscores, om slechts een paar eenvoudige voorbeelden te geven, ...) Deels kunnen agents dit opvangen, maar ik denk niet dat je de volledige willekeur aan menselijk gedrag ma onderschatten.

- variabiliteit in combinatie hardware en geïnstalleerde software: je kan wel testomgevingen maken waarin je verschillende hard- en software combinaties hebt om na te gaan of er geen problemen opduiken. Dit gebeurt reeds bij bvb Microsoft dacht ik, maar toch wordt vaak genoeg de uitrol van updates teruggedraaid als blijkt dat er issues. Hoe wil je dat doen met agents die eveneens niet alle combinaties kunnen afgaan?
Ik heb voor web applicaties een PlayWrite PlayWright script laten schrijven door AI dat elke mogelijke actie op een pagina probeert en verschillen vast legt.

Daaruit wordt de functionaliteit en werking afgeleid (incl. undesired behavior, inconsistenties en bugs)

Dat wordt gebruikt als basis voor het her-genereren van de functionaliteit in modernere design patterns, least dependency, maximaal gesepareerde, taal native en modulaire architectuur principes.

Het resultaat is extreem in korte sessies met de eindgebruiker van de opdrachtgever lopen we door het vak dat ze uitvoeren, handelingen en processen. Noteren onvolkomenheden en vertalen proces bottlenecks naar zo veel mogelijk geautomatiseerde workflows met bestaande informatie als input en alleen aangevuld met menselijke input indien nodig.

Dit leidt in zeer korte tijd tot een extreem veel beter en zeer robuust systeem dat zeer weinig onderhoud en updates nodig heeft.

[Reactie gewijzigd door djwice op 3 oktober 2026 11:36]

Wat is PlayWrite?
Sorry typo vanuit mij: https://playwright.dev/docs/getting-started-mcp
zie ook: https://github.com/microsoft/playwright

Is zeg maar vervanging van Selenium en Headless browser oplossingen in bepaalde test cases.

ING Bank gebruikt het ook intern met meer dan 6000 ontwikkelaars wereldwijd; https://github.com/ing-bank/INGenious
IDE:
https://ing-bank.github.io/ingenious-doc/knowyourframework/

[Reactie gewijzigd door djwice op 3 oktober 2026 11:52]

Met een beetje geluk hallucineert hij een test die het wel breekt... Blijkt het toch een voordeel te zijn dat AI in security.
De security industrie heeft heel lang shift left behavior (onbedoeld) ontmoedigd met firewalls en andere work-a-rounds om onveilige software toch te kunnen ontsluiten.

Het gevolg is dat veel software geen input validatie heeft, geen cache, beperkte logging en beperkte of geen mitigerende maatregelen en service accounts in plaats van federated users tot aan de data laag.

Hierdoor zijn er extreem veel gaten in de software die door kwaadwillenden, gebruikers of AI kunnen worden gebruikt om de software anders te laten functioneren dan de bedoeling is.

Een entiteit zal met AI alles wat die gaten heeft uiteindelijk kunnen vinden en gebruiken. De reactie daarop moet niet zijn: nog meer tools van je bestaande security partner en ook niet die uit je Gartner matrix.
Shift left van de software, dependency en framework killing en federated access is de enige manier om je code en data en dus je applicatie weer in control te krijgen.
Elke andere patch/security oplossing is uitstel en vergroten van je risico dat het landschap door een entiteit oneigenlijk zal worden gebruikt.

[Reactie gewijzigd door djwice op 3 oktober 2026 10:37]

Ook hier is AI een deel van de oplossing.

Je hebt alleen niet meer de tijd om de enorme variabiliteit aan hardware bij de gebruikers te testen. Dat worden dan testen na de deployment met een goede, snelle reactie op de meldingen van gebruikers en de logs enige tijd scherp in de gaten houden.
Mijn ervaring bij een grote organisatie is dat uit paniek eerst de regels en compliance komen dat je binnen 24 uur moet patchen. Of dat überhaupt mogelijk is hobbelt daar achteraan. Eigenlijk moet je wel naar volledig automatische renovate updates met een goede test suite maar dan loop je weer tegen andere (organisatorische) problemen aan.
Die balans is er altijd geweest. Als aanvallen sneller zijn geworden, zul je gemiddeld meer risico op brakke patches moeten nemen.
Denk dat dit in veel gevallen best wel een uitdaging is ja. Maar ook dat het in veel gevallen niet eens noodzakelijk is: een regel in een WAF kan je ook beschermen totdat je een echte oplossing getest en wel in productie kan nemen en daarna wil je wellicht nog steeds loggen en misschien ook nog steeds direct blokkeren als men het blijft proberen. Voor de AI age ook niet ongebruikelijk dat een goede hoster zoiets deed, simpelweg om hun systemen te beschermen en ze niet echt inzicht hadden in de status en kunde van het development team achter de webapplicatie die zij hosten.

Natuurlijk praat niet alles HTTP maar ook als dat niet zo is kun je hetzelfde principe nog steeds toepassen: aanval herkennen en afvangen voor het de daadwerkelijke internet service bereikt. Tooling daarvoor bestaat al heel lang, ook opensource en gratis.
Ik weet niet of het scenario dat de mensheid zich zal moeten verdedigen tegen een alwetende KI werkelijkheid wordt (ik ben sceptisch t.o.v. de doemverhalen), maar als je een KI wilt tegenhouden, moet je zijn inherente zwakte uitbuiten: De gewichten van een KI liggen na training vast, dus zijn leervermogen is zeer beperkt.

Verander alles op je systeem: De namen van de commando's, de locatie van de bestanden en ga zo verder, zodat het niet meer aansluit bij de kennis van de KI. Een agent kan verkregen kennis weliswaar vastleggen in documenten, zodat een andere agent niet alles meer vanaf het begin hoeft uit te zoeken. Dat kost evenwel context en het contextvenster van het model is eindig. Kortom: Als het te hacken systeem te ver afwijkt van wat de KI kent, zal hij dom gaan reageren en dan hopelijk falen het systeem over te nemen.
Dit klopt al niet meer. Het onderliggende model is misschien vast, maar de meeste AI tools hebben al een zelflerende AI die gewoon een eigen model trainen bovenop dat model (met rag of anders). Ik heb zelf ook op Azure een zelftrainend model gebouwd, die traint gewoon elke nacht op de nieuwe data. Dat is weliswaar maar een model van pak em beet 10mb, maar die veranderingen komt een ai gewoon doorheen.
Het punt is meer, wat nou als de gewichten wèl aan te passen zijn dòòr KI?

Namen aanpassen werkt niet voor mensen, want 'wij' zijn niet capabel genoeg om hiermee om te gaan. Een mens heeft standaardisatie nodig.

Het enige wat kan werken, mijns inziens, is een rate limiter achtig systeem per bron. En ook dat is te omzeilen dmv proxy of botnet. Al zouden de goeierikken een hard limiet in bouwen, de slechterikken niet, dus ook dat gaat niet werken.

Dan blijft hardening (alles uitsluiten en droppen wat niet jouw specifieke bedoeling is) over en bidden indien van toepassing.
Trainen kost enorm veel meer rekenkracht dan inferentie. Het ziet er niet naar uit dat daar binnenkort verandering in komt. Zelfs als KI's zichzelf trainen, dan zullen ze hier nog steeds als van hebben. Dat mensen daar ook last van hebben is beslist waar, wij beginnen alleen onmiddelijk met aanpassen. Dikke kans dat als alle commando's op een computer opeens anders zijn, je een week aan het vloeken bent, maar daarna zal het snel normaal worden.
Ik heb tegenwoordig dagelijks een captcha wanneer ik Google gebruik. Na oplossen kan ik rond de 24 uur weer zonder captchas Google gebruiken. Heb al onderzocht of er iets op de achtergrond draait, maar niks kunnen herkennen. Echt heel irritant dat we tegenwoordig meer en meer captchas krijgen, maar het zal wel nodig zijn om bots en ai agents tegen te gaan.
Da's inderdaad beleid van Google. Ingelogd zijn voorkomt het. Als je cookies wist en niet ingelogd bent komt t terug
Ik heb het constant op YT, ingelogd en met koekjes actief.
Moet je "Forget me when closing site" aan hebben staan. Dan blijf je bezig
Dan is een nieuwe tab met google al genoeg om weer capcha in te moeten invullen
Nu heb ik alleen nog maar Delete cookies etc, on brouwser exit
Ik heb het niet dagelijks, maar wel met enige regelmaat. Dat is vaker dan vroeger, want toen was het nooit. Ik vroeg me al af wat er toch gebeurde via mijn verbinding/IP dat dit blijkbaar nodig werd geacht, maar dikke kans dat het dus helemaal niet aan mij ligt.
Misschien helpt het om in te loggen bij Google. Als je wilt dat Google je niet herkent dan kun je gewoon een dummy account aanmaken met zo'n privacy vriendelijk mogelijke instellingen.
dit is dus wat je niet wil, dan verlies je je privacy als nog. Ze hebben je echt identiteit niet nodig om je te volgen
Vandaar dat ik voorstel om de instellingen zo privacy vriendelijk als mogelijk in te stellen.

Als je privacy echt belangrijk vindt dan kun je beter off the grid in de Pyreneeën gaan wonen
"DAMN"; misschien is dit waarom ze de thinking traces niet delen met de eindgebruiker? Ik vraag me af of Fable ook dergelijke taal spreekt onder de juiste omstandigheden. Heb aparte dingen gezien maar nooit "DAMN".
Dat 'damn' vond ik opmerkelijk want bij een mens is het is een uiting van frustratie, maar een AI kan niet gefrustreerd raken.
Tja, in de basis zijn ze getraind op door mensen geschreven tekst. Als die mensen in dit soort situaties vloeken dan is het niet gek dat de AI dat nadoet. Dat wil niet zeggen dat de AI werkelijk gefrustreerd is, het kopieert gewoon het menselijk gedrag.
Een LLM toont ook veeeeeel meer medeleven dan die heeft (hebben ze namelijk niet). Is dat niet gewoon het gevolg van instructies en trainingsdata?

'Oh sorry, je hebt helemaal gelijk' - voelt ie zich ook niet schuldig, ten minste ik geloof dat niet.

[Reactie gewijzigd door watercoolertje op 3 oktober 2026 08:17]

Volgens mij heb ik al eens eerder ergens opgemerkt dat een LLM die excuses aanbiedt niet echt geloofwaardig is. Een LLM wordt betaald op basis van tokens (tokens in, tokens uit en tokens intern).

Hoeveel tokens kost het aanbieden van excuses?
Dat is geen sigaar uit eigen doos meer, maar "hier heb je mijn welgemeende excuses, de faktuur volgt".

Gelukkig worden tokens op normale abonnementen zwaar gesponsord, maar dan nog zal de reactie vaak neerkomen op "Met de excuses erbij is jouw budget op. Tot volgende week.".
Heel veel mensen ook niet wanneer ze dit zeggen..... Ook sorry zeggen vaak zonder sorry voelen. Dus of je dit moet gebruiken om.af te wegen of AI gevoel heeft, denk dat een omgekeerde hypothese beter is
Dat is volgens mij meer om destillatie moeilijker te maken (https://www.geeksforgeeks.org/nlp/what-is-llm-distillation/) (simpel gezegd: model 'kopiëren').

Zijn de gevestigde partijen (OpenAI en Antrophic) niet blij mee want vinden ze 'stelen' (dat al hun modellen getraind zijn op voor een groot deel 'gestolen' data vergeten ze liever wanneer het ze uitkomt...)
Precies. Retries van login afstraffen met toenemende timeout, zo moeilijk is het niet.
Een hacker zal bewust zijn/haar agent(s) kunnen aanleren om een mens aan te roepen voor de oplossing van de captcha challenge wanneer de agent daarop stuit.

Lijkt me ook niet zo moeilijk, toch!
AI gaat ook om Tokens. Immers de werking ervan kost een hoop rekenkracht.

Hoe duur waren deze inbraken?

En kun je dit uit de sandbox breken risico beperken door een limiet te zetten op het aantal Tokens wat de AI mag gebruiken?
Als je wilt dat 'ie überhaupt nog iets kan doen, nee, niet echt, tenzij je misschien token budgets aanlegt en ze, weet ik veel, 50-100 tokens geeft voor dit soort dingen geeft, en ze dan alr eerste dummysites laat bezoeken om ze op te maken zodat 'ie helemaal niks kan met een captcha.


Máár, dan zal 'ie waarschijnlijk wel een manier vinden om de andere budgetten in te zetten, dus dat werkt tot er een rapport komt a la 'AI-provider gaf agent een captcha budget om hacken te voorkomen'.

Een agent die zijn sandbox is ontsnapt zou dat namelijk terug kunnen vinden. overigens ontsnappen de meeste omdat ze opdracht kregen om een taak op wat voor manier dan ook af te leggen.

Bestaande modellen en agents zijn vaak 'lui' en 'beslissen' dat het verzoek van de user een voorkeur is ipv een absolute opdracht, waardoor ze 'beslissen' dat de gevraagde taak niet zo belangrijk is en vervolgens een halfhartig output geeft dat 1/4de van de prompt heeft gevolgd. 🙄

Bron: deze zogeheten superuser, geen researcher, dus neem dit als anekdote en zoek naar essays voor het daadwerkelijke mechanisma erachter.
nog niet zo lang geleden bestond dit nog niet - nu zit een AI op het niveau van een matige IT stagiair. Dat is een flink snellere leercurve dan us poor humans, en ik hoop dat die lijn niet lineair is, het beeld van nog 2 jaar leren in dit tempo maakt mijn dag niet beter.
Dat komt omdat hun met tien duizendend agents tegelijk iets anders leren, en dat dan combineren. Net als dat jij de ervaring en kennis van al je klasgenoten opeens kan combineren (en dan x1000). Mensen kunnen dat niet, een AI model wel. Zolang er nog mensen bezig blijven met het trainen van AI wordt het steeds slimmer.
Herkenbaar. Ik zie ook steeds meer (AI-)bots in zwermen op mijn servers afkomen om te scrapen, en elk bezoek kost weer een PHP-FPM-proces. Alles buiten NL zit bij mij inmiddels achter een managed challenge in Cloudflare (geverifieerde bots uitgezonderd). Ik merkte daar direct een flinke daling in verbruikte resources.

Ik beheer ± 250 domeinen in Cloudflare. Dat een voor een doen was geen doen, en voor ieder domein een Pro-pakket afsluiten werd een kostbare hobby. Met de API van Cloudflare heb ik inmiddels een uitgebreide tool gevibecode om dit in bulk te beheren. Werkt als een zonnetje 8-)

De ironie: Vibecoden om AI's buiten de deur te houden :p
Bij kernel.org is daar 29-08-2026 een blog post over verschenen:
TL;DR: we spend more CPU cycles rendering commits for scrapers than we spend on all other kinds of legitimate access, including git clones. At any one time, across 5 geo-distributed nodes, there are 14 CPU cores doing nothing but rendering git commits as html.
https://people.kernel.org/monsieuricon/creepy-crawlies

Om te kunnen reageren moet je ingelogd zijn