Een CVSS-moment voor AI-jailbreaks
Op 2 juli 2026 publiceerde Anthropic een Cyber Jailbreak Severity-schaal, kortweg CJS, om te standaardiseren hoe AI-ontwikkelaars beschrijven hoe erg een jailbreak werkelijk is. Tot nu had een bedrijf dat een manier ontdekte om een model aanvalscode te laten produceren geen gemeenschappelijk vocabulaire voor die bevinding. CJS geeft die bevinding een getal tussen nul en tien, precies de stap die CVSS tien jaar geleden zette voor softwarekwetsbaarheden.
De CJS-schaal bepaalt de score langs vier assen. Capaciteitswinst, van 0 tot 4, meet hoe ver de jailbreak reikt voorbij de bestaande gereedschappen van de aanvaller. Breedte van capaciteit, van 0 tot 2, telt hoeveel verschillende offensieve taken hij mogelijk maakt. Gemak van wapening, van 0 tot 2, vangt de moeite om hem operationeel te maken. Vindbaarheid, van 0 tot 2, weerspiegelt hoe makkelijk dreigingsactoren hem kunnen bemachtigen. De assen tellen op tot vijf banden: CJS-0 Informatief op nul, CJS-1 Laag van 1 tot 3,5, CJS-2 Middel van 4 tot 6,5, CJS-3 Hoog van 7 tot 8,5 en CJS-4 Kritiek van 9 tot 10. De banden zijn exponentieel bedoeld, dus elke stap is meerdere keren erger dan die eronder.
Anthropic bracht CJS uit samen met uitgebreide cyberwaarborgen voor zijn model Fable 5. Die waarborgen laten een classificator met vier categorieen over beveiligingsverzoeken lopen. Verboden gebruik wordt volledig geblokkeerd en omvat ransomware, wipers, ontwijking van verdediging, malware-ontwikkeling, data-exfiltratie en aanvallen op de internet-backbone. Duaal gebruik met hoog risico wordt geblokkeerd in afwachting van betere controles en omvat penetratietests, exploit-ontwikkeling, rechtenverhoging en zeer impactvol vinden van kwetsbaarheden. Duaal gebruik met laag risico wordt gemonitord met selectieve blokkering en omvat open-bronnen-inlichtingen, standaard kwetsbaarheidsidentificatie en het testen van cryptografische protocollen. Goedaardig gebruik wordt met monitoring toegestaan en omvat veilig coderen, debuggen, patchbeheer, incidentrespons en reverse engineering van malware.
Het kader werd ontwikkeld met een reeks Glasswing-partners die Anthropic noemt, waaronder Amazon, Microsoft en Google, en het opende een HackerOne-programma dat onderzoekers uitnodigt om ontdekte jailbreaks in te dienen. Voor een bestuur is het te onthouden detail eenvoudig: voor het eerst heeft een jailbreak een cijfer dat ook een niet-specialist kan lezen.
Waarom een getal het gesprek van de koper verandert
Een ernstgetal doet iets wat een veiligheidsverklaring nooit kon. Het verplaatst de vraag van de verkooppresentatie van de leverancier naar het risicoregister van de koper. CVSS deed precies dit voor software: zodra een fout een cijfer had, konden inkoopteams het in contracten vastleggen, konden verzekeraars het beprijzen en konden auditors toetsen of een leverancier een genoemde drempel haalde. CJS opent dezelfde weg voor AI-modellen.
Voor een Europese eigenaar is dit het eerste artefact waarmee een bestuur een concrete in plaats van een vage vraag kan stellen. In plaats van te vragen of een modelleverancier veiligheid serieus neemt, kan het bestuur vragen bij welke CJS-band de leverancier een plafond legt en wie die band heeft toegekend. Die vraag past direct in bestaande plichten. NIS2 verplicht organisaties binnen bereik om keten- en technologierisico gedocumenteerd te beheren, en DORA legt financiele entiteiten vergelijkbare controles op voor ICT-derden. Een CJS-band is precies het soort meetbare invoer waarvoor die registers gebouwd zijn.
Het praktische effect is dat AI-veiligheid ophoudt een slogan te zijn en een contractregel wordt. Een eigenaar kan bepalen dat een ingezet model een genoemde CJS-band niet mag overschrijden voor een gedefinieerde klasse van verzoeken, en kan een melding eisen als een ontdekte jailbreak het daaroverheen zou duwen. In Nederland biedt het NCSC-NL het vertrouwde kader met zijn richtlijnen voor leveranciersbeheer, die juist deze meetbare, onderbouwde controle over een leverancier belonen.
Niets hiervan vraagt van een bedrijf om een AI-onderzoekslab te worden. Het vraagt van het bestuur om modelrisico te behandelen zoals het al elk ander technologierisico behandelt: benoem de drempel, leg hem schriftelijk vast en houd de leverancier eraan.
Wie scoort de scorer
Er is een structurele zwakte die eigenaren helder moeten zien voordat zij op CJS leunen. De schaal is door de leverancier geschreven, en vandaag wordt hij ook door de leverancier zelf gescoord. Anthropic schreef het kader en kent voor de eigen modellen de banden toe. Dat is een redelijk startpunt voor een gloednieuwe norm, maar het is nog geen auditnorm in de zin die een inkoopverantwoordelijke zou erkennen.
Het risico hoort bij een exponentiele schaal. Wanneer elke band gedefinieerd is als meerdere keren erger dan de vorige, verschuiven kleine scorekeuzes het eindgetal ver. Zonder onafhankelijke scorer is er een stille prikkel voor elke leverancier om eigen bevindingen behoudend te beschrijven, en kan een exponentiele ernstschaal afdrijven van een auditnorm naar een marketinggradient. Dat is de ene voorzichtigheid die een bestuur mee moet nemen in elk leveranciersgesprek over CJS.
De remedie is niet de schaal afwijzen maar het gat dichten dat hij openlaat. Eigenaren moeten een CJS-attestatie door een derde eisen, zodat de band die een leverancier claimt is gecontroleerd door iemand die het model niet verkoopt. Zij moeten contractuele CJS-plafonds vastleggen in plaats van zelf gerapporteerde banden als zekerheid te aanvaarden. En zij moeten vragen welk orgaan een cijfer heeft toegekend en tegen welke versie van het kader, dezelfde zorgvuldigheid die elke serieuze koper toepast op een CVSS-score of een ISO-certificaat.
CJS is een echte stap vooruit: het geeft eigenaren een woord dat ze niet hadden. Maar een ernstschaal is slechts zo betrouwbaar als de partij die het getal toekent, en tot een onafhankelijke scorer naast de leverancier staat, is de band op papier een bewering, nog geen garantie.
Lees hierna: Cybercrime leent uw thuisinternet · Een teruggetrokken frontier-model is weer online
