Kunstmatige intelligentie (AI) heeft een grote impact op de cybersecuritysector. Het nieuwe Claude Mythos-model van Anthropic en opvolgers daarvan beloven een nog grotere verstoring te veroorzaken, mogelijk met gevolgen voor de bestaande bug bounty- en interne offensieve beveiligingspraktijken. Zowel aanvallers als verdedigers maken al veelvuldig gebruik van AI. Aanvallers gebruiken het om kwetsbaarheden te vinden en geavanceerde aanvallen te ontwikkelen, variërend van social engineering tot malware en exploits. Verdedigers zetten AI in om lopende aanvallen te detecteren, deepfakes te herkennen en software te ontwikkelen. Ook bug bounty-jagers en offensieve beveiligingsspecialisten gebruiken AI om kwetsbaarheden op te sporen voordat kwaadwillenden dat doen. Tot nu toe versterkte AI vooral de effectiviteit, zonder het menselijke aspect volledig te vervangen. Het Mythos-model kan deze balans echter veranderen.

Bug bounty-programma’s en penetratietesten zijn continu in beweging, wat inherent is aan cybersecurity. De introductie van Mythos kan echter zorgen voor de snelste veranderingen tot nu toe binnen offensieve beveiliging. Bug bounty’s zijn beloningen voor het vinden van softwarefouten, een concept dat teruggaat tot 1983 toen Hunter & Ready een Volkswagen Beetle (ook wel een ‘Bug’) uitloofde voor het vinden van een bug in hun VRTX-besturingssysteem. Sinds de jaren negentig groeide het fenomeen met initiatieven van Netscape, IDefence, Mozilla, Google en Facebook. Platforms zoals HackerOne, Bugcrowd, YesWeHack en Intigriti zijn sinds 2012 de belangrijkste spelers geworden. In de jaren daarna breidde het aantal bedrijven dat bug bounty’s aanbiedt sterk uit. In 2022 gaf bounty hunter Youssef Samouda aan jaarlijks circa 400.000 dollar te verdienen via programma’s van Meta en Google. Sinds eind 2022 zijn grote taalmodellen (LLM’s) breed beschikbaar en rond 2024-2025 kwam autonome AI steeds meer in beeld. Zo behaalde het autonome offensieve beveiligingsbedrijf XBOW in juni 2025 de eerste plaats op HackerOne’s ranglijst. De geschiedenis van bug bounty’s laat een groei zien in combinatie met toenemende automatisering en AI, een ontwikkeling die ook in interne offensieve beveiliging zichtbaar is, maar daar vooral wordt gestuurd door salarissen in plaats van beloningen.

In 2026 publiceerde Cassim Khouani, bekend als Aituglo en een van de top 30 hackers op YesWeHack, het rapport The state of Bug Bounty in 2026. Hij beschrijft hoe hij AI, waaronder Claude, inzet om bugs te vinden. Binnen één nacht ontdekte de AI tien bugs, maar de helft bleek duplicaatmeldingen en de rest kostte weken om te triëren vanwege de enorme hoeveelheid rapporten. Volgens Khouani sterft het traditionele bug bounty-model langzaam uit, maar biedt de toekomst kansen als het goed wordt aangepakt. Iedereen gebruikt AI om 24/7 bugs te zoeken, wat leidt tot mentale overbelasting en een stortvloed aan meldingen. Bug bounty-platforms kampen met een grote toestroom van AI-ondersteunde rapporten, waardoor triage en uitbetaling vertragen. Bedrijven die bug bounty’s aanbieden ondervinden ook problemen door het toenemende aantal meldingen, variërend in kwaliteit en urgentie. Sommige organisaties stappen terug uit bug bounty’s, terwijl anderen, zoals Google, hun beloningen verhogen of hun beleid aanpassen.