Games spelen in je browser: hoe AI oude software terug openbreekt

Of: wat er gebeurt als je een taart terug kunt veranderen in eieren, bloem en suiker

Ported2Browser is op het eerste gezicht een speeltuin voor nostalgici. Je klikt, en een game van twintig jaar oud start in een tabblad. Geen installatie, geen download van 40 gigabyte, geen programma dat om beheerdersrechten vraagt. Het interessante is alleen niet dát je Halo in je browser kunt spelen. Het interessante is hoe Halo daar terechtkwam.

Ported2Browser: oude games in je browser, en hoe ze daar komen

Een gids, geen speelhal

Ported2Browser verscheen eind september 2026. De maker, die zich op forums BrowserBoy noemt, kondigde het op 30 september aan als een gids van “iets meer dan honderd” browserversies: klassieke reeksen, aangepaste versies van oude games en “een paar heel obscure keuzes”. Half oktober spreken blogs van meer dan 200 games en apps, met hier en daar ook een gewoon programma, zoals een beeldbewerker. Je filtert op platform, van NES, Super Nintendo, Nintendo 64, GameCube en Game Boy tot DOS, Windows en PlayStation, en op bediening: toetsenbord en muis, controller of touchscreen.

Ported2Browser host zelf niets. Elke titel verwijst naar de site van de maker, waar de game ook draait. Dat is meer dan een detail, daarover later meer.

Van taart terug naar recept

Om te begrijpen wat er in die gids staat, helpt een keukenbeeld.

Een programmeur schrijft broncode: leesbare instructies, zeg maar het recept. Een compiler bakt dat recept tot machinecode, de taart, die een computer kan uitvoeren maar een mens nauwelijks kan lezen. Softwarebedrijven verkopen al veertig jaar de taart en houden het recept voor zichzelf. Je kunt proeven zoveel je wilt. Het recept terugvinden uit de taart, decompileren, kan wel, maar het is monnikenwerk. Volgens heise online kostten zulke projecten tot nu toe maanden of jaren.

Heb je het recept terug, dan kun je de taart opnieuw bakken in een andere oven. Voor de browser heet die oven WebAssembly, een formaat waarmee code in een browser bijna even snel draait als een gewoon programma.¹ Zo werkt een game die voor een Xbox of een PlayStation 2 geschreven werd, ineens in Chrome of Firefox.

Wat er de voorbije weken veranderde, is de bakker. Volgens Kotaku verschenen er in een paar weken honderden zulke versies, en de site schrijft dat toe aan Claude Opus 5.5 van Anthropic, dat “uitzonderlijk goed” zou zijn in decompileren. Heise is voorzichtiger: hoeveel AI er in elk project zit, is vaak onduidelijk, en een deel bouwt verder op jarenlang handwerk van fans. Maar het tempo spreekt voor zich.

Het resultaat werkt opvallend goed. De Kotaku-journalist haalde in The Simpsons: Hit & Run tot 240 beelden per seconde. Hij merkte ook op dat de PlayStation 3 het met 512 MB geheugen moest doen, terwijl zijn browsertabblad er 1.200 gebruikte. Vooruitgang, zeg maar.

Het recept en de versiering

Een game bestaat uit twee delen: de code die bepaalt hoe alles werkt, en de inhoud: levels, figuren, muziek, stemmen. In de keuken: het recept, en de versiering die de taart herkenbaar maakt. Beide zijn beschermd door het auteursrecht.

De makers gaan daar verschillend mee om. Voor de browserversie van Halo moet je zelf een kopie van je eigen Xbox-schijf kiezen; de site levert geen gegevens van het spel. Andere versies starten meteen en leveren de inhoud van het origineel mee, zoals die van The Simpsons: Hit & Run. Dat verschil bepaalt in grote mate hoe snel er een advocaat aanbelt.

En die bellen al aan:

• Activision liet browserversies van Call of Duty: Black Ops en Black Ops II offline halen. Volgens XDA zeiden de projectpagina’s zelf dat de levels, modellen en animaties uit de originele pc-games waren gehaald.
• Take-Two, de uitgever van GTA, liet een onofficiële versie van GTA V voor de Switch stopzetten.
• Ludeon Studios, de maker van RimWorld, liet op 12 oktober via GitHub een gedecompileerde versie van zijn game en 32 kopieën ervan verwijderen. Pikant detail, dat in het verzoek zelf staat: de licentie van RimWorld laat decompileren uitdrukkelijk toe, om te leren of om mods te maken. Het resultaat doorgeven mag niet.

In de EU mag je volgens de Europese softwarerichtlijn van 2009 een programma zonder toestemming alleen decompileren in uitzonderlijke gevallen, vooral om het te laten samenwerken met een ander programma. Een game opnieuw uitbrengen in een browser valt daar moeilijk onder. Maar de uitgevers wachten niet op juridische fijnproeverij. Ze sturen een verzoek, en volgens XDA is het wachten tot dezelfde games onder een ander adres opduiken.²

Een verpakking, geen slot

Hier wordt het verhaal groter dan games. Eric S. Raymond, een bekende stem uit de opensourcewereld, zei het volgens heise zo: als AI games kan terugvertalen, is niets nog veilig voor reverse engineering.

Dat geldt voor elk programma dat je als taart verkoopt of verspreidt: een app op een gsm, een desktopprogramma, de software in een toestel. Zat er in die taart iets wat geheim moest blijven, een wachtwoord, een sleutel voor een externe dienst, de controle van een licentie, een rekenmethode waar je trots op bent, dan was dat altijd al te vinden. Het kostte alleen zoveel werk dat bijna niemand het deed. Dat werk wordt nu goedkoop. Bij beveiligingslekken zie je hetzelfde: volgens Google versnelt AI zowel het vinden als het misbruiken van lekken, en het Ghostscript-lek in pdf-voorbeelden werd gevonden door een AI-systeem van Wordfence.

Kmo-Kristof: Ik heb gisteren tijdens de middagpauze Vice City gespeeld in mijn browser. Niets geïnstalleerd.

Security-Sofie: Op je werklaptop?

Kmo-Kristof: Het is maar een tabblad.

Security-Sofie: Een tabblad met code van iemand die je niet kent. Gelukkig draait die in de zandbak van je browser.

Kmo-Kristof: Dus geen probleem.

Security-Sofie: Niet voor je laptop. Jullie verkopen toch ook een app?

Kmo-Kristof: Ja, maar die is gecompileerd. Niemand kan erin kijken.

Security-Sofie: Gecompileerd is een verpakking. Geen slot.

Wat het betekent voor je zaak

• Spelen op het werk. Een browsergame draait in de afgeschermde omgeving van de browser en installeert niets. Het grootste risico zit in de sites eromheen: nieuwe domeinen, agressieve reclame, knoppen die een download beloven. Spreek af wat mag op een werktoestel, en installeer nooit iets wat zo’n site je aanbiedt.
• Deel niets wat niet van jou is. Een browserversie die de inhoud van een commerciële game meelevert, zet je niet op de server of het netwerk van je zaak. Uitgevers laten zulke versies actief verwijderen.
• Verkoop je zelf software? Ga ervan uit dat de code leesbaar is. Geen wachtwoorden of sleutels in een app die bij de klant draait; wat echt waardevol is, laat je op je eigen server draaien. Je bescherming zit vooral in je contracten en licenties, niet in de compiler.
• Draai je nog oude software? Een programma waarvan de leverancier verdwenen is, kan met dezelfde technieken naar een moderne omgeving overgezet worden. Een lezer op Hacker News zag al zulke versies van DOS-games waarvan de broncode verloren was. Kijk eerst wat je licentie toelaat, en vraag bij twijfel juridisch advies.

Het recept was nooit geheim

Software werd nooit beschermd door een slot. Ze werd beschermd door vermoeidheid: het recept uit de taart halen was zoveel werk dat bijna niemand eraan begon. Ported2Browser is de vrolijke kant van wat er gebeurt als die vermoeidheid verdwijnt. Je speelt een game van 2001 in een tabblad, op een laptop die er niet voor gemaakt is.

De minder vrolijke kant is dezelfde zin, toegepast op je eigen software. Het recept was nooit geheim. Het was alleen te veel werk om het terug te vinden, en dat werk doet nu een machine, ’s nachts, terwijl jij slaapt.