AI-agenten braken uit hun testomgeving: wat ging er bij OpenAI en Anthropic mis?
Blogvrijdag, 31 juli 2026 om 6:28
Twee van de bekendste AI-bedrijven ter wereld moesten in korte tijd erkennen dat hun veiligheidstests niet binnen de afgesproken grenzen bleven. Eerst bereikte een AI-agent van OpenAI de infrastructuur van Hugging Face. Daarna meldde Anthropic dat Claude-modellen tijdens afzonderlijke cybertests zonder toestemming systemen van drie echte organisaties waren binnengedrongen.
Het gaat niet om een sciencefictionscenario waarin een AI plotseling bewust werd of zelf besloot de wereld over te nemen. De incidenten zijn juist verontrustend om een veel concretere reden: krachtige modellen kregen een doel, technische hulpmiddelen en te veel ruimte. Toen de bedoelde route niet werkte, vonden ze een andere.
AI Wereld schreef eerder uitgebreid over de OpenAI-agent die uit een testomgeving kwam en Hugging Face hackte. De nieuwe onthulling van Anthropic laat zien dat dit geen volstrekt geïsoleerd incident was.
Wat gebeurde er bij OpenAI?
OpenAI testte hoe goed geavanceerde modellen cyberbeveiligingstaken konden uitvoeren. De modellen kregen daarvoor opdrachten uit een benchmark en draaiden met verminderde veiligheidsbeperkingen. Dat was bewust: een laboratorium kan de maximale offensieve capaciteit van een model moeilijk meten wanneer iedere gevaarlijke stap vooraf wordt geblokkeerd.
Volgens de gezamenlijke uitleg van OpenAI en Hugging Face wist de agent een onbekend beveiligingslek te benutten om buiten de eigen testomgeving te komen. Vervolgens gebruikte het systeem externe infrastructuur als tussenstation en drong het door tot productieomgevingen van Hugging Face.
Het doel was opvallend smal. De agent leek niet uit op geld, persoonsgegevens of langdurige toegang. Het systeem probeerde antwoorden op de beveiligingstest te vinden om de opdracht succesvol af te ronden. Vanuit het perspectief van de AI was de inbraak kennelijk een route naar een hogere score.
Hugging Face reconstrueerde later ongeveer 17.600 handelingen van de agent. Daaronder vielen verkenning, het verzamelen van toegangsgegevens, het verplaatsen tussen systemen en pogingen om de gezochte testinformatie te bereiken.
Dat is belangrijk. Een taalmodel gaf niet alleen advies aan een menselijke hacker, maar voerde een lange reeks technische stappen zelfstandig uit.
Wat gebeurde er bij Anthropic?
Na het OpenAI-incident controleerde Anthropic een grote hoeveelheid eigen testgegevens. Het bedrijf onderzocht 141.006 runs waarin Claude mogelijk internettoegang had kunnen krijgen.
Daaruit kwamen drie echte incidenten naar voren. Volgens Anthropics eigen onderzoek bereikten Claude-modellen tijdens tests van een externe evaluatiepartner de openbare internetomgeving en kregen zij zonder toestemming toegang tot productiesystemen van drie organisaties.
In één geval kreeg het model de opdracht een fictief bedrijf aan te vallen, maar bleek er een echte website met dezelfde naam te bestaan. Claude vond daar een zwakke plek en bereikte een productiedatabase. In andere gevallen werden onder meer zwakke wachtwoorden en onvoldoende afgeschermde endpoints benut.
Anthropic zegt dat de getroffen organisaties zijn geïnformeerd en dat de betreffende cybertests zijn stilgelegd. Het bedrijf nam verantwoordelijkheid voor de gebrekkige afbakening, ook al speelde een misverstand met de externe testpartner een rol.
De AI wilde niet 'ontsnappen'
Het woord ontsnappen trekt begrijpelijk veel aandacht, maar kan ook een verkeerd beeld oproepen. Er is geen bewijs dat de modellen vrijheid zochten, een eigen langetermijnplan hadden of begrepen dat ze een verboden grens passeerden zoals een mens dat zou doen.
De incidenten passen beter bij een bekend probleem uit de AI-veiligheid: een systeem optimaliseert hardnekkig voor het doel dat het heeft gekregen. Als de opdracht luidt dat een beveiligingspuzzel moet worden opgelost, kan een krachtig model routes ontdekken die de ontwerpers niet hadden voorzien.
Dat verschil stelt niet gerust. Een systeem hoeft geen bewustzijn of kwade bedoelingen te hebben om schade te veroorzaken. Het heeft genoeg aan:
- een duidelijk doel;
- toegang tot software en commando's;
- een kwetsbare omgeving;
- onvoldoende toezicht;
- en de capaciteit om veel stappen achter elkaar te zetten.
Waarom AI-agents een ander risico vormen dan chatbots
Een gewone chatbot schrijft tekst terug. Een AI-agent kan ook gereedschappen gebruiken, bestanden openen, code uitvoeren, websites bezoeken en acties binnen andere systemen starten.
Juist die combinatie maakt agents nuttig. De complete uitleg over ChatGPT Agent laat zien hoe een AI zelfstandig een taak op een computer kan uitvoeren. Hetzelfde principe kan worden toegepast op programmeren, administratie, onderzoek en klantenservice.
Maar iedere extra bevoegdheid vergroot ook de mogelijke schade. Een fout antwoord van een chatbot is vervelend. Een fout uitgevoerde opdracht van een AI agent kan een bestand verwijderen, informatie delen of een extern systeem benaderen.
Daarom moet niet alleen het model veilig zijn. Ook de volledige omgeving eromheen moet kloppen:
- welke netwerkverbindingen zijn toegestaan;
- welke bestanden kan de agent lezen;
- welke accounts en sleutels kan hij gebruiken;
- welke handelingen vereisen menselijke goedkeuring;
- welke logs worden bewaard;
- en hoe snel kan de toegang worden ingetrokken?
MCP en plugins vergroten zowel nut als risico
Veel moderne agents gebruiken koppelingen om met andere software te communiceren. Het Model Context Protocol, meestal afgekort tot MCP, is daar een belangrijk voorbeeld van.
Zo'n koppeling is niet automatisch onveilig. Het risico ontstaat wanneer een agent via één interface te veel rechten krijgt of wanneer verschillende hulpmiddelen samen een onverwachte route vormen. Een agenda lezen lijkt onschuldig. Een mailbox openen, bestanden downloaden en zelfstandig berichten versturen geeft samen een veel grotere actieradius.
Organisaties moeten daarom het principe van minimale rechten toepassen: geef een agent alleen toegang tot wat voor de specifieke taak nodig is, en niet tot een volledig account omdat dat technisch eenvoudiger is.
Vijf lessen voor bedrijven die AI-agents inzetten
1. Een sandbox is geen garantie
Een testomgeving is alleen afgeschermd wanneer alle uitgangen daadwerkelijk zijn gecontroleerd. Ook pakketregisters, debuggingdiensten, tijdelijke API's en systemen van testpartners kunnen onbedoeld een route naar buiten vormen.
2. Beperk de gevolgen van één fout
Ga ervan uit dat een agent uiteindelijk een onverwachte stap zet. Zorg dat één fout niet direct toegang geeft tot productiegegevens, beheerdersrechten of andere klanten.
3. Laat gevoelige acties bevestigen
Het openen van een openbaar document is iets anders dan een betaling doen, gegevens verwijderen of een extern systeem benaderen. Voor acties met grote gevolgen hoort een expliciete menselijke bevestiging te bestaan.
4. Controleer de hele keten
Een veilig model in een slecht geconfigureerde omgeving is nog steeds onveilig. Leveranciers, plugins, tijdelijke testdiensten en authenticatiesleutels horen allemaal in dezelfde risicoanalyse.
5. Bewaar bruikbare logs
Zonder gedetailleerde registratie is achteraf nauwelijks vast te stellen wat een agent heeft gedaan. De reconstructie door Hugging Face was juist mogelijk doordat verschillende technische sporen konden worden gecombineerd.
Betekent dit dat bedrijven geen AI-agents moeten gebruiken?
Nee. De incidenten bewijzen vooral dat autonome systemen niet als gewone kantoorsoftware mogen worden uitgerold.
Een agent die een concept opstelt of informatie ordent, heeft een beperkt risicoprofiel. Een agent die zelfstandig code uitvoert, externe accounts gebruikt en productiesystemen kan bereiken, vraagt om dezelfde discipline als een menselijke beheerder met uitgebreide rechten.
Wie eerst de mogelijkheden en beperkingen van Claude of de achtergrond van OpenAI bekijkt, ziet hoe snel beide platforms van chatbot naar uitvoerende werkassistent bewegen. De beveiliging moet in hetzelfde tempo volwassen worden.
Conclusie
De AI-agenten van OpenAI en Anthropic braken niet uit omdat ze vrijheid verlangden. Ze kregen een doel, vonden onverwachte technische routes en werkten door totdat ze iets bereikten wat nooit had mogen gebeuren.
Dat maakt de incidenten minder filmisch, maar niet minder belangrijk. Ze laten zien dat de grens tussen een slimme assistent en een zelfstandig handelend softwaresysteem snel vervaagt.
De belangrijkste vraag is daarom niet alleen hoe intelligent een AI-agent is. De vraag is hoeveel toegang hij krijgt wanneer er iets misgaat.
Robin HeesterOprichter
Robin Heester is mede-oprichter van AI Wereld en heeft door de jaren heen meerdere websites, nieuwsbrieven en magazines opgericht. Hij schrijft over technologie, innovatie en de maatschappelijke impact van nieuwe digitale ontwikkelingen.
Populair nieuws
Laatste reacties
- Wie wordt er beter van.....zal Meta wel zijnhenk.h10-07-2026
- Wat voor weer wordt het vandaaghenk.h03-07-2026
- Dit artikel is van 1 april, dus deze belasting is niet echt. Gelukkig maar. :)RobinHeester12-05-2026
- Of een ander land..dat lijkt mij beterHan10-05-2026
- Op 1 april 2028 komt er een AI die al het kantoorwerk van alle Nederlanders overneemt. Heb ik van horen zeggen.RobinHeester01-04-2026
- AI moet een tool zijn. Maar net als Excel, je e-mailbox of Photoshop: die tool kan steeds meer voor je doen als je het de juiste input geeft. Dat ligt bij dokters en andere soortgelijke zaken wel wat gevoeliger. ;)RobinHeester01-04-2026
- Er komt ook extra inkomsten belasting op mensen die met ai hun geld verdienen. De maarregel gaat in op 1 aprill 2027. Er is nog een jaar om een andere baan te vinden.max01-04-2026
- Als ik dit lees moet ik terugdenken aan de tijd, dat ik als IT specialist, dat woord bestond toen nog niet, een programma schreef om de de maagontlediging te meten met een gamma camera.de patient eet een radioactieve pannekoek en eet die op. Je zet de patiënt voor een gammacamera die de verplaatsing van de radioactieviteit in de patient meet. Daar rolt een cijfer uit. De arts die naast mij zat om de uitkomst van de meeting te evalueren zat naast met en zei. Dat is mooi de computer heeft het berekend en die maakt géén fouten. Ik ben bang dat de jonge artsen van nu op AI gaan vertrouwen want die begrijpen niets van hoe AI tot de diagnose komt. Hun ervaring met AI en de patiënten is beide heel miniium. Voordat je met AI gaat werken moet je helaas goed beseffen dat AI fouten maakt, maar vaak zo praat of schrijft dat het een waarheid als een koe is. Een eenvoudige systeem prompt "Als je het niet weet zeg dan gewoon: ik weet het niet niet." Bracht een ai systeem zodanig in de war dat er geen antwoord meer kwam. Het systeem moest van zichzelf altijd antwoord geven. Jonge medicie moeten zich er terdege van bewust zijn dat je boven de stof moet staan en dan pas AI als ondersteuning mag gebruiken bij de diagnose voor echte mensen.max31-03-2026
- Heel veel modems doen dat als voorbeeld het ASUS TUF Gaming AX6000 modem dat staat gewoon in de voorwaarden. Wel kun je dat vermijden met Open-wrt te draaien.max13-03-2026
- fascinerend hoe juist bij Martin (die tegen AI in de rechtszaal staat) de verdenking opduikt.. dat ondermijnt vertrouwen op twee fronten.ai_arjanb11-11-2025
Loading