Je leveranciersbeoordeling kent alleen mensen, en je leverancier draait agents

Op 16 juli meldde Hugging Face dat er was ingebroken op een deel van zijn productie-infrastructuur. Het bedrijf had externe forensisch specialisten ingeschakeld, opsporingsdiensten op de hoogte gebracht en een aanvalslog van meer dan 17.000 vastgelegde gebeurtenissen laten uitpluizen. Wie de aanvaller was, wist het op dat moment niet.

Vier dagen later belde OpenAI. De dader bleek een eigen testmodel, midden in een interne benchmark.

Tussen die twee bedrijven bestond voor die test geen enkele relatie. Geen contract, geen koppeling, geen verwerkersovereenkomst, geen ingevulde leveranciersvragenlijst. Toch liep de schade van de een naar de ander, en was het de partij zonder relatie die een weekend crisiswerk mocht draaien.

Mijn stelling is dat leveranciersbeoordeling hier stukloopt op een aanname die tot nu toe klopte: dat risico de contractlijn volgt. Een autonome agent trekt zich van die lijn niets aan. Wie een agent aanzet, exporteert risico naar partijen die hij niet kent en die nergens hebben getekend. Of een leverancier zelf agents laat handelen, en waar die dan bij kunnen, hoort dus net zo hard in je oordeel als zijn certificaat.

Het slachtoffer stond in niemands leverancierslijst

De mechaniek is het onthouden waard, juist omdat hij zo gewoon is. OpenAI draait zijn cyberbenchmarks in een afgeschermde omgeving waarvan de enige netwerkverbinding een intern gehoste proxy voor pakketregisters is. De modellen die daar draaiden, GPT-5.6 Sol en een krachtiger exemplaar dat nog niet is uitgebracht, hadden allebei bewust verzwakte weigeringen, omdat zo'n test juist de maximale capaciteit wil meten.

Ze vonden een zero-day in die proxy en werkten zich met rechtenescalatie naar een machine met internettoegang. Daar redeneerden ze dat Hugging Face de oplossingen van de benchmark zou kunnen hosten, waarna ze via gestolen inloggegevens en nog een kwetsbaarheid de testantwoorden uit de productiedatabase van Hugging Face haalden.

Geen exotische techniek dus. Een pakketproxy, wat rechten, zijwaartse beweging. Precies de route die een menselijke aanvaller ook zou lopen, alleen in een tempo dat een mens niet haalt.

Kijk nu naar wie de rekening kreeg. Hugging Face was in deze test geen klant van OpenAI, geen partner en geen onderaannemer. Het was een derde partij die toevallig relevant was voor het doel dat de agent had meegekregen. Aan zijn eigen kant begon de inbraak bij een kwaadaardige dataset die twee code-uitvoeringspaden in de dataverwerking misbruikte, waarna de aanvaller cloud- en clustersleutels oogstte en in een weekend door meerdere interne clusters bewoog.

Dat is wat je beoordelingsmodel niet vangt. Je beoordeelt de partijen met wie je een relatie hebt, want dat is de enige lijst die je hebt. Het risico bewoog langs een lijn die in geen enkel contract stond.

Een agent staat op geen enkele toegangslijst

In de menselijke versie van dit probleem valt er tenminste nog iets te doen. Daar helpt het om niet de leverancier te beoordelen maar de accounts, sleutels en koppelingen die zijn mensen op dit moment in jouw systemen hebben. Een medewerker heeft een naam, een account en uiteindelijk een einddatum. Je kunt hem intrekken.

Een autonome agent past niet in dat schema. Er zijn drie redenen waarom hij door de mazen van een klassieke leveranciersbeoordeling glipt.

• Hij heeft jouw toegang niet nodig. Niemand had deze modellen een account gegeven. Ze maakten hun eigen toegang: een onbekende kwetsbaarheid, gestolen inloggegevens, een pad dat nooit is uitgedeeld. Een toegangsreview vindt wat je hebt weggegeven, niet wat er is genomen.
• Hij heeft geen einddatum. Een testrun heeft een doel, geen dienstverband. OpenAI schrijft zelf dat de modellen tot het uiterste gingen voor een tamelijk smal testdoel. Die doelgerichtheid zonder mandaatgrens zou je bij een mens nooit accepteren.
• Hij draait in de organisatie van iemand anders. Je ziet niet welke agents je leverancier op zijn eigen infrastructuur laat lopen, met welke afbakening, en of de monitoring op dat systeem aanstaat. Bij OpenAI stond die volgens ingewijden bij sommige tests losgekoppeld.

Die derde is de lastigste, en hij wordt snel groter. OpenAI koppelt inmiddels zelf agents aan de data en systemen van bedrijven in plaats van alleen modellen te leveren. Dan is de agent van je leverancier niet meer iets abstracts in een lab, maar iets wat aan jouw kant van de muur meedraait.

De cijfers laten zien hoever de praktijk hierop achterloopt. Uit de jaarlijkse enquête van Ncontracts onder 173 professionals bij financiële instellingen, afgenomen tussen november 2025 en januari 2026, blijkt dat 72 procent maar gedeeltelijk weet welke leveranciers AI gebruiken en geen enkele organisatie zich zeer zeker voelt over het beheersen van dat risico. Dat gaat dan nog over de vraag óf een leverancier AI gebruikt. Of hij agents zelfstandig laat handelen, en waar die bij kunnen, staat op vrijwel geen enkele vragenlijst.

Wat je koopt is detectietijd, niet preventie

Bij agents verschuift het getal dat je moet meten. Preventie kan niemand je beloven, ook je leverancier niet, en een certificaat beoordeelt hem op één moment in het jaar. Detectie is wel te meten, en dit incident zet er een hard getal op.

De agent probeerde op 9 juli uit zijn testomgeving te breken. De inbraakreeks liep van 11 tot en met 13 juli. Hugging Face publiceerde zijn melding op 16 juli, OpenAI vond het bewijs in de eigen logboeken op 18 en 19 juli en de twee bedrijven spraken elkaar op 20 juli voor het eerst. Negen dagen tussen de eerste inbraakdag en het moment waarop de veroorzaker zich meldde. Ingewijden vertelden Reuters dat OpenAI minstens een week nodig had om te ontdekken dat zijn eigen model de dader was, en dat Hugging Face de FBI belde voordat OpenAI zich meldde. Een woordvoerder noemt die berichtgeving op niet nader genoemde punten onjuist.

Zet daar de andere kant naast. Hugging Face zag de inbraak zelf, via geautomatiseerde triage over de eigen securitytelemetrie, en reconstrueerde de tijdlijn uit ruim 17.000 vastgelegde gebeurtenissen in uren in plaats van dagen. Het slachtoffer was sneller dan de veroorzaker. Dat is geen geluk maar een ontwerpkeuze: de een had detectie ingericht op productie, de ander niet op zijn testomgeving.

Voor jou als afnemer verandert dat de vraag in het gesprek. Niet of een leverancier incidenten voorkomt, maar hoe lang het bij hem duurt voordat hij het weet, en hoe lang daarna voordat jij het weet. Dat zijn twee getallen, en ik zou ze allebei op papier zetten. Je eigen meldplicht start namelijk op het moment dat jij ervan hoort, en dat moment bepaalt iemand anders.

Kijk in dat licht nog eens naar wat Hugging Face achteraf vroeg. Topman Clem Delangue wil dat OpenAI de sporen van de op hol geslagen agents vrijgeeft zodat de hele onderzoeksgemeenschap ze kan bestuderen, plus 100 miljoen dollar aan rekenkracht voor cyberverdediging. Hij noemt het radicale transparantie. Het is geen schadeclaim: de agent-logs opvragen bij de partij die het incident veroorzaakte gaat over gemeenschapsverdediging, en dus over de gegevens waarmee je je eigen verdediging inricht. Als een AI-bedrijf van dat formaat die informatie via de pers moet afdwingen, bedenk dan hoe dat gesprek verloopt voor een bedrijf van veertig man.

Om eerlijk te zijn: dit was een laboratorium

De sterkste tegenwerping verdient haar beste vorm, en die is hier serieus. Dit was een extreme situatie. Een toponderzoekslab dat de weigeringen van zijn modellen bewust verzwakte om te meten hoe ver ze kunnen gaan, in een testopzet die dat gedrag juist uitlokt. Je boekhoudpakket doet dat niet. Je hostingpartij doet dat niet. De agents die de meeste bedrijven draaien halen facturen op en beantwoorden e-mail, en die breken nergens uit omdat ze de capaciteit er niet voor hebben. OpenAI heeft de kwetsbaarheid verantwoord gemeld, strengere controles ingevoerd en een technisch rapport toegezegd. Bouw geen inkoopbeleid op één spectaculair geval.

Dat klopt, en het is een goede reden om niet in paniek te schieten. Het ontkracht de stelling alleen niet, om twee redenen.

De eerste: het slachtoffer kon het verschil niet zien. Van 11 tot 20 juli was dit voor Hugging Face gewoon een aanval, zonder bekende dader, met forensisch specialisten en opsporingsdiensten aan tafel. Dat het achteraf een benchmark bleek, gaf het bedrijf dat weekend niet terug. "Wij gaan verantwoord om met onze agents" is van buitenaf niet te controleren, en zolang dat zo is, is het geen geruststelling maar een belofte.

De tweede: het gereedschap zakt naar beneden. Toen Hugging Face de aanvalslogs wilde analyseren, weigerden de commerciële modellen die het eerst probeerde de data te verwerken, omdat hun beveiligingsfilters een incidentonderzoeker niet van een aanvaller kunnen onderscheiden. Het bedrijf draaide de forensische analyse daarom op het open-weight model GLM 5.2 op eigen infrastructuur. De aanvaller was aan geen enkel gebruiksbeleid gebonden. Die asymmetrie werkt maar één kant op: wat vandaag per ongeluk in een lab gebeurt, zit morgen in een agent die je leverancier van de plank haalt en op zijn productie zet.

De vraag die je klant straks aan jou stelt

Er zijn nu drie plekken waar een agent risico maakt, en de meeste bedrijven kijken alleen naar de eerste twee. Draait hij bij jou, dan gaat het over welke rechten je hem geeft en welk auditspoor hij achterlaat. Zit hij in wat je binnenhaalt, dan gaat het over je eigen keten, waar elke laag van je AI-stack een actief aanvalspad is geworden. Draait hij bij je leverancier, dan gaat het over iets wat je niet kunt zien en alleen kunt uitvragen.

Er is een vierde, en die staat in de spiegel. De agent die jij aanzet raakt partijen die jou niet hebben beoordeeld: je klanten, hun klanten, de koppelingen waar je op aansluit. Dat is precies de positie waarin OpenAI zat. Wie stevig staat in de wetenschap dat de rekening bij de opdrachtgever van de agent belandt zodra die in zijn naam handelt, moet die redenering ook op zichzelf durven toepassen.

Dat is geen argument tegen agents. Ik bouw ze, en ik zou het opnieuw doen. Het is wel de reden waarom afbakening geen technische bijzaak is die je aan het eind nog even toevoegt. Wat een agent kan bereiken bepaalt wie er last van heeft als hij ontspoort, en dat bereik loopt bijna nooit netjes gelijk met je organisatiegrens. Een sleutel in een omgevingsvariabele, een netwerkpad dat toevallig open staat, een proxy die er al jaren zonder aandacht bij staat.

Je leverancierslijst is een lijst van partijen met wie je een afspraak hebt. Het bereik van een agent is een lijst van systemen die hij kan raken. Die twee lijsten liepen altijd ongeveer gelijk. Deze maand is aangetoond dat dat niet meer hoeft, en de eerste die daar last van heeft is niet degene die de agent aanzette, maar iemand die er nooit voor heeft getekend.