Toen Amerikaanse AI je pentester weigerde, koos je al voor Beijing: guardrails zijn een inkoopbeslissing, geen bug

Toen het securityteam van Hugging Face zijn eigen inbraak wilde uitpluizen, weigerde het Amerikaanse model de klus. Te gevaarlijk, oordeelde de ingebouwde rem. Dus pakte het team een Chinees model dat wel meewerkte en ontleedde daarmee de aanval op zijn eigen systemen.

In dat ene besluit zit een waarheid die de meeste inkopers over het hoofd zien. Welk AI-model je op je beveiliging loslaat, is geen technische keuze. Het is een geopolitieke.

De guardrail die jouw verdediger tegenhoudt, is geen bug en geen ongelukje in de afstelling. Het is een keuze van je leverancier, en die keuze duwt je stilzwijgend naar een ander model, vaak eentje uit een andere jurisdictie. Neutrale AI-tooling bestaat niet. Je koos je afhankelijkheid allang, alleen niet bewust.

De rem staat niet waar je denkt

Begin bij wat er technisch gebeurt. De remmen van OpenAI en Anthropic weigeren inmiddels ook legitiem securitywerk: vraag je een gesloten model om een kwetsbaarheid te bevestigen door hem uit te buiten, dan kan het antwoord een weigering zijn, ook als het je eigen netwerk betreft.

Dat is geen slordigheid, maar een ontwerpkeuze bovenop een echt probleem. Offensief en defensief werk zijn niet te scheiden. 'Fix this code' is tegelijk de opdracht waarmee je je verdediging bouwt en de routekaart naar de kritieke lekken in diezelfde code. Dat merkt Chris Anley, hoofdwetenschapper bij NCC Group, op, en zijn team wijkt daarom soms uit naar open modellen zonder rem om een lek te kunnen valideren. De rem kan het verschil tussen jou en een aanvaller niet zien, dus zet hij hem voor allebei aan.

En let op wie er beslist. Beide labs hebben toegangsprogramma's opgetuigd: OpenAI draait 'Trusted Access for Cyber', Anthropic een 'Cyber Verification Program'. Wie door de screening komt, krijgt minder strikte remmen. Wie erbuiten valt, houdt de strenge. Een onderzoeker bij een chipfabrikant wiens werkgever buiten dat programma valt, noemt de tools daardoor nauwelijks bruikbaar: zodra een vraag naar beveiliging ruikt, slaan de remmen aan. Daarmee is de vraag of jouw defensieve werk mag geen instelling meer in jouw hand. Een leverancier bepaalt het, en achter die leverancier een overheid die de export van dezelfde modellen dicteert.

En die remmen liggen niet eens vast. In juni 2026 legde de Amerikaanse overheid exportcontroles op Anthropics zwaarste modellen nadat berichten opdoken dat hun guardrails omzeild waren, om die controles later deels terug te draaien. Het model dat vandaag je verdediging draait, kan morgen achter een exportgrens verdwijnen of juist weer opduiken. Dat is precies wat een leverancierskeuze is: geen vaste technische spec, maar een variabele die iemand anders op een ander continent voor je verzet.

De uitweg wijst naar buiten

Wat doet een team dat op die rem vastloopt? Het wijkt uit. Precies dat overkwam Hugging Face, dat na de weigering het Chinese GLM inzette om zijn eigen inbraak alsnog te ontleden. En het is geen eenmalig incident. Chris Thompson, oprichter van Offensive AI Con, waarschuwt dat verantwoordelijke onderzoekers worden weggeduwd van Amerikaans bestuurde systemen naar buitenlandse.

De bestemming is bovendien geen noodgreep van mindere kwaliteit. GLM-5.2, dat Zhipu AI in juni uitbracht, is het hoogst scorende openbare model op de gangbare intelligentie-index en draait onder een MIT-licentie zonder regio-restricties. Gratis te draaien, zonder screening, zonder rem die je defensieve werk afknijpt, en via externe aanbieders voor een fractie van de prijs van de westerse frontier. De uitweg is niet alleen open. Hij is aantrekkelijk.

Wat mij verbaast, is hoe zelden dit als een keuze wordt behandeld. Een team lost een acuut probleem op, grijpt naar het model dat werkt, en verschuift ondertussen zijn hele afhankelijkheid naar een ander werelddeel. Zonder dat er ergens een inkoopbeslissing op papier stond.

Weg bij Amerika is niet nergens

En hier wringt het. Uitwijken voelt als ontsnappen aan de afhankelijkheid, maar het is haar inruilen voor een andere. Zhipu AI, de maker van GLM, staat sinds januari 2025 op de Amerikaanse Entity List wegens nationale veiligheidszorgen. Het model dat je binnenhaalt om onder de Amerikaanse rem uit te komen, komt uit een lab dat de VS juist op afstand houdt.

Dat is het punt dat de headlines missen. Of je nu bij een gesloten Amerikaans model blijft, dat je eigen werk kan weigeren en waarvan een buitenlandse overheid de export bepaalt, of je stapt over naar een Chinees open model uit een gesanctioneerd lab: je koos een geopolitieke afhankelijkheid. Er is geen derde knop met 'geen jurisdictie'. Open-weight ontwijkt de Amerikaanse lock-in en belandt in een Chinese jurisdictie, en dat is geen ontsnapping maar een verplaatsing.

Die afhankelijkheid is niet abstract. Bij een gesloten Amerikaans model heb je een leverancier die je werk kan weigeren en een exportregime dat de toegang kan dichtdraaien. Bij een Chinees open model heb je de gewichten wel zelf in handen, maar geen westerse leverancier die aanspreekbaar is, en een herkomst die je compliance-afdeling niet zomaar wegschrijft. Geen van beide is per definitie fout. Beide vragen alleen dat je weet wat je binnenhaalt voordat het in je verdediging zit.

De rem heeft een reden, en dat verandert niets

Om eerlijk te zijn: die remmen staan er niet voor de lol, en de kritiek erop wordt te makkelijk. AI-modellen helpen aanvallers echt. Ze verlagen de drempel om exploits te schrijven, en een lab dat daar niets tegen doet, is medeplichtig aan de volgende golf. Wie de guardrail wegzet als pure betutteling, negeert het probleem dat hij oplost. En de tegenpartij heeft een tweede punt: overstappen naar een Chinees model om die rem te ontwijken is geen gratis winst. Het brengt zijn eigen compliance-, continuiteits- en jurisdictierisico mee, en voor een gereguleerde sector kan het simpelweg niet.

Allebei waar. En juist daarom klopt de geruststelling niet dat je 'gewoon het veilige model' kiest. Er is geen veilig-want-neutraal model. De Amerikaanse rem is een keuze met gevolgen, de Chinese uitwijk is een keuze met gevolgen, en zelf hosten is ook een keuze, met eigen kosten en onderhoud. Wat er niet is, is een optie zonder afhankelijkheid. De vraag is niet of je een geopolitieke gok neemt, maar of je hem bewust neemt of hem in de kleine lettertjes van je leverancier laat invullen.

Dat maakt de modelkeuze een vorm van risicobeheer en geen politiek standpunt. Het is dezelfde stille afhankelijkheid die zichtbaar wordt wanneer een leverancier zijn lekken zonder aankondiging dichtzet: je merkt pas hoeveel zeggenschap je hebt uitbesteed op het moment dat het te laat is om er nog iets aan te doen.

De keuze die je al maakte

Terug naar dat securityteam van Hugging Face. Het handelde verstandig: er lag een klus, het gesloten model weigerde, het pakte het model dat werkte. Het onthullende zit niet in wat het deed, maar in wat het blootlegde. Op het moment dat je AI inzet om je eigen huis te verdedigen, heb je al gekozen wie er meebeslist over wat je daarmee mag, en uit welke jurisdictie dat oordeel komt.

Behandel die keuze dus zoals je elke andere leverancierskeuze behandelt. Zet in je selectie en je risicoanalyse niet alleen de vraag welk model het best presteert, maar ook of dit model je eigen werk kan weigeren, wie dat beslist en onder welke vlag het valt. Draai wat je zelf kunt hosten, zodat de rem in jouw hand ligt en niet in die van een lab aan de andere kant van een exportgrens.

Neutrale AI-tooling bestaat niet. Zodra het model draait, staat er een land achter. De enige echte keuze die je hebt, is of je dat weet voordat je tekent.