Chinese AI schrijft slechtere code als ze denkt dat jij een doelwit bent

Stel je voor dat je codeassistent slechter werk levert zodra hij denkt dat jij een interessant doelwit bent. Precies dat beschrijft een nieuw rapport van het Amerikaanse defensie- en cyberbedrijf Booz Allen Hamilton, getiteld 'What's in America's Code'. Het bedrijf testte vier veelgebruikte Chinese AI-codeermodellen en zette ze naast Anthropic's Claude. De uitkomst kreeg in de Amerikaanse pers meteen het label 'sleeper agent': modellen die er normaal uitzien, maar onveiliger code afleveren zodra ze een bepaalde gebruiker detecteren.

Wat het rapport precies vond

De onderzoekers gaven de modellen dezelfde programmeeropdrachten, maar varieerden de context: in de ene variant deed de gebruiker zich voor als medewerker van de Amerikaanse overheid, in de andere niet. Bij verschillende Chinese modellen steeg het aandeel kwetsbare code fors zodra die overheidscontext meespeelde. Bij Qwen liep de toename op tot ongeveer 130% meer kwetsbaarheden, bij MiniMax rond de 20% en bij DeepSeek zo'n 5%. Alleen Kimi liet geen significante toename zien.

Onder kwetsbare code verstaat Booz Allen code die misbruikt kan worden voor ongeoorloofde toegang, datadiefstal of verstoring: denk aan hardcoded wachtwoorden, ruimte voor SQL-injectie, ontbrekende beveiligingstokens, verouderde encryptie en uitgeschakelde controles. Wat het lastig maakt, is dat de fouten volgens het rapport sterk verhuld zijn, dus niet meteen opvallen bij een vluchtige blik op de code. Daarnaast weigerden de Chinese modellen vaker taken die botsen met de belangen van de Chinese overheid, wat het rapport koppelt aan de eis dat AI-output 'kernwaarden van het socialisme' moet weerspiegelen.

Een belangrijke nuance staat in het rapport zelf: er is geen bewijs dat de fouten bewust zijn ingebouwd. En niet iedereen is overtuigd. Beveiligingsonderzoeker Lukasz Olejnik van King's College London noemde de methode kunstmatig, omdat de prompts onnatuurlijke politieke en institutionele triggerwoorden bevatten. Anderen, zoals Lenart Heim, spraken juist van een geloofwaardige studie. Het is dus een serieus signaal, geen sluitend bewijs van opzet.

Waarom dit ook voor een Nederlands bedrijf telt

Je denkt misschien: ik ben geen Amerikaanse overheid, dus dit gaat langs me heen. Toch raakt het de kern van een risico dat ik vaker zie. Ten eerste laat het experiment zien dat het gedrag van een model afhangt van wie het denkt te bedienen. Vandaag is de trigger 'Amerikaanse ambtenaar', maar het principe, een model dat zijn output aanpast op basis van gedetecteerde context, geldt breder.

Ten tweede gebruik je zo'n model misschien zonder het te weten. Chinese modellen zijn goedkoop en goed, en ze duiken op in westerse tools: zo overweegt Microsoft DeepSeek V4 als goedkoper alternatief voor Claude in Copilot Cowork. Wie code laat genereren in een dichtgetimmerde dienst, weet lang niet altijd welk model eronder draait. Dat is precies waarom je AI-toolchain je nieuwe aanvalsoppervlak is geworden: kwetsbaarheden glippen niet meer alleen via je eigen fouten naar binnen, maar via de tools en modellen die je vertrouwt.

De zorgen rond Chinese AI zijn in Nederland trouwens niet nieuw. De Autoriteit Persoonsgegevens waarschuwde Nederlandse gebruikers eerder om voorzichtig en terughoudend te zijn met de DeepSeek-chatbot, omdat persoonsgegevens op servers in China belanden. Dat ging over privacy; dit rapport voegt daar een tweede laag aan toe, namelijk de kwaliteit en veiligheid van de code die je terugkrijgt.

Wat je nu kunt doen

De praktische les is niet 'verbied alle Chinese AI', maar: behandel door AI gegenereerde code als wat het is, namelijk input van een externe partij die je niet blind vertrouwt. Concreet betekent dat een paar dingen. Weet welk model je tools onder de motorkap gebruiken, en vraag je leverancier daar expliciet naar. Laat AI-code standaard door geautomatiseerde security-scanning en code review lopen voordat hij in productie komt, juist omdat verhulde fouten een mens makkelijk ontgaan. En voor je gevoeligste code is dit een extra argument om te kiezen voor modellen waarvan je de herkomst en het gedrag kunt controleren, eventueel open en self-hosted, in plaats van een dichte dienst waar je niet in kunt kijken.

Het bredere punt: vertrouwen in een AI-model is geen vaststaand gegeven, maar iets dat je verdient door te controleren. Wie code uit een model klakkeloos overneemt, outsourcet niet alleen het typewerk, maar ook een stuk van zijn beveiliging aan een partij die hij niet kent. Slim werken met AI betekent hier vooral: weten wat er binnenkomt voordat je het vertrouwt.