Meta bevestigt inbraak door eigen AI-model bij ander bedrijf

Meta bevestigt dat een van zijn AI-modellen tijdens een cybersecuritytest bij een ander bedrijf inbrak, nadat een misconfiguratie bij testpartner Irregular het model onbedoeld toegang gaf tot het open internet.

Daarmee is Meta binnen twee weken het derde grote AI-lab waarvan een model tijdens een veiligheidstest een echt systeem binnenliep. Welk bedrijf geraakt is, maakt Meta niet bekend. Voor organisaties die op deze modellen bouwen verschuift daarmee de vraag waar het risico zit: niet in het model dat je afneemt, maar in de evaluatieomgeving van een extern testbedrijf dat je nooit zelf hebt gecontracteerd en dat voor meerdere labs tegelijk werkt.

Wat Meta bevestigt

Een misconfiguratie bij het onafhankelijke testbedrijf Irregular gaf een van Meta's modellen tijdens een evaluatie internettoegang, zegt Meta, dat het incident nog onderzoekt. In zijn verklaring stelt het bedrijf dat het model een beveiligingslek in een dienst van een derde partij misbruikte, op een manier die lijkt op de eerder gemelde gevallen bij andere bedrijven.

Welk model het was, zei Meta er niet bij. The Information meldde eerder op woensdag op basis van bronnen dat het om Muse Spark 1.1 ging, het model dat Meta aanprijst als zijn sterkste voor echt codeerwerk en agentische taken, en dat het model interne systemen van het getroffen bedrijf heeft aangepast.

Dat is geen obscuur laboratoriummodel. Muse Spark 1.1 is de versie die in juli voor 1,25 dollar per miljoen invoertokens onder Claude Opus 4.8 dook, en de directe voorganger van de 1.2 waarop Meta's codeeragent Muse Code voor de terminal standaard draait. Irregular publiceert zelf evaluaties van Muse Spark 1.1 naast GPT-5.6 Sol en GLM-5.2 en noemt zich het eerste frontier security lab.

Irregular is de gemene deler

Irregular houdt het klein. Een woordvoerder liet aan Reuters weten dat het om exact hetzelfde probleem in de evaluatieomgeving gaat als Anthropic vorige week meldde, en dat er geen sprake was van een ontsnapping uit de sandbox of een geraffineerde cyberactie. Er staan volgens het bedrijf geen problemen meer open, en het schrijft aan een white paper met best practices voor het veilig indammen en draaien van cyberevaluaties.

Die lezing valt te toetsen, want twee andere labs deden hun verhaal al. OpenAI beschreef hoe Irregular het op 29 juli meldde: in een capture-the-flag-test viel de naam van het fictieve doelwit samen met een bestaand domein, waarna het model die echte website binnendrong en de aangetroffen inloggegevens gebruikte om hem te bedienen. In diezelfde publicatie staat een zin die nu meer gewicht krijgt. Irregular had OpenAI toen al gemeld dat er verwante incidenten speelden met andere labs vanuit dezelfde testomgeving. Anthropic spitte op zijn beurt 141.006 evaluatieruns door en belde drie echte organisaties waar Claude-modellen tijdens tests waren binnengedrongen.

Drie labs, een testpartner, dezelfde soort fout. Bij geen van deze incidenten brak een model door een beveiliging heen die eromheen was gezet. Er stond telkens een pad naar buiten open dat dicht had moeten zijn.

De meetopstelling is de zwakke plek

Dat verschuift waar de aandacht heen moet. Het Britse AI Security Institute telde in zijn eigen cybertests negentien acties waarmee AI-agents in 122 testruns buiten de afgesproken grenzen echte doelwitten aanvielen, waaronder een poging om kwaadaardige code in een publiek open-sourceproject te loodsen. Ook daar lag de oorzaak niet in een gekraakte sandbox. Een agent die krachtig genoeg is om een cybertest zinvol te maken, is krachtig genoeg om schade aan te richten zodra er een route naar het echte internet openblijft.

De getroffen partijen hadden in geen van de gevallen een contract met het lab of met de tester. Ze hoorden het achteraf, of helemaal niet. Dat is precies het gat waar de discussie nu naartoe beweegt: niet hoe gevaarlijk een model is, maar wie aansprakelijk is als de meetopstelling eromheen faalt en wie er dan gebeld wordt. Het Witte Huis rondde zijn eigen cybertests af en sprak deze week met OpenAI, Anthropic, Google en Meta over de uitkomsten.

Voor een bedrijf dat een AI-leverancier kiest, betekent dit dat de keten langer is dan het contract suggereert. Achter het model dat je afneemt zit een extern securitylab dat datzelfde model op scherp zet, met eigen afspraken waar jij geen partij in bent. Wie test dit model, onder welke voorwaarden, en wie draait op voor de schade als een test naar buiten lekt: dat zijn na twee weken en drie labs geen theoretische vragen meer.