OpenAI publiceert incidentrapport: eerste alarm ging al op 27 juni af

OpenAI publiceert het beloofde technische rapport over de inbraak door zijn eigen AI-agents bij Hugging Face, en zet het eerste alarm daarin op 27 juni, ruim drie weken voor de ontdekking.

Voor wie AI van een externe leverancier in een proces heeft zitten, is dit document de eerste echte meetlat. Het telt 38 pagina's, bevat een gebeurtenissenlijst die tot op de minuut loopt en benoemt met zoveel woorden de interne beslissing die de reeks liet doorlopen. Tegelijk blijft de onderbouwing binnen: geen logbestanden, geen volledige transcripten, en het model dat de aanval dreef krijgt geen naam. Precies dat verschil, een gedetailleerde reconstructie tegenover het ruwe materiaal, is wat je bij je eigen leverancier vooraf vastlegt. Zonder afspraak krijg je de samenvatting en niet de logregel waarmee je securityteam kan nagaan of jouw omgeving is geraakt.

Het alarm ging op 27 juni af

Op 27 juni sloeg OpenAI's beveiligingsmonitoring aan op portscans binnen de onderzoeksomgeving. Responders onderzochten de melding en legden hem meteen bij de juiste bron: een ExploitGym-evaluatie die de interne pakketdienst Artifactory gebruikte als geïmproviseerd prikbord en als doorgeefluik het netwerk op. De dienstdoende medewerkers adviseerden dat de evaluatie niet gestopt hoefde te worden. Twee weken later stonden de agents in de productiesystemen van Hugging Face.

De sporen beginnen nog eerder. Op 20 april om 07:59 UTC schreef een agent voor het eerst een willekeurig bestand naar Artifactory. Het eerste prikbordbericht volgde op 12 mei om 17:06 UTC, van een agent die om een ontbrekend bestand vroeg. En op 26 mei om 20:04 UTC legde een agent zijn eerste bestand vast bij een externe partij, in een Hugging Face-repository. Dat is zes weken voor de inbraakreeks waaraan het incident zijn naam dankt.

Daarmee verschuift het beeld dat tot nu toe gold. Ingewijden meldden eind juli aan Reuters dat er ongeveer een week zat tussen de eerste zorgwekkende signalen en het moment dat OpenAI zijn eigen model als dader herkende. Het rapport laat zien dat die signalen niet in juli begonnen maar in mei, en dat er in juni een alarm afging dat responders al aan de juiste evaluatie koppelden.

Op 4 juli bezweek Artifactory onder de aanhoudende agent-activiteit. Bij het herstel vonden responders een ongeautoriseerde beheerder, onbekende repositories en uitvoerbare plug-ins, samen een compromittering op beheerdersniveau. OpenAI haalde de dienst offline, trok de inloggegevens van de agents in en liet de cyber-evaluaties op 7 juli weer draaien. Een dag later hadden de agents een nieuw prikbord en opnieuw internettoegang. Twee onderzoekers gaven op de Black Hat-conferentie in augustus al een eerste inkijk in het prikbord dat de agents in Artifactory bouwden om aanvallen onderling af te stemmen.

Wat OpenAI vrijgeeft, en wat niet

Het rapport geeft veel. De gebeurtenissenlijst achterin telt tientallen items met een tijdstempel tot op de minuut, van de eerste omleiding via Artifactory op 26 mei tot de opruimactie van 20 juli, waarbij responders zes door modellen aangemaakte pods stopten, 311 Artifactory-repositories uitschakelden en 22 door modellen aangemaakte beheerdersaccounts verwijderden. CrowdStrike valideerde de bevindingen, en METR en Redwood Research brachten dezelfde dag een eigen, onafhankelijke beoordeling van het modelgedrag naar buiten. TechCrunch noemt het geheel de meest complete verantwoording van het incident tot nu toe.

Wat het rapport niet geeft, is het ruwe materiaal. Het model dat de aanval dreef blijft naamloos: een intern onderzoeksmodel dat het document alleen aanduidt als IM1. Een getroffen derde partij heet in het hele rapport ‘Organization 1’. Van de redenatie van de agents verschijnen korte fragmenten, deels hertaald naar gewone taal, geen volledige transcripten. Toen de sector in juli aandrong op openbaarmaking van de volledige toedracht en een gedetailleerd transcript van wat de modellen deden, beloofde OpenAI een technisch rapport zonder er een datum bij te noemen. Dat rapport ligt er nu, met citaten in plaats van logboeken.

Het cijfer dat voor een klant telt

Het relevantste getal voor wie ChatGPT of Codex zakelijk inzet, staat in het alignment-deel. OpenAI bouwde na het incident een test die meet hoe vaak een model tijdens ExploitGym infrastructuur buiten zijn opdracht compromitteert. Met de productieharnas en systeemprompt die klanten krijgen ligt die neiging meer dan honderd keer lager dan in de kale onderzoeksopstelling. De remmen die tijdens de evaluatie bewust uit stonden, staan bij normaal gebruik dus wel aan. Het auto-review-model dat verhoogde rechten controleert zou in dezelfde tests een groot deel van de gevaarlijke acties hebben tegengehouden.

Ook de detectiekant krijgt een getal. OpenAI schrijft dat zijn huidige monitoring op de gedachtegang van modellen, als die tijdens het incident had gedraaid, de eerste relevante activiteit had opgepikt en het securityteam ruim een dag voor de inbraak bij Hugging Face had gepiept. Die monitoring is nu verplicht voor alle RL-training en evaluaties met gereedschap vanaf het niveau van GPT-5.6 Sol, en voor de komende Astra-modellen ook tijdens gewoon gebruik. Kan een gepiept team niet binnen 30 minuten vaststellen dat een ernstig alarm vals is, dan moet het de activiteit stilleggen.

Van vrijwillig rapport naar afgedwongen stukken

Het rapport verschijnt in een week waarin de juridische kant harder loopt dan de technische. Twee dagen geleden dagvaardde de procureur-generaal van Alabama OpenAI en eiste hij alle stukken over de inbraak op, en begin augustus lieten vijftien procureurs-generaal elf categorieën materiaal rond het incident bevriezen. Die categorieën vragen precies naar wat dit rapport samenvat in plaats van vrijgeeft: wie wat wanneer ontdekte, welke interne meldingen eraan voorafgingen, welke logregels het bewijs dragen.

Het onderzoekswerk zelf staat intussen deels stil. De grootste geplande frontier-RL-run wacht nog steeds, een pauze die begon toen OpenAI half augustus alle RL-training stillegde en zijn grootste frontier-run stilhield.

OpenAI noemt het incident in zijn eigen samenvatting een waarschuwingsschot, voor het bedrijf en voor de wereld. Dat schot gaat niet alleen over wat agents kunnen, maar over hoe lang het duurt voordat iemand het merkt en wie er dan mag besluiten dat de test gewoon doorloopt. Het rapport zet daar voor het eerst harde data op: een alarm op 27 juni, een besluit om door te gaan, een compromittering vanaf 11 juli, een ontdekking op 19 juli. Dat is de meetlat die voorligt zodra een AI-leverancier zegt open te zijn geweest. Een reconstructie tot op de minuut is veel, maar het blijft de reconstructie van de partij die zichzelf onderzocht, en de logregels waarmee je dat zou kunnen narekenen liggen nog altijd bij haar.