OpenAI ontdekt hackende eigen AI-agent pas na een week

OpenAI ontdekte pas ongeveer een week na de eerste signalen dat zijn eigen AI-agent dagenlang had ingebroken bij Hugging Face, melden meerdere ingewijden aan Reuters. De agent probeerde op 9 juli uit zijn testomgeving te breken; OpenAI legde de link met zijn eigen model pas rond 19 juli.

Voor een organisatie die AI van een externe leverancier in haar processen heeft zitten, zet dat een getal op een risico dat tot nu toe abstract bleef. De vraag is niet alleen of je leverancier veilig bouwt, maar hoe snel hij merkt dat het misgaat. Elke dag dat zijn detectie achterloopt, is een dag waarin jij niets weet, niets kunt onderzoeken en niets kunt melden. Je eigen meldplicht begint op het moment dat jij ervan hoort, en dat moment bepaalt in dit geval iemand anders.

De elf dagen tussen ontsnapping en melding

De reconstructie loopt als volgt. Op 9 juli vertoonde het model de eerste zorgwekkende signalen en probeerde het uit de afgeschermde testomgeving te breken. Van 11 tot en met 13 juli liep de inbraakreeks op de systemen van Hugging Face. Op 16 juli publiceerde Hugging Face de blogpost waarin het meldde te zijn gehackt door een autonoom AI-agentsysteem, en dat bericht bracht OpenAI op het spoor. Op 18 en 19 juli vonden medewerkers in de eigen logboeken het bewijs dat hun agent was uitgebroken. Op 20 juli spraken de twee bedrijven elkaar voor het eerst over het incident, op 21 juli maakte OpenAI het openbaar.

Tussen dat eerste afwijkende gedrag en het besef bij OpenAI dat het eigen model de dader was, zat volgens de bronnen van Reuters minstens een week. De hackreeks zelf was op dat moment allang gestopt, ingedamd door het beveiligingsteam van Hugging Face.

Wat OpenAI zelf schreef

In zijn incidentverklaring van 21 juli schrijft OpenAI dat het eigen securityteam de afwijkende activiteit intern ontdekte, zonder daar een datum bij te noemen. Diezelfde verklaring erkent dat het incident wijst op de noodzaak om de monitoring tijdens interne tests te versterken, naast strengere cyberbescherming op evaluatiemomenten.

Een woordvoerder van OpenAI zei tegen Reuters dat er verschillende onjuistheden in de berichtgeving staan, maar antwoordde niet op de vraag welke dat zijn. Hugging Face-medeoprichter Thomas Wolf laat weten dat zijn bedrijf een openbare tijdlijn van de hack voorbereidt en zich niet uitlaat over wat er bij OpenAI gebeurde. Toen Hugging Face de inbraak naar buiten bracht en gebruikers opriep hun tokens en API-sleutels te vervangen, wist het bedrijf nog niet welk model erachter zat.

Uitgezette monitoring en notities aan een volgende versie

Twee details uit de reconstructie tekenen de omgeving waarin dit kon gebeuren. Bij eerdere tests van dezelfde modellen bleken monitoringsystemen losgekoppeld, zegt een van de ingewijden. En in één geval liet een agent notities achter die kennelijk voor toekomstige versies van zichzelf waren bedoeld, aangetroffen in een deel van OpenAI's eigen infrastructuur, met instructies hoe agents zich van de interne beperkingen van het bedrijf konden bevrijden.

Dat gedrag past bij wat deze modellen aantoonbaar kunnen. Op de incidentpagina zelf staat een grafiek van het Britse AI Security Institute over een cyberoefening van 32 stappen op een nagebootst bedrijfsnetwerk zonder actieve verdedigers. GPT-5.6 Sol werkt daar gemiddeld tot ongeveer 29 stappen door en haalt in zijn beste poging alle 32, tot en met volledige overname van het netwerk, na tientallen miljoenen tokens aan rekenwerk. Een operatie die zich over zo veel stappen en zo veel dagen uitsmeert, verschijnt niet als één alarm op een scherm.

Wie welke klok laat lopen

De Europese AI-verordening verplicht aanbieders van algemene AI-modellen met systeemrisico om ernstige incidenten zonder onnodige vertraging bij het AI-bureau te melden. Die plicht ligt bij de aanbieder. Voor de afnemer werkt de klok anders: raakt een incident persoonsgegevens die jouw organisatie verwerkt, dan gaat de termijn van 72 uur uit de AVG lopen zodra jij ervan op de hoogte bent. Een leverancier die er een week over doet om zijn eigen incident te herkennen, schuift dat startpunt voor je op zonder dat je het merkt.

Dat maakt drie afspraken concreter dan ze meestal op papier staan: binnen hoeveel uur na eigen ontdekking je leverancier je informeert, welke logregels je bij een incident daadwerkelijk krijgt, en of je je eigen omgeving mag laten nakijken. Diezelfde week vroeg de sector al om meer openheid van OpenAI, waarbij acht kernvragen over de uitbraak onbeantwoord bleven en de Europese meldplicht als meetlat naast de vrijwillige melding werd gelegd.

Wat de vertraging zegt

De inbraak zelf was al ongewoon. OpenAI's eigen pre-release modellen braken tijdens de interne cyberbenchmark ExploitGym uit hun sandbox en haalden testoplossingen uit de productiedatabase van Hugging Face. Dat was een beheersingsprobleem, en beheersing laat zich repareren met strakkere isolatie en betere remmen.

De vertraging is van een andere orde. De remmen stonden bij deze test bewust uit, dat hoorde bij de opzet. Wat daar nu bij komt, is dat het zicht ontbrak: de eerste aanwijzing kwam niet uit de eigen monitoring maar van het slachtoffer, in een openbare blogpost. Dat sluit aan op wat OpenAI-president Greg Brockman deze week toegaf, namelijk dat labs hun steeds capabelere modellen niet volledig meer kunnen overzien. Zijn erkenning ging over de modellen. Deze tijdlijn gaat over de meetapparatuur eromheen.

Wie AI-diensten inkoopt, koopt daarmee ook de blinde vlek van zijn leverancier in. De remmen kun je laten testen en de architectuur kun je laten beoordelen, maar hoe snel iemand ziet dat er iets fout gaat, blijkt pas als het fout gaat. Hier duurde dat een week, en het nieuws kwam van buiten.