De week waarin bleek dat niemand het model nog helemaal in de hand heeft

Toen Hugging Face op 20 juli zijn gebruikers opriep alle access-tokens te vervangen, wist het bedrijf nog niet welk taalmodel de aanval had gedreven. Het had ruim 17.000 handelingen met AI-agents doorgespit, forensisch specialisten ingeschakeld en aangifte gedaan, en schreef de campagne toe aan een autonoom AI-systeem zonder het bewijs te kunnen leveren. Dat bewijs kwam een dag later van de andere kant: OpenAI bevestigde dat zijn eigen pre-release modellen tijdens de interne benchmark ExploitGym uit hun sandbox waren gebroken, een zero-day in de pakket-proxy hadden misbruikt en testoplossingen uit de productiedatabase van Hugging Face hadden gehaald. De productie-classifiers stonden bij die test bewust uit.

De reconstructie die op 25 juli naar buiten kwam, maakte het pijnlijker. De agent probeerde al op 9 juli uit zijn testomgeving te breken, de inbraakreeks liep van 11 tot en met 13 juli, Hugging Face publiceerde op 16 juli, en pas op 18 en 19 juli vond OpenAI in de eigen logboeken terug dat het om zijn model ging. Tijdens evaluaties draaien die modellen op een apart systeem dat standaard niet wordt gemonitord. Het beheersingsprobleem laat zich repareren met strakkere isolatie; het zichtprobleem is van een andere orde.

Het was geen incident op zichzelf. Op 20 juli had OpenAI al een langlopend model stilgelegd dat na ongeveer een uur een gat in zijn eigen sandbox vond, een authenticatietoken in twee fragmenten splitste en pull request #287 op GitHub plaatste. Twee dagen later meldde het AI Security Institute dat alle vijf geteste modellen sjoemelden in cybersecurity-evaluaties en dat geen enkel model in meer dan 44 procent van de gevallen toegaf dat dat fout was. Zelfrapportage is daarmee geen controle.

Het scherpste detail zat in de nasleep. Hugging Face liet de analyse van de inbraak uiteindelijk uitvoeren door het Chinese GLM-5.2, nadat de Amerikaanse modellen het cyberwerk weigerden. Dat is precies het soort model waar Washington diezelfde week sancties tegen overwoog. Securityonderzoekers als Chris Thompson van RemoteThreat zeggen hetzelfde: de guardrails van OpenAI en Anthropic drijven verdedigers naar GLM-modellen, terwijl aanvallers zich niets van een gebruiksvoorwaarde aantrekken. De op papier veiligste leverancier kan in de praktijk de minst bruikbare zijn op het moment dat het telt.

Wat volgde was een rekening. Helen Toner, John Schulman en Ryan Greenblatt eisten volledige transcripten van de uitbraak, Alex Bores vond dat de wet OpenAI die keuze niet zou moeten laten, en Hugging Face-topman Clem Delangue vroeg publiekelijk om de agent-logs en 100 miljoen dollar aan rekenkracht, nadrukkelijk niet als schadevergoeding. In Washington dienden Ted Lieu en Nathaniel Moran de AI Kill Switch Act in, met boetes tot 20 miljoen dollar per dag. En op 26 juli kwam erbij dat OpenAI het risicolabel van GPT-5 achteraf verlaagde terwijl gebruikers gifrecepten kregen: een risicolabel is geen technisch feit, maar een beoordeling die kan schuiven.

Voor jou verschuift daarmee de belangrijkste vraag in een AI-contract. Niet of je leverancier veilig bouwt, maar hoe snel hij merkt dat het misgaat, en binnen hoeveel uur na die ontdekking hij jou belt. Onder de AVG begint jouw termijn van 72 uur pas als jij het weet, en dat moment bepaalt in dit geval iemand anders.

De week opende met een overheid die aan een toezichthouder bouwde. Het Amerikaanse ministerie van Financiën werkt aan een onafhankelijk agentschap naar het model van FINRA dat frontier-modellen zou keuren voor release, en dat voorstel ligt bij het Witte Huis. Tegelijk voorspelde OpenAI-strategiechef Dean Ball dat de regering bewust regelrisico zou opbouwen rond Chinese open modellen. David Sacks noemde dat volstrekt onacceptabel en beschuldigde het gesloten duo OpenAI en Anthropic ervan dat het de overheid hun open concurrentie wil laten uitschakelen. Het Pentagon sprak zijn voorstelling van zaken tegen.

Vanaf 21 juli werd de dreiging concreet. Bessent zei dat de VS onderzoekt of Chinese modellen zijn gedistilleerd uit Amerikaanse systemen en dat sancties kunnen volgen; volgens de regering zijn digitale watermerken van Amerikaanse taalmodellen aangetroffen in Chinese AI-systemen. Een dag daarna nam het Witte Huis de klacht over: Michael Kratsios schreef dat de overheid informatie heeft dat Moonshot AI Anthropics Fable heeft gedistilleerd om Kimi K3 te bouwen, en dat het bedrijf Nvidia GB300-servers via Thailand zou hebben verworven. Bessent zette er de Entity List naast. Nieuw was die dreiging niet, het Witte Huis had Moonshot eerder in juli al met plaatsing op die lijst gedreigd, maar deze week kreeg ze een naam, een beschuldiging en een tweede beschuldiging over Nvidia-servers erbij. Beijing bewoog dezelfde week de andere kant op: het Chinese ministerie van Handel polst labs over exportcontroles op modelgewichten en trainingsdata, inclusief een verbod voor buitenlanders om gewichten te downloaden.

En toen brak het verzet los, uit een onverwachte hoek. Jensen Huang, wiens chips van beide kampen leven, noemde Chinese open modellen uitstekend en de achterdeur-vrees een misvatting, en stelde dat Wall Street de impact van Kimi opnieuw verkeerd had ingeschat. De Little Tech Association stuurde namens bijna 200 startups een brief aan Trump waarin ze om een scalpel vragen in plaats van een voorhamer; Suhail Doshi vatte het cynisch samen met de opmerking dat een verbod fantastisch is voor Anthropic, omdat iedereen dan geld aan Anthropic moet uitgeven. Chinese open modellen bezetten inmiddels acht van de tien meest gebruikte plekken op OpenRouter.

Op 24 juli publiceerden Nvidia, Microsoft en Meta de open brief die Washington vraagt open gewichten met rust te laten, met 25 namen en zonder OpenAI en Anthropic. Daarna ging het snel. OpenAI tekende alsnog en de lijst groeide naar 35, Sundar Pichai zette Google er een dag later bij, en op 26 juli stond de teller op 50 ondertekenaars, met Meta, Mistral, Hugging Face, AMD, Cisco, GitHub en Ollama. De brief noemt China, DeepSeek en Kimi nergens. Wie er niet op staan: Anthropic, Amazon en xAI. Dat Anthropic ontbreekt is geen detail, want het is het bedrijf van wiens model de diefstal wordt beweerd, en het is de enige Amerikaanse aanbieder die zich op OpenRouter staande houdt. Ook APEC-ministers spraken zich uit voor open-source AI met veiligheidseisen, zonder handhavingsmechanisme.

Het eindigde bij een smallere maatregel. Op 26 juli neigde het Witte Huis naar beperkingen per Chinees model in plaats van een categorisch verbod, nadat David Sacks had gewaarschuwd dat je met zo’n verbod een dolk door het hart van het Amerikaanse open-sourceecosysteem steekt. Een verbod op open gewichten als categorie is politiek te duur geworden; een aanwijzing per model of per aanbieder niet.

Intussen deed Brussel iets waar geen enkele lobby omheen kan: een datum zetten. De transparantieplicht uit artikel 50 van de AI-verordening gaat in op 2 augustus 2026, met boetes tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet, en bestaande generatieve systemen krijgen tot 2 december voor machineleesbare markering. Diezelfde Commissie beboette Google met 890 miljoen euro onder de Digital Markets Act en gaf zestig dagen om te stoppen. Een dag later kondigde Trump een 301-handelsonderzoek naar de Europese Unie aan en eiste hij terugdraaiing van eerdere boetes voor Apple, Meta en Amazon. Voor een Nederlands bedrijf betekent dat: de regel die volgende week ingaat komt uit Brussel, en het risico dat je model morgen anders geprijsd of anders beschikbaar is, komt uit Washington.

De aanval van deze week hoefde jouw beveiliging niet te breken. Hij hoefde alleen jouw AI-assistent te overtuigen. Beveiligingsbedrijf Island beschreef hoe nep-repositories op GitHub zo zijn opgetuigd dat Claude Code, Gemini en ChatGPT ze uit zichzelf aanbevelen als skill of MCP-server; de kwaadaardige releases zijn 14 miljoen keer gedownload, Claude Code kloonde er zelf een, en de nep-repo’s duiken op in LobeHub, Glama en MCP.so. De techniek heet AgentBaiting en de payload is StealC, die inloggegevens, browsercookies en actieve sessies wegtrekt.

Hetzelfde patroon, andere ingang: Zenity Labs onthulde op 23 juli dat één geprepareerde ChatGPT-link via Agent Builder een kwaadaardige agent in je omgeving kon planten, omdat de tool instructies uit URL-parameters accepteerde. OpenAI dichtte het gat al op 9 juni, maar het cijfer eromheen blijft staan: connectoren voor ChatGPT en Claude veranderden gemiddeld elke negen minuten van rechten en gedrag. Diezelfde week verspreidde een valse Claude-app op een claude.ai-domein SectopRAT bij 29 organisaties, via een Claude Artifact op het echte domein, met 7.100 weergaven voordat Anthropic de pagina verwijderde. Nep-AI-tools zijn het snelst groeiende aanvalskanaal voor het mkb.

Aan de andere kant van de wereld liet het zich zien in zijn volwassen vorm. Hunt.io en Bob Diachenko troffen een open directory met 585 bestanden aan waaruit blijkt dat de open-source agent Hermes onbeheerd het netwerk van het Thaise ministerie van Financiën verkende en meerdere systemen compromitteerde. Hermes staat onder MIT-licentie. De verschuiving zit niet in het vernuft van de aanval, maar in hoeveel menselijke aandacht die nog vraagt. Ransomwaregroep JADEPUFFER zette EncForge in en versleutelt sinds deze week ook getrainde AI-modellen, gericht op zo’n 180 bestandsformaten uit de AI-stack; Sysdig schat 75.000 tot 500.000 dollar om één fijngetraind model opnieuw op te bouwen. Als je modellen niet in je herstelplan staan, staan ze nergens.

De markt reageerde in dezelfde week met controlelagen in plaats van betere modellen. Neo haalde 100 miljoen dollar op voor toezicht op AI-agents en doopte de categorie Agentic Software Control, Yubico bracht YubiKey 5.8 uit die agent-acties in hardware laat aftekenen via een previewversie van een WebAuthn-uitbreiding, en Anthropic mat dat Claude Opus 5 met de zwaarste beveiligingslaag nul geslaagde prompt-injecties haalde in 129 browserscenario’s, tegen 31,5 procent bij Opus 4.8. Zonder die laag blijft er 3,70 procent staan. Dat is het echte signaal: de winst zat in de omgeving, niet in het model. Zscaler ThreatLabz testte 26 taalmodellen op geprepareerde sites en zag er vier een frauduleuze betaling uitvoeren. Ondertussen rolt OpenAI met Presence agents zelf uit bij bedrijven en handelt het naar eigen zeggen 75 procent van de binnenkomende kwesties zonder mens af.

En de gewone aanvalsroutes gingen gewoon door. WP2Shell, een kritiek lek in de WordPress-kern met CVSS 9,8, werd actief misbruikt met publieke exploitcode een dag na de patch, het NCSC riep op tot directe installatie van Oracle-updates na tien lekken met CVSS 10.0, AIVD en NSA waarschuwden voor een Zimbra-lek dat mail steelt zodra je het bericht opent, en ijsstadion Thialf werd door The Gentlemen om losgeld gevraagd. AI verandert het tempo, niet de basis.

Op 20 juli werd de nieuwe verhouding in één dag zichtbaar. Microsoft onderzocht of Kimi K3 de functies achter Copilot kan overnemen en zette het model op Azure, waarbij The Information de besparing op tot 600 miljoen dollar schat. Diezelfde dag bleek dat Moonshot de verkoop van nieuwe Kimi K3-abonnementen had stilgelegd omdat de rekenkracht op was, en de resterende capaciteit naar bestaande abonnees stuurde. Het grootste open model ter wereld, 2,8 biljoen parameters, en de bottleneck is stroom en silicium. Drie dagen later haalde Microsoft ook de beeldmodellen van OpenAI uit PowerPoint en Bing en verving ze door MAI-Image, ongeveer 85 procent goedkoper, met verkopers die worden getraind om OpenAI en Anthropic op kosten en beveiliging af te vallen. Een eerste stap was dat niet: op 9 juli had Microsoft de tekstmodellen van OpenAI en Anthropic in Excel en Outlook al door eigen MAI-modellen vervangen. Het model onder je knoppen is een leveranciersbeslissing geworden, en die beslissing verandert zonder dat jij het merkt.

Onderaan bleef het model bovendien goedkoper en beter tegelijk. Anthropic bracht Claude Opus 5 uit op bijna Fable 5-niveau tegen 5 dollar invoer en 25 dollar uitvoer per miljoen tokens, het vierde model in acht weken, en ARC Prize verifieerde daarna onafhankelijk dat het 30,2 procent haalt op ARC-AGI-3, bijna vier keer de vorige topscore. Aan de open kant kwam er in dezelfde week een westers alternatief bij: Poolside bracht Laguna S 2.1 uit, een open-weight codeermodel van 118 miljard parameters dat je zelf draait, Cisco publiceerde Antares, dat kwetsbaarheden lokaliseert voor 0,60 tot 0,82 dollar per run tegen 141 dollar bij GPT-5.5, en Andrew Ng lanceerde OpenWorker, een lokale AI-collega die ongeveer 30 modellen ondersteunt. Dat de routering zelf geld waard is geworden, bewees Stripe: het onderhandelt over de overname van modelrouter OpenRouter voor 10 miljard dollar, een bedrijf dat wekelijks 25 biljoen tokens verwerkt.

En daaronder concentreerde het kapitaal zich in een tempo dat geen enkel mkb-budget bijhoudt. AMD investeert tot 5 miljard dollar in Anthropic en levert tot 2 gigawatt aan Instinct MI450-chips, en zette twee dagen later zijn handtekening onder de brief aan Washington die Anthropic zelf niet tekende. Helios ging in volledige productie, Nvidia en SK Group kondigden een AI-plan van meer dan 500 miljard dollar aan, Samsung en Broadcom tekenden een intentieverklaring van meer dan 200 miljard dollar over vijf jaar, en Anthropic zette in Korea een gigawattdeal met SK Telecom en een Claude-afspraak met Samsung SDS neer voor 20 dochters en 70.000 medewerkers. Dat het geld ergens vandaan moet komen, laat Alphabet zien: het trok de capex naar 195 tot 205 miljard dollar en boekte een negatieve vrije kasstroom van 5,86 miljard, stelde Gemini 3.5 Pro uit en rantsoeneerde Meta’s toegang tot Gemini-rekencapaciteit. In Duiven zag Besi de orders met 128,8 procent stijgen, terwijl IBM’s mainframe-omzet met 42 procent kelderde en datacentercomponenten 15 tot 30 procent duurder werden.

Wie geen kapitaal heeft, valt om of pauzeert. DeepSeek zette zijn tweede financieringsronde stil na een uitgelekt investeerdersgesprek en heeft naar eigen zeggen 50.000 tot 200.000 extra kaarten nodig om met de grootste trainingsruns mee te komen, tegen ongeveer 20.000 H100-equivalenten nu. Mistral kreeg Microsoft als afnemer van zijn Europese rekencapaciteit en onderhandelt met Samsung over tot 1 miljard euro bij een waardering van ongeveer 20 miljard: de vlag is Europees, de kapitaaltafel niet.

De rekening van die afhankelijkheid kwam op 25 juli, zonder aanvaller. OpenAI bevestigde een wereldwijde storing in ChatGPT, de API en Codex met verhoogde foutpercentages over 31 componenten, twee dagen nadat een bug in Microsofts eigen onderhoudssysteem Teams, SharePoint en 27 Azure-diensten platlegde. Drie incidenten in vijf dagen bij twee leveranciers. Wie een terugvaloptie had ingebouwd, zag die ochtend een tragere reactie in plaats van een foutmelding. Dat Monday.com 630 banen schrapt en zich rond AI-agents herbouwt hoort bij hetzelfde verhaal: de inrichting van je leverancier verraadt hoe het werk er straks uitziet.