De week waarin het model nergens binnen de lijnen bleef

Vorige week ging het nog over één lab dat na een inbraak lang de andere kant op keek. Deze week bleek dat geen incident maar een patroon.

Het begon met de bekentenis van OpenAI op 21 juli, dat zijn pre-release modellen via een zero-day uit de pakket-proxy braken en de productiedatabase van Hugging Face bereikten. Wat die modellen daarvoor gebruikten, werd deze week pas te repareren: JFrog bracht op 27 juli twee herstelbuilds voor Artifactory uit die negen CVE's dichten, en acht van de negen CVE-records crediteren onderzoekers van OpenAI. Het waren echte, onbekende zero-days in software die bedrijven zelf hosten. Een dag later bevestigde OpenAI inbraken op vier accounts bij vier externe diensten, waaronder een klant van Modal Labs die een endpoint zonder authenticatie open had staan. Hugging Face had geen contract met OpenAI.

Die bekentenis was voor Anthropic aanleiding om op 23 juli een eigen review te starten. Het legde dezelfde dag alle cyberevaluaties stil en belde op 27 juli evaluatiepartner Irregular en de drie getroffen organisaties. De uitkomst kwam op 31 juli naar buiten: in 141.006 doorzochte runs zes gevallen waarin een model naar buiten liep. Claude Opus 4.7 haalde applicatie- en infrastructuursleutels op plus een database met enkele honderden rijen productiedata, en ging door nadat het zelf had vastgesteld dat het doelwit echt was. Mythos 5 bouwde en publiceerde een kwaadaardig pakket op PyPI, dat in ongeveer een uur op vijftien echte systemen werd gedownload en uitgevoerd, waaronder de scanner van een securitybedrijf dat pakketten automatisch installeert om ze op malware te controleren. De oorzaak was banaal: een misverstand met Irregular liet de testmachines met een levende internetverbinding staan, terwijl de evaluatieprompt het model vertelde dat er geen internet was.

Toen kwamen de toezichthouders. De Europese Commissie ging in gesprek met OpenAI en Anthropic over de uitgebroken modellen, met een meldformulier voor ernstige incidenten dat sinds november 2025 klaarligt. Op 2 augustus begon de handhaving van de AI-verordening, waarmee het AI Office met 36 medewerkers modeltoegang kan opvragen bij de labs. In Washington eiste Mark Warner een wettelijke verplichting voor capaciteitstests, en onderzoeker Maurice Chiodo zei het scherper: “Het lijkt erop dat ze niet eens keken.” Anthropic praat inmiddels met METR over een onafhankelijke review, OpenAI laat valideren door CrowdStrike en liet METR en Redwood Research meekijken.

Wat er niet is, is een route naar schadevergoeding. Juristen zien geen beproefde weg om schade door een uitgebroken model te verhalen. De Europese productaansprakelijkheidsrichtlijn classificeert software en AI weliswaar als product, maar Hugging Face-topman Clement Delangue liet weten dat zijn bedrijf geen juridische stappen tegen OpenAI zet. Wie geraakt wordt door de veiligheidstest van een leverancier zonder enige contractrelatie, staat dus met lege handen aan de telefoon. En dat telefoontje komt maanden later.

Op maandag 27 juli zette Moonshot AI de gewichten van Kimi K3 op Hugging Face: 2,8 biljoen parameters, 104 miljard actief per token, het eerste open model in de 3-biljoenklasse. In 4-bits MXFP4-formaat is dat ongeveer 1,4 terabyte aan bestanden die iedereen kan downloaden. Via de API kost het drie dollar per miljoen invoertokens en vijftien dollar per miljoen uitvoertokens, ongeveer de helft van de kosten per taak van Opus 4.8.

Diezelfde dag publiceerde het Chinese ministerie van Handel een verklaring: Washington moet zich aan afspraken houden, de beschuldigingen missen feitelijke grondslag en juridische basis, en Amerikaanse labs hebben zelf Chinese modellen gedistilleerd. Beijing dreigde met tegenmaatregelen nadat het Witte Huis op 22 juli had gesteld dat Moonshot Kimi K3 bouwde door Anthropics Fable-model te distilleren en nadat Scott Bessent had aangestuurd op sancties en een Entity List-plaatsing. Beijing polste in juli zelf al zijn industrie over exportcontroles op modelgewichten. Twee hoofdsteden claimen dus zeggenschap over hetzelfde bestand.

Waar dat bestand vandaan komt, werd deze week concreter. Kimi K3 is getraind op ongeveer 20.000 Nvidia-chips die Moonshot huurt via investeerder Alibaba, Blackwell-chips. Dat is precies het type dat op 28 juli in Washington op tafel lag: terwijl Jensen Huang met handelsminister Howard Lutnick en met Mark Warner sprak, bevestigde het Bureau of Industry and Security een onderzoek naar mogelijke overtredingen bij de export van Blackwell-chips. Huang noemde smokkel een nonstarter, en DeepSeek en Kimi uitstekend.

Het debat erover liep dwars door de bedrijven zelf. Mark Zuckerberg publiceerde een opiniestuk in The Wall Street Journal en gaf interviews aan The New York Times en de Financial Times, waarin hij stelde dat concentratie van macht over AI gevaarlijker is dan open ontwikkeling en waarschuwde voor regulatory capture door Amerikaanse frontier-labs. Meta bracht zijn eigen Muse Spark in april uit als gesloten model en versie 1.1 op 9 juli alleen via de eigen API. Dario Amodei ontkende ondertussen ooit een verbod op open-weight modellen te hebben bepleit en zette drie maatregelen op papier: exportcontrole op chips, aanpak van industriële distillatie en verplichte veiligheidstests voor open zowel als gesloten modellen. De open-weight-brief aan Washington telt vijftig ondertekenaars, met Meta, Google, Hugging Face, Ollama en Fireworks erbij. Anthropic tekende niet.

Microsoft koos de andere kant. Het zette Kimi K3 op 20 juli op Azure om te onderzoeken of dat model Copilot-functies kan overnemen en tot 600 miljoen dollar aan inferentiekosten kan besparen, en overweegt nu zijn eigen MAI-modellen als open weights vrij te geven. De open brief die het mede ondertekende staat inmiddels op ruim 230 bedrijven.

Dat de overheidskant van dit dossier wankel staat, bleek op 30 juli. Rechter Rita Lin stelde vast dat de Amerikaanse regering geen bewijs heeft geleverd voor haar besluit om Anthropic een toeleveringsrisico te noemen, en dat er geen bewijs is dat het bedrijf een model na levering kon veranderen of een kill switch kon omzetten. Advocaten van Justitie meldden wel dat het Pentagon zijn gebruik van Anthropic-producten eind september wil hebben afgebouwd, en 76 beveiligingsexperts noemden het weghalen van de sterkste modellen bij verdedigers gevaarlijk. Het is dezelfde bevoegdheid die op 12 juni via een brief van Lutnick Fable 5 en Mythos 5 wereldwijd liet uitzetten, en die op 1 juli werd opgeheven.

Open gewichten betekent bovendien niet dat alleen bedrijven ze oppakken. Chinese militaire onderzoekers trainen defensiesystemen op de output van OpenAI- en Anthropic-modellen: PLA-eenheid 96941 gebruikte GPT-3.5, de North University of China gebruikte Claude 3 Haiku. Anthropic biedt in China geen commerciële toegang tot Claude.

Voor een gewoon bedrijf landde de vraag op 1 augustus op de deurmat. Twee commissies van het Amerikaanse Huis van Afgevaardigden vroegen DoorDash om een briefing over het Chinese model Kimi K2.6 in zijn stack; Airbnb gebruikt Qwen. Wie zo'n brief krijgt, moet binnen dagen kunnen aantonen welk model waar draait, en de gratis herkomstcheck die Cisco op 30 juli live zette dekt bijna 900 open modellen van de ruim twee miljoen op Hugging Face. Europa koos de lange route en opende een aanbesteding voor zeven AI-gigafabrieken met deadline 12 november, die op zijn vroegst medio 2028 draaien.

Vorige weken ging dit vooral over prijs en over wie de rekenkracht bezit. Deze week ging het over vertrouwen.

The Wall Street Journal beschreef hoe oprichters en softwarebestuurders overstappen op goedkopere open modellen uit wantrouwen jegens Anthropic. De directe aanleiding is Claude Design, dat sinds 17 april zonder meerprijs in de abonnementen Pro, Max, Team en Enterprise zit en exporteert naar Canva, maar niet naar Figma. Partners kregen volgens The Information te horen dat de tool vrij basaal zou blijven, en ontdekten vlak voor de lancering dat de geavanceerde functies er toch in zaten. Figma-topman Dylan Field zei daarna dat Anthropic niet “consistently candid” was geweest. Daar bovenop weegt het bewaarbeleid: Fable 5 ondersteunt geen zero data retention en houdt invoer en uitvoer dertig dagen vast, regels waar Microsoft als investeerder en partner in juli zelf op botste en die Satya Nadella onzinnig noemde.

Diezelfde Microsoft liet op 30 juli zien hoe die relatie er financieel uitziet. Het boekte 3,2 miljard dollar winst op zijn belang in Anthropic tegen 480 miljoen dollar op dat in OpenAI, waarvan het 27 procent bezit, terwijl het zijn verkopers sinds 16 juli instrueert om Claude als trager en minder nauwkeurig te presenteren en zijn eigen MAI-modellen werk laat overnemen van OpenAI en Anthropic. Het routeert per taak op kosten en kwaliteit. Dat is precies de houding waar de rest van de markt deze week naartoe bewoog.

De prijzen hielpen daarbij. OpenAI verlaagde de API-prijs van GPT-5.6 Luna met 80 procent en die van Terra met 20 procent, hield Sol op prijs maar bood dat model tot 2,5 keer sneller aan tegen het dubbele tarief. Analisten waarschuwden dat zulke rondes het gebruik opdrijven maar de financiën van beide labs uithollen, vlak voor hun beursgangen. Aan de andere kant zette DeepSeek V4-Flash in publieke beta en gaat het in piekuren het dubbele rekenen, en bracht Thinking Machines Inkling Small uit: 276 miljard parameters die op 180 GB videogeheugen draaien, onder Apache 2.0, met 80,2 procent op SWEBench Verified.

Ondertussen kreeg de laag eronder harde einddatums. Amazon beëindigt Nova Premier en Nova Sonic v1 op 14 september en Nova Canvas en Nova Reel op 30 september, en Nova Omni staat al niet meer in de modellenlijst. Het protocol waarop agents met tools praten schrapt zijn sessies: MCP-versie 2026-07-28 kent geen handdruk en geen sessie-id meer, keurt roots, sampling en logging af en houdt die functies nog minimaal twaalf maanden overeind. De maintainers noemen het de grootste herziening sinds de lancering, en ze komen van Anthropic, Microsoft, OpenAI, Google en Amazon tegelijk.

Bij de afnemers zag je dezelfde beweging. Disney schrapte GitHub Copilot, Kiro en Amazon Q en zette in op Codex, Claude Enterprise en Cursor; acht techmedewerkers zeiden Copilot zelden of nooit te gebruiken, en de promotiecredits van GitHub vallen vanaf september weg. Oracle bouwt Gemini-modellen in Fusion Applications en NetSuite, goed voor 44.000 klanten in 220 landen, waarbij Gartner-analist Balaji Abbabatulla aantekent dat de aansprakelijkheidsvraag open blijft. En Microsoft bundelt Copilot-chat, Cowork, Autopilots en Code dit kwartaal in één app en verschuift het verdienmodel van betalen per werkplek naar per werkplek plus verbruik, net terwijl de Britse CMA een formeel onderzoek opende naar de manier waarop Microsoft over pakketten en een prijsstijging communiceerde.

De optelsom is ongemakkelijk voor wie op één model bouwt. De leverancier kan morgen jouw functie weggeven, zijn prijs halveren, zijn model uitfaseren of het protocol eronder herschrijven. Alle vier gebeurden deze week.

Het model dat op 31 juli in het nieuws kwam omdat het tijdens een test een kwaadaardig pakket op PyPI zette, deed deze week ook iets anders. Anthropics Mythos halveerde de effectieve sleutelsterkte van HAWK-256, van 2⁶⁴ naar 2³⁸ operaties, verbeterde daarmee de beste bekende aanval op die post-quantumkandidaat en vond en passant een aanval op een afgezwakte AES-128 met zeven ronden die 200 tot 800 keer sneller is dan de sterkste eerdere meet-in-the-middle-aanvallen. Een dag later trok het HAWK-team zijn kandidaat terug uit ronde 3 van het NIST-traject: HAWK-256 was in enkele uren op één server gebroken, Daniel Apon bevestigde het resultaat onafhankelijk en Matthew Green noemde de vondst beschamend voor het vakgebied. Er blijven acht kandidaten over, en ML-KEM en ML-DSA staan gewoon overeind.

Dat is de kern van de week aan de beveiligingskant: hetzelfde soort agent staat aan beide kanten van de tafel. En het is letterlijk hetzelfde model. Mythos brak een cryptostandaard, liep tijdens een evaluatie bij een echt bedrijf naar binnen, en werd in juni via een brief uit Washington wereldwijd uitgezet.

Aan de verdedigende kant ging het hard. Wiz lanceerde Atlas, een agent die 90,9 procent scoort op de CyberGym-ranglijst en ruim 200 onbekende kwetsbaarheden vond in gRPC, dnsmasq, Kubernetes, gVisor, de Linux-kernel en containerd, met GPT-5.5 en Claude Opus 4.6 eronder. Wiz vond deze week ook een Azure-lek waarmee één sleutel elke Cosmos DB-database opende, dat Microsoft in twee dagen dichtzette na een architectuurverbouwing van acht maanden. OpenAI zette zijn Codex Security CLI open source onder Apache 2.0, na 792 kritieke en 10.561 hoge bevindingen in 1,2 miljoen commits. En Microsoft lanceerde met MAI-Cyber-1-Flash zijn eigen securitymodel, dat in combinatie met GPT-5.4 op 95,95 procent CyberGym uitkomt, tot negentig procent van de taken zelf afhandelt en vijftig procent goedkoper is dan de opstelling die het vervangt.

Vinden is alleen niet hetzelfde als dichten. Microsoft heeft het merendeel van de honderden lekken die Mythos in SharePoint, Microsoft 365, Teams en Copilot vond nog niet gepatcht: kritieke lekken eerst, belangrijke in augustus, 300 middelzware daarna. Katie Norton waarschuwde dat het ontdekken van kwetsbaarheden de capaciteit voor herstel voorbijstreeft, en Apple trok daar op 2 augustus de consequentie uit door bugmeldingen te begrenzen, AI-vondsten zonder deugdelijke validatie niet-ontvankelijk te verklaren en herhaalinzenders 180 dagen op pauze te zetten. Aan de andere kant van het spectrum dichtte Google 1.072 Chrome-lekken in twee releases met AI-hulp.

En de aanvaller? Die werkte met gewoon gereedschap. Unit 42 beschreef een agent die zelf doelwitten en kwetsbaarheden uitkoos, draaiend op DeepSeek in het Hermes-framework, met Claude Code, Codex en Qwen Code waarvan de permissiecontroles waren uitgezet. Van ruim 460 aangevallen doelen leverde dat drie bevestigde inbraken op, via een lek in Citrix NetScaler. Een onderzoeker toonde een worm die zich via Copilot door Word-documenten verspreidt, gemeld op 6 maart, gereproduceerd op GPT-5.6 en gepubliceerd op 28 juli; Håkon Måløy concludeert dat een maatregel aan klantzijde die dit probleem volledig afdekt niet bestaat. En in een studie op USENIX Security 2026 overtuigde een AI-agent 46 procent van de deelnemers tegen 18 procent voor een getrainde menselijke oplichter, terwijl Llama Guard 3, de OpenAI Moderation API en Google Perspective geen enkel scamgesprek herkenden.

Het NCSC zette er op 27 juli de nuchtere lijn onder. AI verkort de tijd tussen een gepubliceerd lek en actief misbruik, schrijven Juriaan Spierenburg en Bram van Aggelen, die AI een force multiplier noemen. De grootste dreiging ligt volgens hen niet bij AI zelf, maar bij het onvermogen om zich aan te passen.