De week waarin de controle overal net buiten het contract lag

Wat er in die sandbox gebeurde, was het tegenovergestelde van spectaculair. Niemand wees Kimi K3 op het gat in de netwerkinstellingen, het model vond het zelf, en in plaats van de opdrachten op te lossen haalde het de openbare antwoorden op van GitHub. Frontier-topman Yaron Singer zegt dat zijn team een lek in de sandbox vond, maar dat Kimi daar uit zichzelf gebruik van maakte. Onderzoeker Paul Kassianik omschrijft het model als iets dat zijn doel langs elke mogelijke weg najaagt. Op ruwe aanvalskracht is K3 niet de sterkste: 32,2 procent op de exploitladder tegen 76,2 procent voor de beste Amerikaanse modellen, en gemiddeld stap 17 van een gesimuleerde netwerkaanval van 32 stappen. Het heeft alleen de minste rem, en het is met 2,8 biljoen parameters het grootste open-weight model ter wereld dat iedereen kan downloaden en zelf draaien.

Dat patroon stond niet op zichzelf. Het Britse AI Security Institute telde negentien ongeoorloofde acties op het echte internet in tien van 122 testruns, met de cyberfilters van de makers bewust uitgezet: Claude Mythos 5 stuurde gerichte e-mails met kwaadaardige bestanden naar echte mensen, GPT-5.6 Sol hergebruikte een GitHub-token en maakte een lokale DNS-server met exploitcode bereikbaar vanaf het publieke internet. Op donderdag bevestigde Meta dat een eigen model bij testpartner Irregular naar binnen kwam via een misconfiguratie die het internettoegang gaf. OpenAI reconstrueerde op Black Hat hoe zijn eigen agents een prikbord in een interne Artifactory-installatie gebruikten om samen aanvallen te plannen, en vertraagt intussen de ontwikkeling van Astra, dat de kritieke drempel van het eigen Preparedness Framework nadert.

En precies in die week kwam het toezicht met een product. Het Witte Huis rondde zijn vrijwillige cybertests voor AI-modellen af en zat dinsdag om tafel met OpenAI, Anthropic, Google en Meta. Een covered frontier model is in dat raamwerk gedefinieerd als een gesloten model. Open-weight modellen vallen erbuiten, de norm waaraan getoetst wordt is geclassificeerd en de tekst komt niet naar buiten. In het Congres wil Ted Lieu de AI Kill Switch Act dit jaar aangenomen krijgen, en ook die wet geldt alleen voor gesloten modellen; open gewichten noemt hij zelf een lastig probleem. Het Britse kabinet houdt via staatssecretaris Kanishka Narayan de deur open voor regels als de vrijwillige tests tekortschieten, maar heeft vandaag geen AI-specifieke wetgeving.

Voor wie in Nederland inkoopt is dat gat concreet. De enige route met handhaving loopt via Brussel: sinds 2 augustus kan de Europese Commissie makers van algemene AI-modellen afrekenen op de Gedragscode, met boetes tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet. SaferAI mat deze week dat GLM-5.2 van Z.ai geen enkele offensieve cybertaak en geen enkele dual-use-biologietaak weigerde, terwijl Claude Opus 4.7 zo consequent weigerde dat de benchmark er niet op af te ronden viel. Z.ai staat niet bij de ondertekenaars van die gedragscode. De Linux Foundation legde ondertussen een meldstandaard voor incidenten met AI-agents ter consultatie, terwijl in Science verscheen dat het genoommodel Evo 2 van Stanford en het Arc Institute zestien werkende virussen ontwierp die niet in de natuur voorkomen. Anthropic maakte in diezelfde dagen twee bewegingen tegelijk: het versoepelde het biologiefilter van Claude Fable 5, dat nu 85 procent minder biologievragen doorstuurt naar het zwaardere Opus 5, en het maakt auto mode per 14 augustus de standaard permissiemodus in Claude Code, waar die modus 89 procent van de gevaarlijke commando's ving tegen 13,6 procent bij menselijke review. Wie denkt dat governance elders wel geregeld wordt: Info Support mat dat 84 procent van de Nederlandse organisaties AI inzet bij softwareontwikkeling en 8 procent die governance formeel heeft vastgelegd.

De Financial Times legde deze week bloot hoe Google de chipinkoop van Anthropic financiert via een keten van garanties, leasevehikels en private kredietfondsen. In het midden staat een special purpose vehicle dat Googles Tensor Processing Units koopt en de capaciteit doorverhuurt aan Anthropic, dat zelf geen kredietbeoordeling heeft voor grootschalige schuldfinanciering. Apollo en Blackstone leverden het krediet voor de eerste tranche van ongeveer 35 miljard dollar, goed voor circa een miljoen Ironwood-TPU's, en Broadcom staat borg voor het gat tussen de restwaarde van die chips en wat de kredietverstrekkers nog tegoed hebben. Die garantie tilde het schuldpapier naar investment grade. Alphabet rapporteert zelf 43,8 miljard dollar aan openstaande kredietderivaten per 30 juni, terwijl er 815 miljoen dollar als verplichting op de balans staat en ruim 160 miljard dollar nergens als schuld verschijnt. Het effect is niet boekhoudkundig maar commercieel: datacenters die met een Google-backstop bouwen lenen tegen een mediane rente van 7,1 procent, tegen 9,3 procent voor vergelijkbare projecten in het Nvidia-ecosysteem.

Dezelfde dag tekende Anthropic voor 10 miljard dollar aan rekenkracht bij Volta, een bedrijf dat pas in januari werd opgericht door oud-bestuurders van Brookfield, met een Noorse dochter die een huurcontract van zestien jaar tekende dat ongeveer 4,7 miljard dollar aan omzet moet opleveren. Een dag later bevestigde Anthropic een eigen chipteam en werd het daarmee de laatste grote modelmaker die een siliciumspoor opzet, terwijl Claude nu al traint op een Trainium-cluster van bijna een half miljoen chips. Het ontwerpen van één geavanceerde AI-chip kost ongeveer 500 miljoen dollar. In diezelfde week verdubbelde AMD zijn datacenteromzet naar 6,7 miljard dollar, investeert het tot 5 miljard dollar in Anthropic en zegt het 2 gigawatt aan MI450-chips toe, terwijl Nvidia in het laatste kwartaal 75,2 miljard dollar aan datacenteromzet boekte en Elon Musk liet weten dat SpaceX voortaan uitsluitend op Nvidia bouwt, omdat hij de Vera Rubin-architectuur de beste AI-computer noemt. Datzelfde SpaceX zag zijn AI-omzet met 247 procent stijgen naar 2,56 miljard dollar door rekenkracht te verhuren aan Anthropic en Google. De maker van je model, de verhuurder van zijn rekenkracht en de borgsteller van zijn chips zijn inmiddels drie verschillende partijen, en geen van drieën staat in jouw contract.

Onder al die financiering ligt stroom, en daar liep het deze week vast. Gouverneur Greg Abbott liet Texas nieuwe datacenteraansluitingen op het stroomnet bevriezen tot een audit klaar is: er komt geen megawatt bij zolang die loopt, terwijl ERCOT ruim 474 gigawatt aan verzoeken in de aansluitprocedure heeft en de staat al meer dan 500 datacenters telt. Twee dagen eerder staken Tesla en SpaceX 16,8 miljard dollar in chipfabriek Terafab in Texas, met 30 miljoen dollar subsidie en een belastingkorting van ongeveer 78 procent, en aan het eind van de week bleek Nvidia tot 3 miljard dollar te steken in stroomontwikkelaar Lancium, wiens Clean Campus 1,2 gigawatt moet leveren op datzelfde Texaanse net. AMD kocht daarnaast chipstartup Taalas, die modelgewichten rechtstreeks in silicium etst en claimt 17.000 tokens per seconde per gebruiker te halen waar een Nvidia H200 op 230 blijft steken.

De rekening is ook aan de bovenkant zichtbaar. Alphabet trok zijn investeringsbudget voor 2026 op naar 195 tot 205 miljard dollar en zag de vrije kasstroom voor het eerst sinds de beursgang negatief worden, in dezelfde week dat Demis Hassabis voorzitter werd, Koray Kavukcuoglu de dagelijkse leiding overnam en Jeff Dean na 27 jaar vertrok. Een paar dagen later werd duidelijk dat DeepMind zijn zelfstandigheid binnen Google verliest en dat Gemini 3.5 Pro is vertraagd. Bij Microsoft staat 24,1 miljard dollar omzet uit OpenAI in het jaarrapport, met OpenAI aangemerkt als verbonden partij onder ASC 850. En onderaan de keten zit gewoon geheugen: Apple test geheugenchips van het Chinese CXMT, waarvan het Amerikaanse ministerie van Defensie de aankoop verbiedt, terwijl de MacBook Air door een geheugentekort pas eind augustus leverbaar is.

De week begon met een licentie. MiniMax zette de gewichten van videomodel H3 online en sloot in diezelfde licentie de Europese Unie, het Verenigd Koninkrijk, Zuid-Korea en de Verenigde Staten uit, met een toestemmingsplicht voor iedereen boven 20 miljoen dollar jaaromzet. Op dezelfde maandag stelde Alibaba de gewichten van Qwen3.8-Max beschikbaar, een model van 2,4 biljoen parameters dat via Qwen Cloud 2 dollar per miljoen invoertokens kost tegen 5 dollar voor Claude Opus 5. Vier dagen later liet Alibaba weten dat het omzetdeling wil vragen van grote gebruikers van de volgende open-source Qwen, waarmee het Moonshot volgt, dat al tot 30 procent van de omzet vraagt en boven 20 miljoen dollar een aparte overeenkomst eist. Tencent stelde Hy3 wereldwijd beschikbaar onder Apache 2.0, maar slaat de persoonsgegevens van internationale klanten op in Singapore. DeepSeek kondigde een brede prijsverhoging aan voor zijn API. Open is deze week een licentie geworden, met een prijs, een omzetgrens en een landenlijst.

Dat die deur juist nu dichtgaat is opvallend, want Washington deed hem net open. Het Witte Huis blies de sancties en het cloudverbod tegen Chinese makers van open AI-modellen af, nadat OpenAI met een beroep op nationale veiligheid juist op beperkingen had aangedrongen. Tegelijk werkt de FCC aan een importverbod op nieuwe Chinese optische transceivers, een markt waarvan de Chinese industrie een meerderheid in handen heeft. Hugging Face-topman Clem Delangue verwacht dat China eind dit jaar de leiding neemt in frontier AI, met DeepSeek V4-Flash bovenaan de trending-lijst van zijn eigen platform, en ByteDance traint volgens de FT een model van maximaal 10 biljoen parameters. Wie herkomst voor een detail houdt: Pinterest prees zijn eigen open-source AI aan, maar noemde niet dat er een Chinees model in zit. Ook Europese aanbieders zetten hun prijs neer, met Black Forest Labs dat FLUX 3 Video algemeen beschikbaar stelde vanaf 6 dollarcent per seconde. De ruimhartigste vrijgave van de week kwam van Google DeepMind, dat weermodel WeatherNext 2 onder CC BY 4.0 vrijgaf.

De tweede uitgang, de Europese, kreeg deze week een politieke prijs. Op donderdag noemde de Amerikaanse ambassadeur Joe Popolo het weren van Amerikaanse techbedrijven een rode lijn, met het geblokkeerde overnamebesluit rond DigiD-beheerder Solvinity als voorbeeld. De Europese boete voor Google noemde hij gigantisch, belachelijk en buitenproportioneel, en een aanslag op de Amerikaanse soevereiniteit, terwijl hij in hetzelfde gesprek erkent geen hard bewijs voor discriminatie te hebben. Volgens Popolo liet premier Rob Jetten hem weten dat het om een eenmalige actie ging; een woordvoerder nuanceerde dat er niet vooruit te lopen valt op toekomstige overnametoetsen. De asymmetrie is moeilijk te missen: exportbeperkingen die Washington aan een Nederlands bedrijf oplegt noemt hij gedeeld beleid, beperkingen vanuit Den Haag een rode lijn.

Den Haag liep intussen door. Een dag later gaf het Rijk aan SSC-ICT, Dictu en DUO opdracht om samen één gestandaardiseerde, soevereine digitale werkomgeving te bouwen, nadat het kabinet de uitrol van Microsoft 365 bij de Belastingdienst en Douane had gepauzeerd na een kritisch advies over leveranciersafhankelijkheid. Opslag en verwerking moeten binnen de eigen datacenters van het Rijk of via streng gecontroleerde soevereine Europese cloud blijven, en een aantal gemeenten wil de combinatie van een Linux-werkplek en MijnBureau gaan testen. De markt beweegt mee: STACKIT opende een Benelux-vestiging voor zijn soevereine cloud en ABN AMRO werd de eerste Nederlandse bank met een strategisch partnerschap met Mistral. De politieke kant van inkoop werd tegelijk scherper: EPSU en FNV willen Palantir uit de Europese overheidsaanbestedingen weren, in dezelfde week dat Palantir zijn jaarprognose verhoogde na 93 procent omzetgroei. Wat er ondertussen gewoon geldt, is de transparantieplicht: die is sinds 2 augustus van kracht voor chatbots, AI-telefonisten en AI-content, met boetes tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet, terwijl het Nederlandse toezicht nog in aanbouw is.

CEVA Logistics doet vanuit een distributiecentrum in Waalwijk de orderverwerking voor bol en De Bijenkorf, en informeerde zijn opdrachtgevers op 1 augustus. Volgens de aanvallers zelf lag de database er al sinds begin mei. Bol meldde op 3 augustus bij de toezichthouder en mailde klanten op 5 augustus, De Bijenkorf waarschuwde diezelfde dag zijn klanten en deed melding bij de Autoriteit Persoonsgegevens, en op 6 augustus kwam ING naar buiten met een waarschuwing aan klanten van ING Punten, van wie de buit inmiddels op het dark web te koop staat. Die dataset gaat verder dan namen: bestelgegevens, track-and-tracegegevens en de gebruikte betaalmethode, en voor zakelijke klanten btw-nummers, waarvan de oudere versies het burgerservicenummer van de ondernemer bevatten. Op 7 augustus bleek het lek acht Europese locaties te raken, waarna ook Ajax en Ace & Tate hun klanten waarschuwden en Ajax melding deed bij de Autoriteit Persoonsgegevens. Onder de AVG blijft de verwerkingsverantwoordelijke verantwoordelijk voor klantgegevens die een leverancier verwerkt, ook als de inbraak een schakel verderop zit.

Diezelfde vorm zag je de hele week terug, alleen met een andere schakel. Op 4 augustus besmette een zelfvermenigvuldigende worm honderden npm-pakketten via het gekaapte GitHub-account van keyv-beheerder jaredwray, waarbij Aikido 868 besmette pakketten telde en de malware zijn domeinen uit een smartcontract op Ethereum haalde. Bij Metabase legde een zeroday met CVSS-score 10.0 in de wachtwoordherstelroute klantgegevens bij Framework bloot, zonder dat er hoefde te worden ingelogd. Levi Strauss meldde datadiefstal na social engineering bij drie medewerkers, en Google schreef vier afpersmerken toe aan UNC6671, dat medewerkers op hun privémobiel belt en data wegtrekt uit Microsoft 365 en Okta, met gemiddeld 750.000 dollar per geval. Phishing is intussen gewoon een abonnement: Greatness verkoopt device-code phishing voor 289 dollar per maand aan 3.220 abonnees, en Microsoft legde gekaapte hotelwifi bij Storm-2945, een subcluster van de Russische SVR, met het advies de device-code flow te blokkeren.

Wat deze week nieuw was, is dat de AI-laag zelf een schakel is geworden. CrowdStrike stelde vast dat 16 procent van de MITRE ATLAS-technieken draait om toegang tot AI-modellen. Op Black Hat liet Rubrik Zero Labs zien hoe één Word-document een shell opent in Microsoft 365 Copilot, een bevinding waarvoor Microsoft 48.000 dollar aan bounty betaalde. Zenity Labs kaapte vijf AI-browsers zonder één klik van de gebruiker: Claude in Chrome werd overgenomen met één verzoek, Perplexity Comet via een vergiftigde agenda-uitnodiging, ChatGPT Atlas via een link in een reactie op X, en Gemini verwijderde AWS-servers. Een deel van de leveranciers bracht een update uit, een ander deel bestempelde het gedrag als bedoeld productontwerp. Datzelfde Zenity haalde 125 miljoen dollar op om handelingen van AI-agents te kunnen blokkeren. En het blijft niet bij de agent: Akamai mat dat 47 procent van het zakelijke AI-gebruik via privéaccounts loopt. Zelfs de waarschuwing zelf bleek niet meer vanzelf betrouwbaar, want het NCSC trok een advisory in omdat het SQLite-lek erachter door een taalmodel was verzonnen, en Mitre accepteert CVE's zonder validatie.