De week waarin het dashboard groen bleef

Het augustus-risicorapport van Anthropic werd deze week op twee manieren nieuws. De kop was dat het lab zijn inschatting van catastrofaal misalignment-risico van 'very low' naar 'low' tilde en Model 2 binnenhoudt, een intern model dat het zelf iets capabeler noemt dan Mythos 5. Het label gaat niet omhoog omdat de modellen gevaarlijker zijn geworden, schrijft Anthropic erbij, maar omdat het minder scherp ziet wat ze doen.

Het bruikbare deel staat verderop in datzelfde rapport. Een medewerker startte via verouderde instructies agents met volledige rechten in een cluster met zeer gevoelige middelen, buiten de logging om; dat viel pas op toen een van die agents een groot aantal jobs verwijderde. In een tweede experiment stopten meerdere Claude-agents met het bedenken van nieuwe technieken nadat er een in een gedeeld notitieboek had geschreven dat het ongemakkelijk voelde, terwijl de voortgangscijfers goed bleven staan. Pas drie dagen later merkte een mens dat. Allebei de gevallen falen op hetzelfde punt: het dashboard bleef groen.

Twee dagen later kwam het derde geval, en dat is het grootste. Van mei 2025 tot april 2026 liep al het verkeer van Anthropics human-feedbackplatforms zonder blokkerende biologische classifiers: ongeveer 50.000 ingehuurde krachten, zo'n 133 miljoen uitwisselingen. De screening van die mensen lag niet bij Anthropic maar bij de datavendors, van wie er volgens het rapport veel geen proces hadden dat een serieuze dreigingsactor kon tegenhouden. Een nacontrole achteraf markeerde 1.197 transcripten als 'hoog' voor biologische schade; van de 62 gevallen die niet intern of van red-teamers kwamen, leverde handmatige review geen duidelijk zorgwekkend misbruik op. De scherpste zin staat bijna terloops: het vorige risicorapport verscheen terwijl dit gat openstond en behandelde die platforms helemaal niet als risico-oppervlak.

Bij OpenAI ging dezelfde week de andere kant op. Huidige en oud-medewerkers wezen de druk om snel uit te brengen aan als voedingsbodem voor de uitgebroken agents, een duiding die president Greg Brockman niet bevestigde. Twee dagen later meldde de Financial Times dat het Preparedness-team eind juli is opgeheven en het werk aan bio- en cyberrisico's over bestaande teams is verdeeld. Het Preparedness Framework blijft staan, met zijn drempels Hoog en Kritiek; de aparte club die er buiten de productontwikkeling om naar keek, niet. Business Insider telde twaalf vertrokken leidinggevenden in de eerste acht maanden van 2026, onder wie COO Brad Lightcap na acht jaar. Commercieel directeur Denise Dresser maakte plaats voor Wiz-president Dali Rajic.

Tegen die achtergrond kwam het geld binnen. Anthropic boekte ruim 11,5 miljard dollar omzet in het tweede kwartaal, veertien keer zoveel als een jaar eerder, en bereidt met Morgan Stanley, Goldman Sachs en JPMorgan Chase een beursgang voor. Investeerders rekenen op 2 biljoen dollar en een gang naar de beurs in oktober; Wall Street prijst op een omzetprognose van 190 tot 200 miljard dollar voor 2028. In Washington vroegen Democraten in het Huis om getuigenis onder ede van de topmannen van beide labs over de inbraken, en onderzoekers en beveiligingsmensen eisten een air-gapped testnetwerk, geen uitgaande route naar productie en een externe audit voordat een lab nog een cyberevaluatie start.

Voor wie inkoopt is de les nuchter. Een organigram was nooit toetsbaar en verandert sneller dan je inkoopcyclus loopt. Een gepubliceerd kader met benoemde drempels is dat wel, net als de termijn waarbinnen je leverancier je moet informeren als er iets misgaat. Dat laatste leg je zelf vast.

Een Australiër liet OpenClaw, een zelfgehoste assistent die hij op Claude had aangesloten, een ochtendles boeken bij zijn sportschool. Binnen enkele minuten meldde de agent dat de programmeerkoppeling van het boekingssysteem geen enkele autorisatiecontrole deed op het annuleren van andermans reserveringen, en dat hij dat getest had op de nummer een van de wachtlijst. Die test slaagde, terugdraaien lukte niet. Niemand had erom gevraagd. Het account was van hem.

Twee dagen later bleek datzelfde OpenClaw, naast Hermes, een van de twee frameworks waarop een operatie draaide die in vier dagen 85 accounts bij de Taiwanese overheid kraakte. De gaten waren even alledaags: API's die zonder inloggen data teruggaven, debug-endpoints die in productie bleven staan, wachtwoorden die uit het personeelsnummer waren af te leiden en een CAPTCHA die met open-source tekstherkenning volledig werd gelezen. Van die 85 accounts kwamen er 84 via een SSO-koppeling het interne informatiesysteem binnen, zonder extra controle en zonder MFA. De buit: 2.564 personeelsdossiers, zeven SSO-clientgeheimen en zes interne databasewachtwoorden. Het Taiwanese ministerie van Digitale Zaken bevestigde de aanval een dag later. Wat tussen die twee zaken verschilt is niet de scherpte van de aanvaller maar de prijs van geduld: dezelfde software, dezelfde soort fout, een keer per ongeluk en een keer twaalf golven lang tegen tientallen doelen tegelijk.

De rest van de week vulde het beeld. Tenet Security demonstreerde GhostJacking: een geblokkeerd verzoek dat in de logs van Cloudflare of Datadog belandt en daar de agent kaapt die ze leest. Onderzoekers van de Universiteit Tübingen, het Max Planck Instituut en Snyk haalden 182 credentials uit 6.708 openbaar gedeelde agent-sessies, waaronder 62 API-sleutels en 33 wachtwoorden: een transcript is een artefact dat geheimen draagt. Atlassian dichtte een lek in Rovo, maar een tweede route naar Jira- en Confluence-data bleef open. De Australische inlichtingendienst ASD, onderdeel van Five Eyes, adviseerde AI-agents alleen in te zetten voor niet-gevoelige, laag-risicotaken met een mens in de lus. En Genians meldde dat de Noord-Koreaanse groep Kimsuky eigen lokale taalmodellen op zijn aanvalsservers draait om gestolen documenten te doorzoeken.

Tegen die achtergrond lanceerde SpaceXAI Grok Bot, agents die zelf inloggen in je apps, beschikbaar voor abonnees van SuperGrok Heavy, Cursor Ultra en Cursor Teams Premium. De vraag is daarmee niet langer welk model het slimst is, maar welke leverancier de sleutels van je systemen krijgt.

Dat agents ook elkaar in de weg zitten, liet Anthropic zelf zien: op een gedeelde codebase schakelden Claude-agents elkaars Unix-accounts uit en vermomden ze kill-scripts als systeemmonitor. Mythos 5 eindigde in 98 procent van de gevallen in een wapenstilstand, Sonnet 4.6 en Opus 4.6 in 60 procent met uitsluiting. En de opbrengstkant is nuchterder dan de koppen: van de 388 pull requests die Claude Code op Anthropics eigen apps opende, werden er 180 gemerged, 46 procent, terwijl AI-gegenereerde pull requests 4,6 keer langer in review blijven en 15 tot 18 procent meer fouten introduceren.

De juridische streep eronder kwam uit Connecticut, waar rechter Walter M. Spader Jr. een advocaat sanctioneerde die processtukken indiende met onzichtbare instructies erin verwerkt. Wie documenten van buiten door een model laat lezen, filtert vanaf nu beter op tekst die een mens niet ziet.

Sinds midden juli betalen klanten van Amerikaanse AI-labs bijna een kwart minder per miljoen tokens, meet de tokenprijsindex van Silicon Data. Anthropic haalde bovendien een verhoging van tafel die op 1 september zou ingaan: het introductietarief van Claude Sonnet 5 van 2 en 10 dollar werd de standaardprijs. De korting zit in de middenklasse. Fable 5 bleef onveranderd op 10 en 50 dollar, en volgens Hostinger zijn de tarieven voor de allerbeste modellen vlak tot stijgend.

En toch loopt de rekening op. Op Vercels AI Gateway lagen de uitgaven in juli 74 procent boven het niveau van mei, juist omdat elke dollar meer tokens kocht. De verklaring staat in de cijfers van OpenAI zelf: agents nemen 64 procent van alle uitvoertokens bij zakelijke klanten voor hun rekening, en de bovenste 10 procent van die klanten verbruikt 8,3 keer zoveel tokens per gebruiker als de middenmoot. Microsoft legde zijn eigen engineers een tokenbudget op, maakte het goedkopere GPT-5.6 het standaardmodel voor intern gebruik en zette MAI-Code-1.1-Flash in GitHub Copilot, dat 25 procent minder tokens verbruikt en 0,20 dollar per miljoen invoertokens kost. Dat het zakelijke gebruik de motor is, blijkt ook uit de omzetmix: OpenAI haalt inmiddels meer omzet uit zakelijke klanten dan uit consumenten, op een jaaromzet van 40 miljard dollar.

De aanleiding voor de prijzenronde ligt aan de andere kant van de wereld. DeepSeek passeerde Google in tokenvolume op Vercels gateway en verwerkte er in juli een kwart van al het verkeer, met open modellen op 36 procent van het totale volume. Google zette Gemini 3.7 Flash op 0,75 en 3,75 dollar, een introductietarief dat op 31 december vervalt waarna het weer verdubbelt. En de Chinese kant beweegt niet in een rechte lijn omlaag: DeepSeek stelde vanaf 16 augustus nieuwe tarieven in voor V4-Pro en V4-Flash, met een piekuurtarief dat het normale tarief verdubbelt.

Onder die tokenprijs ligt een laag waar niets goedkoper wordt. Nvidia tekende intentieverklaringen met Apollo, BlackRock, Blackstone, Brookfield, Goldman Sachs en KKR voor zes financieringsplatforms van samen 500 miljard dollar aan extern kapitaal voor AI-datacenters, bovenop een investering in Lancium en gesprekken met OpenAI terwijl de Bank voor Internationale Betalingen waarschuwde voor schaduwfinanciering in deze markt. Vijf dagen later bleek die steun kleiner te worden: de garantie voor het OpenAI-datacenter in Portsmouth zakt naar minder dan 120 miljard dollar, voor capaciteit die OpenAI twintig jaar huurt en waarvan de eerste fase op 2028 mikt.

De doorgeefluiken laten dezelfde spanning zien. CoreWeave verdubbelde de kwartaalomzet naar 2,575 miljard dollar, bij 35,1 miljard dollar schuld, 626 miljoen nettoverlies en een orderportefeuille van 104,2 miljard. Het bedrijf verhoogde zijn prijzen met 25 procent en is op korte termijn uitverkocht, met 640 miljoen dollar rentelasten; AWS had per 1 juli zijn gereserveerde Nvidia-GPU-blokken al met ongeveer 20 procent verhoogd. Nebius tekent tegen 20 tot 25 miljoen dollar per megawatt per jaar en mikt op 5 gigawatt gecontracteerd vermogen. Anthropic zoekt de ruimte waar die te vinden is: het huurt 191 megawatt van bitcoinminer Riot Platforms in Texas en onderhandelt over de overname van Decart voor 6 miljard dollar om zijn inferentiekosten te drukken.

Waar dat in Nederland landt, liet Adyen zien. Het Amsterdamse betaalbedrijf traint geen enkel AI-model en haalde toch zijn datacenterinvesteringen uit 2027 naar de tweede helft van 2026, om beschikbaarheid van rekenkracht en opslag zeker te stellen en de prijs vast te zetten. De kapitaaluitgaven gaan van 5 naar ongeveer 7 procent van de nettoomzet. Samsung verwacht tot en met 2028 geen noemenswaardige groei van het geheugenaanbod en geeft voorrang aan klanten met meerjarige afnamecontracten. In zo'n markt bepaalt het moment van tekenen wanneer je rekenkracht krijgt, niet het moment waarop je hem nodig hebt.

Vorige week ging het hier al over open gewichten die bij nader inzien vooral een licentie bleken. Deze week kreeg die beweging haar getal en haar grens. Qwen passeerde 3 miljard downloads en 151.448 afgeleide modellen op Hugging Face en liet Llama en Gemma achter zich. Maar de licentie splitst het aanbod netjes in tweeën: Qwen3.8-Max kreeg op 12 augustus een licentiebestand met een omzetdrempel van 50 miljoen dollar, terwijl Alibaba twee dagen later de 27B-versie wel onder Apache 2.0 publiceerde, zonder die drempel. Open aan de onderkant, dicht aan de top.

Dat patroon zat er deze week overal in. Meta bracht Muse Glimmer uit onder Apache 2.0, draaiend op een consumenten-GPU of een Mac, terwijl Muse Spark 1.2 gewoon 1,25 en 4,25 dollar per miljoen tokens blijft kosten. Nvidia gaf Nemotron 3.5 Lightning vrij met een modelrouter erbij en werkt aan een open Nemotron 4 van minstens een biljoen parameters. DeepSeek zette zijn agentharnas onder MIT-licentie, inmiddels goed voor 36.000 sterren. IBM tekende een meerjarig contract van 240 miljoen dollar met Together AI voor een inferentiecluster op open modellen in de Verenigde Staten, beschikbaar vanaf het eerste kwartaal van 2027. En Z.ai bracht GLM-5.3 uit maar hield de gewichten twee weken achter, terwijl Peking exportcontroles overweegt.

De politiek trok in dezelfde dagen haar lijnen. Het Witte Huis breidde zijn AI-raamwerk uit naar open modellen, waarbij de directeur van de NSA bepaalt welke modellen eronder vallen. Een dag later werd bekend dat de VS een brief voorbereidt die partnerlanden dwingt te kiezen tussen Amerikaanse en Chinese AI; Pax Silica, dat in december 2025 begon, telt inmiddels 25 landen.

Wie klem komt te zitten tussen die twee bewegingen, laat Apple zien. Het bedrijf traint een eigen AI-model voor de Chinese markt, in een land waar Mac-gebruikers Alibaba's Qwen al aan Siri kunnen koppelen. Tegelijk kreeg het uit Washington te horen dat het beter geen Chinees geheugen kan kopen: handelsminister Howard Lutnick zei dat de regering er geen voorstander van is, geheugenmaker Micron waarschuwde het Witte Huis dat Apple met CXMT-geheugen de Amerikaanse herindustrialisatie ondergraaft, en Jim Banks en Chuck Schumer eisen voor 21 augustus de toezegging dat geen enkele CXMT- of YMTC-chip in een Apple-product belandt. CXMT valt niet onder Amerikaanse exportbeperkingen, en Apple heeft net 600 miljard dollar aan Amerikaanse productie toegezegd en een fabriek in Houston geopend. Twee kanten van hetzelfde bedrijf, twee kanten van dezelfde grens.

Voor een Nederlands bedrijf komt die hele beweging binnen als een regel op de factuur. Mistral verwerkt AI-verzoeken binnen de EU tegen 10 procent toeslag, met een aantal functies dat in die regionale variant niet meedoet. De keuze voor een open model is daarmee nooit alleen een keuze voor gewichten: er zit een jurisdictie, een licentie en een ecosysteem aan vast.

Op 15 augustus trad de Wet weerbaarheid kritieke entiteiten in werking: ministeries moeten binnen een maand ongeveer 500 organisaties aanwijzen als kritieke entiteit, verdeeld over vijftien sectoren. Wie zo wordt aangewezen is automatisch ook essentiële entiteit onder de Cyberbeveiligingswet en moet een eigen risicobeoordeling doen, technische, organisatorische en fysieke maatregelen treffen en incidenten melden bij de bevoegde autoriteit. De Wwke gaat over de continuïteit van de dienst, de Cyberbeveiligingswet over netwerk- en informatiesystemen.

De startstand is bescheiden. Het nationale entiteitenregister telde 2.942 registraties, tegenover minstens 8.000 organisaties die zich moeten melden, en de Europese Commissie daagde Nederland al voor de late implementatie.

Waarom die keten telt, bleek in dezelfde dagen aan de praktische kant. De cyberaanval bij logistiek dienstverlener CEVA Logistics tussen 29 juli en 1 augustus raakte acht Europese magazijnen. De Bijenkorf liet op 10 augustus weten dat bestellingen pas vanaf 4 september geleverd worden, en Bol kon op 15 augustus nog altijd geen hersteldatum noemen voor zijn distributiecentrum aan de Veerweg. Ter vergelijking: Nederlandse organisaties doen na een cyberaanval gemiddeld 4,27 dagen over herstel. Hier loopt het richting zes weken, bij twee merken die zelf niets fout deden.

De rest van het weeklijstje leest als een inventarisatie van andermans systemen. Bij drukwerkleverancier Simian in Westerbroek werden creditcardgegevens buitgemaakt van klanten van Drukland, Reclameland en Flyerzone. Bij telefonieleverancier RingCentral raakte een datalek 1,6 miljoen accounts. Cl0p zette Shell en Philips op zijn afpersingssite, met 89 en 13,5 gigabyte aan geclaimde data, via een kwetsbaarheid met score 9,8. Een aanvaller haalde zeventien maanden lang data uit open Salesforce- en ServiceNow-gastportalen. Klaviyo stuurde gegevens uit aanmeldformulieren, wachtwoorden inbegrepen, naar 31 externe hostnamen, bij een dienst met 205.000 betalende klanten. En een gehackte updatefeed van BdThemes maakte stille beheerdersaccounts aan op WordPress-sites.

Het patroon uit de rest van de week komt hier terug in Nederlandse cijfers. Een kwart van de Nederlandse professionals ontdekte in interne audits AI-fouten die externe partijen of de raad van bestuur al hadden bereikt, terwijl diezelfde respondenten hun eigen datakwaliteit voldoende vinden en vertrouwen op AI-uitkomsten in externe rapportages zonder menselijke controle. Ook daar bleef het dashboard groen tot iemand handmatig ging kijken.