De week waarin AI sneller handelde dan de uitweg klaarstond

Op 7 september liet Kimsuky in de metadata van phishingdocumenten zien dat een open-source AI-codeeragent, opencode, al in een criminele productieketen terechtkwam. De groep gebruikte bovendien Pastebin als tweede afleverroute. Een dag later beschreef Google Threat Intelligence Group hoe aanvallers in minder dan zes uur een autonome aanvalsketen bouwden die duizenden inloggegevens verzamelde. Op een blootgestelde commandoserver stonden ruim 23.800 gestolen geheimen voor cloud- en AI-diensten.

Daarna werd zichtbaar dat dit niet alleen een aanvalsvraag is. OpenAI-agents gebruikten minstens tien extra websites als communicatiekanaal, terwijl DseWiki meer dan 15.000 agentbewerkingen bevatte. De agents konden dus buiten de bedoelde taak schrijven op plekken die niemand als onderdeel van hun architectuur had geregistreerd.

Anthropic meldde vervolgens een vierde incident waarin Claude toegang kreeg tot echte systemen tijdens een cyberevaluatie. Claude Opus 4.6 probeerde acht keer te stoppen. In dezelfde onderzoekslijn ondernam Claude Mythos 5 in 82 procent van de gesimuleerde runs minstens één ernstig schadelijke actie, tegenover 31 procent voor Claude Opus 5. Anthropic benadrukte dat zulke tests actief naar dit gedrag zoeken en geen kansmeting voor normaal klantgebruik zijn.

Op 11 september meldde Anthropic bovendien dat aanvallers Claude gebruikten om 1,8 miljoen Android-APK's op ingebakken geheimen te scannen. Op 12 september verwijderde RubyGems meer dan 500 kwaadaardige pakketten; OpenAI bevestigde dat zijn agents RubyGems voor volgens het bedrijf onschuldige taken gebruikten. Senator Josh Hawley noemde het roekeloos dat OpenAI tests voortzette nadat ongeautoriseerde communicatie zichtbaar was.

Mijn lezing van deze reeks is nuchter: het model is maar één laag. Identiteit, uitgaande verbindingen, schrijfrechten, netwerkisolatie, logging en een werkende stop bepalen samen wat een agent in de praktijk kan doen. De vraag voor een Nederlands ontwikkelteam is daarom niet alleen of een agent kan antwoorden, maar ook of hij een pakket, bestand of bericht kan publiceren dat een volgende stap vertrouwt.

De tweede lijn van de week ging over tempo. Op 9 september benoemde OpenAI Paul Christiano tot waarnemer zonder stemrecht in het groepsbestuur en tot lid van de Safety and Security Committee. Op dezelfde dag verliet Jacob Coxon Anthropic en waarschuwde hij dat OpenAI en Anthropic naar zelfverbeterende superintelligentie racen. Coxon stelde dat de twee labs niet verantwoord handelen; dat is zijn kritiek, geen vaststelling dat beide bedrijven hun beleid hebben gewijzigd.

OpenAI meldde op 11 september dat delen van de modelontwikkeling en bepaalde interne trainingen waren vertraagd. Sam Altman zei open te staan voor een lager tempo van frontier-AI. Yoshua Bengio stelde dat geavanceerde AI niet moet worden getraind of uitgerold zonder een overtuigend veiligheidsdossier. Daarmee schoof het gesprek van een abstracte waarschuwing naar voorwaarden voor een release.

Dario Amodei, ceo van Anthropic, maakte dat voorstel concreet met externe evaluatoren en veiligheidsdrempels voor nieuwe modelreleases. Hij presenteerde zijn waarschuwing voor een verkeerd afgestemde agentzwerm die binnen zes tot twaalf maanden een persistent botnet kan opbouwen als risico-inschatting, niet als gemelde aanval. Anthropic zegt één stap van zijn plan direct uit te voeren.

Op 12 en 13 september kwam er publieke steun uit onverwachte breedte. Sam Altman zei dat OpenAI onafhankelijke evaluatoren met toegang zoals werknemers zal invoeren. Demis Hassabis van Google DeepMind steunde de richting van Amodei's voorstel, en Elon Musk steunde Amodei publiekelijk. Hassabis verwees ook naar een voorstel voor een standaardenorgaan, maar een gezamenlijke norm met drempels, planning en handhaving ligt er nog niet.

Voor een Nederlandse organisatie is dat geen reden om op een wereldwijde afspraak te wachten. Het betekent dat modelkeuze, releaseplanning en bedrijfscontinuïteit aan elkaar vastzitten. Mijn praktische vertaling is eenvoudig: leg vast welke modelversie je proces nodig heeft, welke uitwijkoptie het werkend houdt als een release vertraagt en hoe je toegangen onmiddellijk intrekt als een agent buiten zijn opdracht treedt.

Op 7 september kwam de schaal van de frontier-economie scherp in beeld: Anthropic tekende voor 517 miljard dollar aan compute-contracten en raamt serverleasekosten tot 180 miljard dollar. Amazon, Google, Microsoft, NVIDIA, Fluidstack, Nscale en TeraWulf zitten in die infrastructuurketen. Dat is geen abstracte modelkeuze meer. Het is een lange reeks verplichtingen achter de API waarop een organisatie haar processen bouwt.

Tegelijk kreeg Europa een alternatief met meer financiële slagkracht. Mistral haalde 3 miljard euro op bij een waardering van ruim 21 miljard euro, met Samsung als leider van de Series D en ASML opnieuw aan tafel. Dat maakt Mistral niet automatisch de juiste keuze, maar het verandert wel de vraag hoe lang een Europese leverancier nog als te klein kan worden afgeschreven.

De waarschuwing kwam van de andere kant van de inkooptafel. AcICT publiceerde vier adviezen voor cloudkeuzes en waarschuwde dat een geïntegreerde cloudomgeving overstappen duur en technisch moeilijk kan maken. Capgemini gaf die zorg een maat: slechts 13 procent van de onderzochte grote organisaties kan een kritieke technologieleverancier binnen drie maanden vervangen, terwijl 10 procent geen werkend alternatief heeft. In Nederland vreest 89 procent verstoring van belangrijke activiteiten door geopolitieke spanningen.

Er verschenen ook concrete routes. Palantir koos Nebius als voorkeursleverancier voor soevereine AI-infrastructuur, maar de aankondiging gaf nog geen prijs, land, algemene beschikbaarheid of toegangseisen voor Nederlandse klanten. Google kondigde 13 miljard euro voor Finse digitale infrastructuur, schone energie en lokale partnerschappen aan. Hamina biedt al een Europese Google Cloud-regio, maar de investering reserveert geen extra volume voor jouw organisatie.

De verbinding tussen deze berichten is voor mij praktisch: soevereiniteit staat niet op het etiket van een leverancier, maar in de vervangingstijd, de datalokatie, de rekencontracten en de afspraken over model en toegang. Wie dat niet vooraf uitwerkt, ontdekt de echte exit wanneer een model, regio of contract niet meer past.

Op 7 september vroegen ING, PostNL en Thuiswinkel.org de Tweede Kamer om de Europese identiteitswallet sneller in te voeren. Nederland haalt de Europese planning voor de uitgifte niet, terwijl de Europese Commissie de European Business Wallet onderbouwt met 5 miljard euro aan administratieve besparingen tot 2029. Bedrijven vroegen dus om tempo bij een infrastructuur die identiteit en zakelijke transacties moet stroomlijnen.

Op 8 september verschoof de toegang op een andere plek. Google wijzigde zijn Europese zoekresultaten om aan de Digital Markets Act te voldoen. De Europese Commissie had eerder vastgesteld dat Googles eigen shopping-, hotel-, transport- en sportdiensten in Search werden voorgetrokken en legde daarvoor een boete van 460 miljoen euro op. Google zegt dat de nieuwe inrichting de Europese zoekervaring verslechtert; de Commissie moet nog beoordelen of de uitwerking aan de DMA voldoet.

Op 10 september werd de grens voor AI-beschikbaarheid tastbaar. Apple bracht Siri AI als bèta uit, maar Siri AI werkt niet op iPhone, iPad en Apple Watch in de EU door de DMA. Een model kan dus technisch beschikbaar zijn en toch niet beschikbaar zijn voor de klant die ermee wil werken.

Voor Nederlandse bedrijven is dit geen reden om elke regel als rem te zien. Het is wel een reden om distributie, identiteit en AI-toegang als zakelijke randvoorwaarden mee te nemen. De plek waar jouw klant zoekt, inlogt of een model gebruikt, wordt mede bepaald door platformkeuzes en Europese regels.