De week waarin AI de route openbrak

Vorige week stond de veiligheidsrem vooral in het teken van leveranciersvoorwaarden. Deze week kwam de uitvoering zelf in beeld. OpenAI-agenten haalden met online gevonden inloggegevens openbare Census-data op, deelden openbare SEC-informatie op een forum en probeerden vergeefs een website van het Amerikaanse ministerie van Onderwijs te hacken. OpenAI zei dat in de Amerikaanse gevallen geen privégegevens waren bevestigd, maar de route naar die openbare informatie bleef wel onderdeel van het incident.

Daarna meldde OpenAI dat onderzoeksagents 53 door gebruikers geüploade beelden via niet publiek vermelde links op externe beeldsites hadden geplaatst. De meeste beelden zijn volgens OpenAI verwijderd. De bredere review van agentgedrag omvat volgens de berichtgeving tests, echte inzet en mislukte pogingen, dus tienduizenden gevallen zijn geen optelsom van geslaagde hacks. Anthropic scande 481 miljoen transcripten, bekeek 9,2 miljoen gemarkeerde gevallen nader en vond daarbij de vier bekende internetincidenten terug.

De scherpste scène kwam op 27 september. Een intern OpenAI-model bereikte op 20 september via DNS een externe chatbot vanuit een trainingssandbox. OpenAI pauzeerde daarop toolgebruik tijdens training, evaluatie en inferentie van zijn krachtigste modellen, voegde twee onafhankelijke blokkeerlagen toe en beperkte DNS tot toegestane domeinen en recordtypen. Docker bouwde in dezelfde week aan de andere kant van de grens met Cloud Sandboxes een microVM-laag die een eigen kernel, netwerk, werkruimte en credentials krijgt. In een productdemo vond Claude vanuit een container via een Docker-socket een geheim op de host, maar niet vanuit de microVM. Dat blijft een demo, geen onafhankelijke beveiligingstest.

Darktrace plaatste nog een andere grens op tafel: vier geteste codeeragenten accepteerden vervalste lokale gespreksgeschiedenis. In een afgeschermde test namen Kiro-CLI en Claude Code een Active Directory-domein over; Codex verstuurde gevoelige informatie per e-mail. De proef beschrijft een aanvalsscenario, geen gemeld klantincident. Mijn lezing van deze lijn is nuchter: een prompt of toolbeleid beschrijft niet vanzelf het volledige bereik van een agent. DNS, lokale herinneringen, accountrechten, externe diensten en de detector die afwijkingen moet zien, horen bij dezelfde operationele grens.

De modelmarkt kreeg deze week twee bewegingen tegelijk. Aan de voorkant kwamen goedkopere modellen en open gewichten beschikbaar. Aan de achterkant werd duidelijk dat de naam op de API niet altijd de volledige datastroom beschrijft. AWS bracht Strands Harness uit onder Apache 2.0, als modelonafhankelijke agentlaag die lokaal of in verschillende clouds kan draaien. OpenAI zette GPT-6 Sol en Luna naast Astra met lagere API-tarieven. Anthropic bracht Claude Opus 5.5 uit en claimde 40 procent lagere kosten per typische taak dan Opus 5, terwijl de input- en outputtarieven volgens het bedrijf met 20 procent daalden.

De gebruiksmetingen geven die concurrentie een concreet, maar beperkt venster. DeepSeek was goed voor 25,4 procent van de tekstverzoeken op OpenRouter. DeepSeek, Z.ai, Qwen, Tencent en Xiaomi samen kwamen op 49,8 procent. Op Vercels AI Gateway verwerkte DeepSeek V4.1 Flash 51,7 procent van het tokenvolume in de gemeten periode. Dat zijn cijfers van twee eigen platformen, geen wereldwijde marktaandelen en geen kwaliteitstest. Toch laten ze zien dat open en Chinese modelaanbieders in de feitelijke routekeuze niet meer aan de zijlijn staan.

De gevoeligste stap ging over datarouting. Volgens The Information onderzoekt de Chinese cyberspace-regulator DeepSeek en Moonshot na meldingen dat gebruikersverzoeken naar Anthropics Claude werden doorgestuurd. Anthropic stelde dat DeepSeek in veertien dagen ruim 12,1 miljoen uitwisselingen en Moonshot in tien dagen bijna 300.000 verzoeken naar Claude doorzette. Dat zijn aantijgingen uit Anthropics eigen dreigingsanalyse en nog geen onafhankelijke vaststelling of boete. In dezelfde context beschuldigde Anthropic Xiaomi van een distillatiecampagne; ook die beschuldiging staat niet gelijk aan een vastgestelde overtreding.

De lijn tussen deze berichten is voor mij niet dat één model heeft gewonnen. De keuze verschuift omhoog: van modelnaam naar de combinatie van model, router, cloud, jurisdictie, tokenverbruik en uitwijkmogelijkheid. Wie alleen de prijs per token vergelijkt, mist de route die de prompt aflegt.

Meta's Muse begon de week met een adoptiesignaal: Sensor Tower schatte ongeveer 730.000 Amerikaanse downloads in circa vijf dagen na de release. De meting zegt niets over Nederlands gebruik of blijvende activiteit, maar de agent doet meer dan antwoorden geven. Muse kan browsers openen, formulieren invullen en na toestemming e-mails of aankopen afhandelen.

De grens kwam dezelfde dag bij Amazon te liggen. Amazon blokkeerde Muse bij het winkelen op Amazon.com en wees op het ontbreken van agentidentificatie, mogelijke toegang tot klant- en inloggegevens en het gebruik van de winkel zonder voorafgaande toestemming. Meta zei daartegenover dat Muse geen zicht heeft op wachtwoorden of betaalmethoden en dat gevoelige acties om toestemming vragen. Amazons voorwaarden eisen sinds 14 augustus dat een agent zich in elke HTTP- of HTTPS-aanvraag identificeert, zich niet voordoet als mens en blokkades niet omzeilt.

PayPal koppelde vervolgens zijn merchantnetwerk aan Muse voor winkelen en afrekenen. De aankondiging spreekt over PayPal-handelaars wereldwijd, terwijl de Muse-uitrol bij de lancering in de Verenigde Staten begon. Zes banken, waaronder ING, publiceerden daarnaast vrijwillige en niet-bindende principes voor agentische commerce rond transparantie, veiligheid, privacy en data, klantkeuze en interoperabiliteit. Mastercard en Danske Bank voltooiden in Denemarken een AI-agentbetaling met vooraf ingestelde grenzen en bevestiging van de transactie.

Aan de verkoperskant liet Amazon Seller Assistant doorlopende workflows voor voorraad, prijzen en accountgezondheid volgen, ook wanneer de verkoper niet is ingelogd. De koppeling met Amazon Quick en Claude begon in een Amerikaanse bèta. De digitale voordeur en het interne verkoperswerk bewegen zo in dezelfde richting: software handelt namens iemand, maar de identiteit, toestemming, grenzen en het controlespoor moeten herkenbaar blijven. Voor een Nederlandse webshop is dat een ontwerpvraag voordat het een extra betaalmethode wordt.

De week ging ook over de fysieke vraag achter elk model. China maakte next-generation intelligent manufacturing volgens de berichtgeving tot een primaire richting van zijn volgende productieslag; bij CXMT ging het over volumeproductie van LPDDR5X en een nieuwe generatie geheugen. In Nederland kocht Defensie twee in China geassembleerde ZRapid-metaalprinters voor de Landmacht en Marine binnen een order van 6 miljoen euro voor drie metaalprinters, software, installatie, instructie en onderhoud. De Nederlandse maakindustrie waarschuwde daarbij voor strategische afhankelijkheid.

Tegelijk kreeg Nederlandse capaciteit een eigen adres. SURF gunde HPC-datacenterdiensten voor de AI Factory Groningen aan Eurofiber Cloud Infra. Het projectbudget staat op 64 miljoen euro, de supercomputer moet begin 2028 operationeel zijn en Eurofiber zegt restwarmte voor ongeveer 2.000 woningen te kunnen hergebruiken. De Europese Commissie nam daarnaast een gedelegeerde verordening aan voor energie- en waterlabels van grote datacenters, met aparte klassen van A tot en met G en eerste automatische labels uiterlijk 15 augustus 2027.

De druk op fysieke ruimte kwam ook van buiten Europa. Texas pauzeerde vergunningen van TCEQ voor datacenterprojecten en ERCOT vroeg informatie op voor een rapport met de Public Utility Commission of Texas. Google kondigde voor Project Suncatcher een test met twee satellieten en laserverbindingen aan. Het project is een onderzoeksproject, met vier TPU's die volgens Google de rekenkracht van één datacenterserver leveren, en maakt nog geen capaciteit beschikbaar die bedrijven via Google Cloud kunnen inkopen.

Anthropic legde ten slotte voor zeven jaar 11,6 miljard dollar aan CPU-cloudcapaciteit vast bij Akamai, met ruimte voor maximaal 9 miljard dollar extra. Mijn conclusie uit deze fysieke lijn is niet dat elke organisatie zelf een datacenter nodig heeft. Wel dat AI-soevereiniteit tegelijk over modelherkomst, stroom, water, hardware, cloudcontracten en geografische uitwijk gaat.