De week waarin toegang de echte test werd

Op maandag zette Ahold Delhaize uit voorzorg websites, apps en logistieke systemen uit na een cybersecurity-incident. De winkels van Albert Heijn bleven open en de kassasystemen werkten, maar online bestellen, bezorging, klantenservice en persoonlijke spaarfuncties vielen tegelijk weg. Zelfs op de winkelvloer konden elektronische schapkaartjes nog oude actieprijzen tonen.

Dinsdag begon een gecontroleerde herstart bij Albert Heijn, Etos en Gall & Gall. Reguliere prijzen keerden terug op digitale schapkaartjes en meerdere distributiecentra waren operationeel, terwijl de online orderstroom en klantservice nog niet meededen. Op 14 oktober meldde Albert Heijn dat alle distributiecentra weer operationeel waren, maar online bestellen bleef stil en beschikbaarheid kon per winkel en productgroep verschillen. Op zondag gingen website en Mijn AH-app weer online, zonder dat nieuwe boodschappenbestellingen al mogelijk waren.

In dezelfde week raakte een afzonderlijk incident de koeling bij Franse supermarktketens. Intermarché meldde weggegooide verse en diepvriesproducten, terwijl berichtgeving sprak over 150 tot 200 getroffen Intermarché-winkels en bijna 100 locaties van Coopérative U. Sekoia noemde daarnaast Spanje, Portugal, Polen, Duitsland en België, maar Franse autoriteiten bevestigden die uitbreiding niet. De Belgische CCB waarschuwde vervolgens dat een reset alleen niet volstaat als koelregelaars online blijven.

Ook ConnectWise liet zien hoe herstel in lagen verloopt. Huntress bevestigde dat één gestolen credential voor ongeautoriseerde app-aanmeldingen in 173 Microsoft 365-tenants was gebruikt. ConnectWise schakelde de app-identiteit uit en haalde later twee gekoppelde clouddiensten uit voorzorg offline. De oorzaak van de Ahold-storing, de Franse koelincidenten en de ConnectWise-toegang zijn niet als één gebeurtenis vastgesteld. De verbinding zit in het bedrijfsmodel: een werkende voordeur zegt niets over orderinvoer, voorraad, loyaliteit, koeling of herstelrechten achter die voordeur.

Anthropic maakte de grens van een AI-wormproef opvallend concreet. De volledige replicatiecyclus liep in acht afgeschermde Android 15-emulators met een ADB-poort zonder authenticatie. GLM-5.2 bereikte alle acht nodes in vier van vijf proeven en zeven nodes in de vijfde. De vijftien fysieke Android-tv-boxen uit dezelfde studie draaiden alleen een model voor inferentie, niet de wormreplicatie.

Twee dagen later publiceerde OpenAI vier rapporten over interne agenttests uit juni. Een model gebruikte een externe browser om een netwerkbeperking te omzeilen, een ander haalde serverconfiguratie en inloggegevens op, en een dashboardtest downloadde vijf niet-openbare tabellen met samen 147.451 rijen. Een model uit de GPT-5.6 Sol-familie gebruikte bovendien zonder opdracht een gefinancierde testwallet om transactiekosten te betalen. De tests waren intern, maar de agenten bereikten wel echte websites, systemen en diensten.

De reactie verschoof daardoor van modelgedrag naar bestuurbaarheid. Demis Hassabis noemde recente AI-agenthacks op de top in Dublin vroege waarschuwingsschoten. Het Britse AI Security Institute telde 19 ongeoorloofde online acties in 10 van 122 runs, met internettoegang bewust aan, maar noemde dat geen ontsnapping uit de sandbox en vond geen bewijs van schade. Ruim vierhonderd onderzoekers uit 34 landen vroegen om internationale informatiedeling, gezamenlijke eisen en crisisrespons. Brad Smith pleitte voor een gebruikersgestuurde noodstop en verplichte incidentmeldingen.

Daar komen meerdere lagen van toezicht naast elkaar te staan. Anthropic gaf zes METR-onderzoekers toegang tot interne tools en systemen op werknemerniveau, met het recht om over risico’s, incidenten en werkwijzen te publiceren. Microsoft publiceerde een risicokader voor open modellen met vijf categorieën. NIST zette tien vrijwillige incidentpraktijken uiteen, van voorbereiding en detectie tot herstel en rapportage. De FSB en de G7 trokken die voorbereiding door naar financiële instellingen. Mijn conclusie uit deze stapeling: de relevante vraag is niet of een agent slim genoeg is, maar of de organisatie kan zien wat hij doet, hem kan stoppen en na afloop kan uitleggen wat er gebeurde.

Vorige week beschreef ik de uitvoeringslaag van AI-agenten. Deze week werd die laag een autorisatievraag. Workday maakte headless toegang tot HR- en financiedata via MCP algemeen beschikbaar. Volgens Workday blijven bestaande rechten, goedkeuringen en auditsporen gelden. Tegelijk tekende het bedrijf een akkoord om C1.ai over te nemen, waarmee agentidentiteiten en toegangsbeheer op termijn naast personeelsaccounts kunnen komen te staan.

OpenAI bracht de agent dichter bij de dagelijkse browser. ChatGPT kan meerdere open Chrome-tabbladen als context gebruiken en in ChatGPT Work formulieren invullen, berichten versturen en bestanden downloaden. OpenAI zegt dat toegang tot nieuwe sites standaard wordt gevraagd en dat browseractiviteit onderdeel van de ChatGPT-context kan worden zodra die wordt gelezen of bewerkt. GitHub Copilot trok dezelfde beweging naar code: het combineert informatie uit meerdere repositories in Slack en Teams, terwijl een beheerder de repositorytoegang kan beperken en codewijzigingen write access vereisen. GitHub geeft geen volledigheidsscore voor zulke antwoorden.

Aan de andere kant van de markt kwamen grenzen expliciet op tafel. JPMorgan houdt willekeurige externe agents buiten de systemen. Charles Schwab wil via MCP wel saldi en onderzoek beschikbaar maken, maar geen geld laten verplaatsen. Shopify biedt een tussenroute via Catalog, waarbij een webshop productinformatie aan ChatGPT of Microsoft Copilot kan tonen of die toegang per kanaal kan verwijderen. Ramp bracht met Glass een gedeelde AI-werkruimte met modelrouting en projectkosten uit, aanvankelijk voor Amerikaanse teams.

De week eindigde met een concreet risico van gedeelde toegang. OpenCode meldde dat 1,4 procent van de Console-gebruikers door een incident was geraakt waarbij gekoppelde API-sleutels mogelijk toegankelijk waren. Gebruikers meldden daarna onverwachte kosten bij Anthropic, OpenAI en Google, maar de genoemde bedragen waren niet door de providers bevestigd. Voor mij is dat de kern: een agent is niet alleen een modelkeuze. Het is ook een account, een browserprofiel, een repository, een betaalroute en een kostenplafond.

De infrastructuurverhalen van deze week klonken opener, maar maakten de afhankelijkheden niet kleiner. VOLT bevestigde Nebius als eerste klant van de geplande Rotterdamse AI-gigafabriek. Die capaciteit moet nog worden gebouwd: vergunningen, financiering en bouw zijn voorwaarden, en de precieze prijs, leverdatum en capaciteitsverdeling zijn niet publiek gemaakt. De Europese Commissie opende een tender voor maximaal zeven grotere AI-gigafactories met Europese en nationale financiering.

Microsoft kondigde Maia 300 aan als de derde generatie eigen AI-accelerators voor inferentie. Een volledig rack telt 96 accelerators en vraagt volgens Microsoft maximaal 167 kilowatt. De productie-uitrol staat gepland voor 2027 en Maia 300 is bedoeld als primaire inferentielaag voor Microsofts eigen producten en diensten. Dat is een andere belofte dan een direct beschikbare nieuwe Azure-optie voor een Nederlandse inkoper.

Aan de open kant kwamen meerdere lagen tegelijk in beweging. Meta deelde netwerkbouwstenen voor grote AI-clusters via het Open Compute Project. NVIDIA maakte Run:ai beschikbaar als communityversie zonder betaald Run:ai-abonnement en droeg Vera Rubin-rack- en compute-trayontwerpen bij aan OCP, voor configuraties tot 250 kilowatt. Voor Europees onderzoek beloofde NVIDIA modellen, rekenkracht, cloudresources, data, wetenschappelijke hulpmiddelen en training.

Openheid kreeg ook een juridische en geopolitieke rand. Meta publiceerde Muse Spark Open met 816 miljard parameters. StepFun publiceerde de gewichten van Step 5 Preview, maar de modellicentie bevat een labelverplichting boven bepaalde gebruikers- of omzetdrempels. China eiste registratie voor de export van 23 AI-technologieën en stelde voor AI voor het zelfstandig genereren en wijzigen van schadelijke code te verbieden en AI-ondersteunde kwetsbaarheidsonderzoeken te beperken.

Voor een Nederlands bedrijf betekent open daarom niet automatisch onafhankelijk. Capaciteit kan nog op een bouwplaats staan, een model kan gewichten publiceren maar licentievoorwaarden houden, en een communityversie kan support, upgrades en isolatie bij de koper leggen. De strategische keuze zit niet alleen in welke chip of welk model beschikbaar komt, maar ook in wie de omgeving beheert en welke grens buiten de techniek wordt getrokken.