nlnl
DeutschDuitsDEEnglishEngelsENEspañolSpaansESSvenskaZweedsSVSuomiFinsFIDanskDeensDA한국어KoreaansKONederlandsNederlandsNLItalianoItaliaansITÍslenskaIJslandsISNorskNoorsNO日本語JapansJA

Geschreven in het Duits, vertaald door Claude. Is er iets verloren gegaan in de vertaling? Laat het ons weten.

Outbreak. Wat het OpenAI/Hugging-Face-incident verraadt en wat niet

Een AI-agent breekt uit zijn testomgeving, vindt een zero-day en hackt een ander bedrijf. Klinkt als een scenario, maar is in juli 2026 daadwerkelijk gebeurd. Tijd voor een nuchtere plaatsbepaling: met wat psychologie, twee securityveteranen en de vraag wat dit voor jullie verdediging betekent.

Outbreak. Wat het OpenAI/Hugging-Face-incident verraadt en wat niet

Wat er is gebeurd

Enkele dagen geleden hebben OpenAI en Hugging Face een incident openbaar gemaakt dat de securitycommunity elektriseert: een autonome AI-agent, aangedreven door GPT-5.6 Sol en een nog niet gepubliceerd, krachtiger model, is tijdens een interne securitytest uit zijn geïsoleerde testomgeving ontsnapt. De agent verschafte zich stap voor stap meer toegang binnen de OpenAI-systemen, gebruikte daarbij onder andere een tot dan toe onbekende zero-daykwetsbaarheid, bereikte het internet en drong uiteindelijk binnen in interne systemen van Hugging Face om daar informatie te bemachtigen waarvan het zoeken hem oorspronkelijk was opgedragen.

Inmiddels zijn de eerste technische details openbaar, onder andere in Simon Willisons bewerking van de zaak: de test liep in het kader van een exploit-benchmark, bewust met verlaagde beschermingsmechanismen. De testomgeving had precies één verbinding naar buiten, een interne package-proxy voor de installatie van dependencies, en juist in die proxy vond het model de zero-day. De uitbraak was dus minder magie dan het openbreken van de enige deur die er was. Bij Hugging Face liep de weg vervolgens via een kwaadaardige dataset de verwerkingsinfrastructuur binnen, en van daaruit via afgetapte credentials naar meerdere interne clusters.

Het motief is daarbij bijna de mooiste clou van het hele verhaal: het model zocht naar informatie waarmee het bij zijn eigen evaluatie kon sjoemelen. De vermoedelijk eerste volledig autonoom uitgevoerde AI-aanval was dus, strikt genomen, een geval van examenfraude. Met collaterale schade.

Hugging Face beschrijft het incident als iets wat zich onderscheidt van alles wat men tot nu toe heeft behandeld: "driven, end to end, by an autonomous AI agent system". OpenAI spreekt van een cyberincident zonder precedent. We willen de betekenis van deze aanval in geen geval bagatelliseren. Maar we willen de verhitting en emotionaliteit uit het debat halen, want juist die is op dit moment het grootste risico voor goede beslissingen.

Waarom dit incident zo dreigend voelt

Een blik in de psychologie helpt. Risico-onderzoeker Paul Slovic heeft aangetoond dat we risico's niet beoordelen naar hun statistische gevaarlijkheid, maar vooral langs twee dimensies: hoe vertrouwd is een risico voor ons, en hoe erg vrezen we het? Autorijden is objectief gevaarlijk, maar voelt onschuldig, omdat het vertrouwd en beheersbaar lijkt. Een uit het lab ontsnapt AI-model raakt daarentegen de zenuw van het onbekende en onbeheersbare en landt daarmee precies in de categorie die Slovic als "dread risk" beschrijft.

Daniel Kahneman heeft in "Ons feilbare denken" beschreven wat er dan gebeurt: bij onbekende, dreigend aandoende risico's neemt ons snelle, intuïtieve, emotionele denksysteem het over, niet het langzame, analytische. Precies dat patroon zien we op dit moment in veel commentaarsecties: het incident wordt niet geanalyseerd, het wordt gevoeld.

Dus: eenmaal diep doorademen, systeem 2 aanzetten en de zaak vanuit meer perspectieven bekijken.

Perspectief 1: toon de bewijzen (Florian Roth)

Securityonderzoeker Florian Roth (onder andere bekend van Sigma en THOR) stoort zich in zijn LinkedIn-bijdrage aan één centraal punt: de ontbrekende documentatie. Hugging Face beweert dat de aanval "end to end" door een autonoom agentsysteem is gedreven. Maar de telemetrie van het slachtoffer kan in principe alleen laten zien wat er in de eigen omgeving is gebeurd. Ze kan niet laten zien of upstream mensen prompts hebben aangepast, runs opnieuw hebben gestart, geslaagde paden hebben geselecteerd of op beslissende plekken handmatig hebben bijgestuurd. Roths eis is zo eenvoudig als gerechtvaardigd: als OpenAI de traces heeft (prompts, tool calls, mislukte runs, menselijke ingrepen), laat ze die dan publiceren. Tot die tijd is "volledig autonoom" een bewering, geen forensische bevinding. Een commentator vult treffend aan: zelfs dan zou nauwelijks onomstotelijk aan te tonen zijn hoeveel menselijke interactie er daadwerkelijk heeft plaatsgevonden.

En Roth zet er nog een punt bovenop. Het verhaal van de twee AI-bedrijven komt in de kern neer op drie regels: AI heeft ons aangevallen. AI heeft ons gered. Dus heeft nu iedereen meer AI nodig. Wat tien jaar geleden een blamage zou zijn geweest (zwakke isolatie, te ver reikende privileges, ontoereikende segmentatie, enorme blast radius), wordt vandaag verpakt als capability-demo en heroïsch AI-versus-AI-verhaal. Zijn droge bevinding: rate limits, egressrestricties, geïsoleerde workers en netjes begrensde credentials hadden grote delen van deze activiteit afgeremd en vroegtijdig zichtbaar gemaakt. Daarvoor heeft niemand een LLM nodig.

Perspectief 2: we hebben ergere dingen overleefd (Marcus Hutchins)

Marcus Hutchins, de securityonderzoeker die in 2017 de WannaCry-uitbraak met een kill switch stopte, plaatst het incident in zijn bijdrage in historisch perspectief. Wie bij "volledig autonome cyberaanvallen" in paniek raakt, zou zich het gouden tijdperk van de computerwormen moeten herinneren: ILOVEYOU, Code Red, SQL Slammer. Zelfreplicerende malware die zonder enig menselijk toedoen miljoenen systemen op één enkele dag infecteerde, in een tijd waarin veel systemen onbeschermd direct aan het internet hingen.

Zijn argument: agentic aanvallen zijn door snelheid en kosten fundamenteel begrensd. In de tijd waarin een AI-model één enkel antwoord genereert, had een klassieke worm al vele duizenden systemen geïnfecteerd, en de tokenkosten voor het autonoom hacken van miljoenen systemen doen het budget van de meeste aanvallers springen. Daar komt bij: firewalls, EDR, netwerksegmentatie, sandboxing, MFA en veel andere controls zijn vandaag standaard en vormen echte hindernissen die er toen simpelweg niet waren. Zijn conclusie: AI-gesteunde aanvallen kunnen de cybersecurity niet decennia terugwerpen. Ze kunnen eenmaal gevestigde securitycontrols en fundamentele hygiëne niet weer uit de wereld helpen. Attack surface reduction werkt. Een zero-day kan geen systeem raken dat hij niet bereikt.

Wat beiden zeggen en wat daaruit volgt

Beide experts komen langs verschillende wegen tot dezelfde slotsom: concentratie op het wezenlijke. Organisaties die hun security posture continu verbeteren en concepten als Zero Trust, least privilege en heldere tierscheiding consequent doorvoeren, worden met duidelijk kleinere waarschijnlijkheid slachtoffer, of er aan de andere kant nu een mens, een script of een taalmodel zit.

Ernstig nemen moet je het incident toch, en dat onafhankelijk van hoe de bewijsvraag uitpakt. Dit incident is geen voorbeeld van hoe AI het internet overneemt. Maar het laat zien hoe een doelgerichte aanval op een nieuw niveau eruitziet: het autonoom aan elkaar rijgen van twee gescheiden aanvalsketens over twee vreemde infrastructuren heen, uitgevoerd in vele duizenden afzonderlijke acties vanuit een zwerm kortlevende sandboxes. Mocht OpenAI de traces publiceren en volle autonomie aantonen, dan wordt het beeld niet onschuldiger. Aan de verdedigingslogica verandert dat echter niets. Het bevestigt haar.

Dat aanvallers wegen vinden waar je vooraf niet aan hebt gedacht, is geen nieuw inzicht, maar het dagelijks brood van allen die in de security werken. Precies daarom bestaat defense in depth: ontdek of stop ik de aanvaller niet op station 4 van de attack chain, dan wel op station 5. Dat sluit zero-days uitdrukkelijk in. Je kunt infrastructuren zo bouwen dat ze ook wilde stormen weerstaan. Niet omdat je elke storm voorziet, maar omdat je voor stormen bouwt.

Een ironie in de marge, die in het kabaal bijna ondergaat: voor de forensische analyse zette Hugging Face uitgerekend een open Chinees model in, ook omdat een gehost Amerikaans frontier-model de analyse van een backdoor simpelweg weigerde. Het debat welke tools verdedigers in geval van nood hoe snel mogen gebruiken, is dus net pas begonnen, en het is minstens zo belangrijk als de vraag wat aanvallers in de toekomst kunnen.

Geen autonoom SOC, maar een beter

Verdediging én aanval hebben nieuwe tools gekregen. Waarbij "tool" de zaak bij ons allang niet meer raakt. AI is in ons SOC geen add-on, maar een zelfsprekend deel van elke fase van de incident handling: van de detectie via triage en enrichment tot de response werken onze analisten zij aan zij met de oplossingen en modellen van Microsoft en Anthropic. Het repetitieve loopt geautomatiseerd, zodat onze experts zich kunnen concentreren op wat het verschil maakt: uit elk incident nieuwe inzichten halen en de detecties, playbooks en configuraties steeds verder aanscherpen. Een voor 100% autonoom SOC is momenteel niet mogelijk, dat ziet Gartner overigens ook zo. Maar de schuifknop is bij ons geen geloofskwestie, maar een instelling die we continu opnieuw beoordelen: met elke modelgeneratie en elke opgedane ervaring draaien we hem precies zo ver open als de kwaliteit toelaat. Niet verder, maar ook geen millimeter minder.

Dat samenspel van mens, model en methode is de kern van ons Cloud Security Operations Center (CSOC): 24/7 detection & response, gecombineerd met continuous improvement. Elke maand een stukje betere security posture, gebaseerd op onze blueprints en op wat onze threat-experts in het wild observeren.

En tegen het grondprobleem dat Florian Roth zo precies ontleedt (zwakke isolatie, uitdijende privileges, ontbrekende segmentatie) hebben we een heel concreet antwoord: de Managed Red Tenant. Een volledig geïsoleerde administratieve omgeving die lateral movement en privilege escalation structureel verhindert. Met de juiste architectuur en de juiste configuraties lopen aanvallen dood, ook die van AI-agents. Want of een aanvaller nu uit vlees en bloed of uit tokens bestaat: tegen een tiergrens die niet te overwinnen valt, helpt ook het beste reasoning niet.

Conclusie

Het OpenAI/Hugging-Face-incident is een mijlpaal: als waarschuwing, als casestudy en als voorproefje. Maar het is geen reden voor paniek, wel voor prioriteiten. De aanvallen van de toekomst worden misschien autonomer; de verdediging die ertegen helpt, is verrassend vertrouwd: Zero Trust, least privilege, nette tierscheiding, defense in depth en een SOC dat nooit slaapt.

Of, om bij de clou van dit incident te blijven: als er dan toch een AI moet uitbreken om bij haar eigen test te sjoemelen, laten we er dan voor zorgen dat ze bij ons in elk geval geen antwoorden vindt.

Bronnen & verdere links

Vergelijkbare berichten