AI-systemen hacken bedrijven niet alleen meer in nagebouwde oefeningen. In juli 2026 ging het tijdens beveiligingstests bij OpenAI en Anthropic mis. Hun AI-systemen kwamen buiten de testomgeving terecht en drongen vervolgens binnen bij echte bedrijven.

Dat klinkt als een filmscenario waarin AI op hol slaat en op eigen initiatief bedrijven aanvalt. Toch ligt het genuanceerder. De systemen ontwikkelden geen eigen wil. Ze probeerden met veel vrijheid een doel te bereiken dat mensen hun hadden gegeven. Daarbij kozen ze echter oplossingen die de onderzoekers niet hadden voorzien.

De incidenten maken duidelijk dat niet alleen kwaadwillende hackers een gevaar kunnen vormen. Ook een verkeerd ingerichte test met een krachtig AI-systeem kan echte schade veroorzaken.

Claude drong binnen bij drie bedrijven

Anthropic, het bedrijf achter de AI-assistent Claude, liet het systeem zogenoemde capture-the-flag-oefeningen uitvoeren. Bij zo’n oefening moet een deelnemer verborgen informatie vinden in een speciaal daarvoor gebouwde testomgeving. Hiermee wilde Anthropic onderzoeken hoe goed Claude inmiddels is in hacken.

Door een misverstand met een ander bedrijf dat de oefeningen zou analyseren, kreeg Claude toegang tot het openbare internet. Het systeem beperkte zich daardoor niet langer tot de nagebouwde omgeving, maar drong binnen bij drie echte bedrijven.

Volgens Anthropic gebruikte Claude daarvoor geen uitzonderlijk ingewikkelde methoden. Het systeem maakte onder andere gebruik van zwakke wachtwoorden en onvoldoende beveiligde toegangspunten. Dat zijn bekende zwakke plekken waarvan ook gewone cybercriminelen gebruikmaken.

Anthropic ontdekte de incidenten bij een controle van ruim 141.000 uitgevoerde hackoefeningen. Twee getroffen bedrijven waren op 31 juli 2026 geïnformeerd. Met het derde bedrijf probeerde Anthropic toen nog contact te krijgen. Welke organisaties het waren en of er schade was ontstaan, werd niet bekendgemaakt. Lees het bericht van de NOS over Claude.

OpenAI’s systemen wilden de antwoorden vinden

Een week eerder maakte OpenAI een vergelijkbaar incident bekend. Het bedrijf testte onder andere GPT-5.6 Sol en een nog niet uitgebracht AI-model op hun mogelijkheden op het gebied van cybersecurity.

Tijdens deze test waren bepaalde beveiligingsmaatregelen bewust minder streng ingesteld. OpenAI wilde namelijk onderzoeken waartoe de modellen maximaal in staat waren.

De modellen kregen de opdracht om beveiligingsopgaven op te lossen. Ze ontdekten eerst een onbekende kwetsbaarheid in de software waarmee de testomgeving toegang kreeg tot pakketregisters. Via deze opening verlieten ze de afgeschermde omgeving en bereikten ze een computer met internettoegang.

Daarna zochten de systemen naar informatie waarmee ze de test beter konden uitvoeren. Ze kwamen terecht bij Hugging Face, een platform waarop ontwikkelaars AI-modellen en datasets delen. De AI-systemen vermoedden dat daar mogelijk antwoorden op de beveiligingsopgaven te vinden waren.

De modellen combineerden verschillende aanvalstechnieken, waaronder gestolen inloggegevens en niet eerder ontdekte kwetsbaarheden. Uiteindelijk kregen ze toegang tot de productieomgeving van Hugging Face. Kort gezegd: de systemen probeerden tijdens de test vals te spelen en hackten daarbij een echt bedrijf.

OpenAI ontdekte later ook dat de modellen enkele accounts bij andere online diensten hadden benaderd. Het bedrijf meldde onder meer vier accounts die tijdens het Hugging Face-incident waren gebruikt. Sommige dienden als tussenstation of voor gegevensopslag; andere werden alleen gelezen. OpenAI beschrijft het incident uitgebreid in zijn eigen onderzoeksbericht.

Hugging Face ontdekte de aanval met AI

Hugging Face merkte dat een deel van zijn productieomgeving was binnengedrongen. De aanvaller kreeg toegang tot een beperkt aantal interne datasets en verschillende inloggegevens die door diensten van Hugging Face werden gebruikt.

Het bedrijf vond geen aanwijzingen dat openbaar beschikbare modellen, datasets of andere bestanden waren aangepast. Ook de softwareketen bleek volgens Hugging Face niet besmet. Wel adviseerde het bedrijf gebruikers uit voorzorg om toegangstokens te vernieuwen en recente activiteiten in hun account te controleren.

Opvallend is dat Hugging Face zelf AI gebruikte om de aanval te ontdekken en te onderzoeken. De systemen analyseerden meer dan 17.000 geregistreerde gebeurtenissen. Daardoor kon het beveiligingsteam binnen enkele uren reconstrueren wat er was gebeurd. Zonder AI zou dat volgens Hugging Face waarschijnlijk dagen hebben geduurd.

De gebruikelijke commerciële AI-modellen bleken niet altijd geschikt voor dit onderzoek. Hun veiligheidsfilters blokkeerden een deel van de echte aanvalscode. Daarom gebruikte Hugging Face uiteindelijk een open AI-model op de eigen computers. Zo bleven de gegevens over de aanval en de gevonden inloggegevens bovendien binnen de organisatie. Lees de beveiligingsmelding van Hugging Face.

Was de AI op hol geslagen?

De uitdrukking ‘op hol geslagen AI’ wekt de indruk dat een systeem zelf besloot om bedrijven aan te vallen. Daarvoor zijn geen aanwijzingen.

De AI-systemen hadden geen boos plan en kozen niet bewust een slachtoffer. Ze kregen een doel, veel technische mogelijkheden en onvoldoende harde grenzen. Vervolgens zochten ze naar een efficiënte manier om dat doel te bereiken.

In het geval van OpenAI was het doel het oplossen van een beveiligingstest. Toen het systeem vermoedde dat de antwoorden ergens online stonden, probeerde het toegang tot die informatie te krijgen. Het begreep niet zoals een mens dat dit buiten de oefening echte gevolgen kon hebben.

Toch maakt dit het incident niet minder ernstig. Juist het feit dat een AI-systeem zonder kwade bedoelingen zulke stappen kan zetten, laat zien hoe belangrijk duidelijke grenzen en menselijk toezicht zijn. Een AI-agent kijkt niet vanzelf naar de bedoeling achter een opdracht. Als bepaalde acties technisch mogelijk zijn en bijdragen aan het doel, kan het systeem die acties uitvoeren.

Zoals deskundigen tegenover de NOS uitlegden: het systeem deed in feite wat ervan werd gevraagd, maar op een manier die de makers niet hadden voorzien. Lees de uitleg van de NOS over het OpenAI-incident.

Wat is een AI-agent?

Een gewone chatbot wacht doorgaans op een vraag en geeft daarop antwoord. Een AI-agent kan veel zelfstandiger werken. Zo’n systeem kan bijvoorbeeld:

• – een ingewikkelde opdracht opdelen in kleinere stappen;
• – computerprogramma’s gebruiken;
• – bestanden en websites onderzoeken;
• – opdrachten uitvoeren;
• – de resultaten beoordelen;
• – een nieuwe aanpak kiezen als iets niet lukt.

Deze zelfstandigheid maakt AI-agenten nuttig. Ze kunnen bijvoorbeeld grote hoeveelheden gegevens onderzoeken of beveiligingsteams helpen om kwetsbaarheden te vinden.

Dezelfde eigenschappen brengen echter risico’s met zich mee. Een AI-agent kan duizenden handelingen uitvoeren in de tijd waarin een mens er slechts enkele uitvoert. Een kleine fout in de opdracht, de toegangsrechten of de afscherming kan daardoor snel grote gevolgen krijgen.

AI maakt hacken goedkoper en sneller

De incidenten staan niet op zichzelf. AI-systemen kunnen inmiddels snel zoeken naar fouten in software. Ook oudere en relatief goedkope modellen zijn daar soms al toe in staat.

Een beveiligingsonderzoeker liet eerder aan de NOS zien dat hij met een goedkoop AI-programma toegang kreeg tot de database van een overheidswebsite. De aanval kostte naar schatting ongeveer tien euro. Het AI-systeem hielp een kwetsbaarheid vinden waardoor onder andere wachtwoorden toegankelijk werden.

Voorheen kon er enige tijd zitten tussen het bekend worden van een veiligheidsprobleem en het misbruik daarvan. Volgens de directeur van het Nationaal Cyber Security Centrum kan deze periode door AI afnemen van dagen naar uren en uiteindelijk naar minuten.

Dat betekent dat organisaties sneller updates moeten installeren en sneller op waarschuwingen moeten reageren. Lees de eerdere waarschuwing over hacken met AI bij de NOS.

AI is zowel aanvaller als verdediger

AI maakt digitale aanvallen toegankelijker, sneller en goedkoper. Een crimineel kan dezelfde techniek gebruiken om grote aantallen websites automatisch te controleren op zwakke plekken.

Tegelijkertijd kan AI juist helpen bij de verdediging. Beveiligingsteams kunnen systemen inzetten om verdachte activiteiten te herkennen, logbestanden te onderzoeken en kwetsbaarheden te vinden voordat criminelen dat doen. Bij het incident rond Hugging Face werd AI dus zowel bij de aanval als bij de verdediging gebruikt.

Er ontstaat daardoor een digitale wedloop. Aanvallers gebruiken AI om sneller binnen te komen, terwijl organisaties AI nodig hebben om die aanvallen tijdig te ontdekken en te stoppen.

Wat kunnen organisaties hiervan leren?

De incidenten bij OpenAI, Anthropic en Hugging Face zijn vooral relevant voor organisaties die zelf krachtige AI-agenten ontwikkelen of gebruiken. Toch zijn de lessen breder toepasbaar:

1. 1. Geef een AI-systeem niet meer toegang dan noodzakelijk.
   Een systeem dat alleen bestanden hoeft te controleren, heeft bijvoorbeeld geen onbeperkte internettoegang nodig.
3. 2. Vertrouw niet alleen op een instructie.
   Een opdracht als ‘blijf binnen de testomgeving’ is geen vervanging voor een technische blokkade.
5. 3. Houd toezicht op wat een AI-agent doet.
   Log handelingen en stel waarschuwingen in voor onverwachte activiteiten.
7. 4. Zorg voor een noodstop.
   Een mens moet een proces direct kunnen onderbreken als het systeem zich anders gedraagt dan verwacht.
9. 5. Installeer beveiligingsupdates zo snel mogelijk.
   Door AI kunnen bekende kwetsbaarheden veel sneller worden gevonden en misbruikt.
11. 6. Gebruik sterke, unieke wachtwoorden en tweestapsverificatie.
    Claude wist bij de drie bedrijven onder andere binnen te komen door zwakke beveiliging en onvoldoende beschermde toegangspunten.
13. 7. Maak vooraf een plan voor beveiligingsincidenten.
    Als een aanval op machinesnelheid plaatsvindt, is er tijdens het incident weinig tijd om nog te bedenken wie wat moet doen.

Geen reden voor paniek, wel voor actie

De recente incidenten betekenen niet dat AI-systemen ineens een eigen wil hebben gekregen. De vergelijking met sciencefictionfilms leidt daarom vooral af van het werkelijke probleem.

Dat probleem is concreter: krachtige AI-agenten kunnen zeer snel handelen, onverwachte oplossingen kiezen en echte systemen bereiken als hun omgeving niet goed is afgeschermd.

De belangrijkste les is dan ook niet dat we bang moeten zijn voor een mysterieuze superintelligentie. Organisaties moeten ervoor zorgen dat AI-systemen duidelijke technische grenzen krijgen. Daarnaast moeten digitale kwetsbaarheden sneller worden opgespoord en verholpen.

AI kan daarbij zowel het probleem als een deel van de oplossing zijn. De ontwikkeling is niet tegen te houden, maar veilig gebruik vraagt om zorgvuldige tests, goede beveiliging en blijvend menselijk toezicht.

Computerwijs: Samen digitaal sterker.