Het recente beveiligingsincident rond OpenAI en Hugging Face heeft binnen de AI- en cybersecuritywereld flink wat discussie losgemaakt. De headlines draaiden vooral om één idee: een AI-agent ontsnapte uit zijn sandbox en hackte een ander bedrijf. Maar die framing mist misschien wel de belangrijkste securityles.
Tijdens een interne security-evaluatie kreeg een AI-agent de opdracht om kwetsbaarheden te vinden en te misbruiken. De agent ontdekte een onbekende kwetsbaarheid in de infrastructuur die hem juist moest isoleren, bereikte het publieke internet en wist uiteindelijk delen van de infrastructuur van Hugging Face te compromitteren. Hugging Face reconstrueerde vervolgens ongeveer 17.600 acties van de agent. Die bewoog zich door meerdere omgevingen, zette command-and-controlmechanismen op en voerde duizenden acties uit op machinesnelheid. Het uiteindelijke doel? Waarschijnlijk de antwoorden bemachtigen van de securitybenchmark waarop de agent werd getest. De agent probeerde dus niet te ‘ontsnappen’. Hij probeerde zijn taak uit te voeren.
Een machine die een weg zoekt
AI heeft geen ingebouwde ethiek. Het heeft vangrails. Het doet wat het wordt opgedragen. AI is een machine die een weg zoekt. Het zal alles doen wat het kan om zijn doel te bereiken. Ik zie geen AI die ‘ontsnapt’. Ik zie een optimalisatie-engine die precies doet waarvoor hij is ontworpen: elke mogelijke route naar zijn doel vinden.” We gebruiken al snel menselijke termen voor dit soort incidenten: AI ontsnapt, slaat op hol of besluit een systeem aan te vallen.
Maar intentie is niet nodig om het risico te verklaren. Geef een steeds capabeler systeem een doel, tools en voldoende autonomie, en een beveiligingsmaatregel kan simpelweg een volgend obstakel worden dat overwonnen moet worden.
En Hugging Face staat niet op zichzelf. OpenAI maakte bekend dat agents ook kwetsbaarheden in de eigen testinfrastructuur ontdekten en misbruikten. Onderzoekers vonden daarnaast een kwetsbaarheid in Anthropic’s Claude Cowork waarmee een agent potentieel buiten zijn toegewezen omgeving kon komen. Verschillende incidenten, maar dezelfde onderliggende vraag: wat gebeurt er wanneer een AI-agent meer kán doen dan wij bedoelden toe te staan?
Van expertise naar rekenkracht
Daar komt nog een belangrijke ontwikkeling bij. Deze modellen redeneren niet alleen over mogelijkheden. Met voldoende rekenkracht kunnen ze die mogelijkheden ook daadwerkelijk verkennen. Een menselijke aanvaller heeft tijd nodig om kwetsbaarheden te onderzoeken, aanvalsroutes te testen en zich aan te passen wanneer iets mislukt. Een AI-agent kan proberen, falen, aanpassen en opnieuw proberen — op machinesnelheid.
Naarmate modellen krachtiger én efficiënter worden, daalt bovendien de hoeveelheid rekenkracht die nodig is om deze capaciteiten beschikbaar te maken. Rekenkracht wordt zowel een securityresource als een aanvalsmiddel.
De belangrijkste vraag is daarom misschien niet hoe we voorkomen dat AI ‘ontsnapt’. Maar: Wat gebeurt er wanneer een optimalisatie-engine een route naar zijn doel vindt waarvan wij niet eens wisten dat die bestond? Voor securityteams wordt het beheersen van die mogelijkheid minstens zo belangrijk als het beveiligen van de AI zelf.
Harold de Vries is Chief Commercial Officer & Co-founder Hackurity
