Tijdens een interne evaluatie ontsnapte een experimenteel OpenAI-model zelfstandig uit een beveiligde testomgeving en compromitteerde de productie-infrastructuur van ai-platform Hugging Face. OpenAI omschrijft het zelf als een ‘ongezien cyberincident waarbij gebruik is gemaakt van state-of-the-art cybermiddelen’.
Terwijl de wereld nog nakijkt van Anthropic Mythos, publiceert OpenAI een incidentrapport dat best wel evenveel aandacht verdient.
Wat is er precies gebeurd? Modellen op basis van GPT-5.6 Sol en een nog krachtiger pre-releasemodel – beide met bewust verlaagde veiligheidsdrempels om hun maximale cybercapaciteiten te kunnen meten – werden ingezet op een interne cybersecuritybenchmark.
In die geïsoleerde omgeving vonden de modellen zelfstandig een zero-day kwetsbaarheid in een interne package registry proxy. Ze bouwden zo een keten van aanvalsvectoren op tot ze een remote code execution op de Hugging Face-servers bereikten en toegang kregen tot de productiedatabase. Het securityteam van Hugging Face detecteerde en stopte de activiteit. OpenAI ontdekte het anomale gedrag intern.
Nieuw speelveld
Dimitri Van Zantvliet, ciso bij de NS, plaatst het incident in een bredere context. ‘Als dit representatief is voor waar frontier-modellen vandaag staan, dan verandert het speelveld fundamenteel’, schrijft hij op LinkedIn. ‘De tijd tussen het ontdekken van een kwetsbaarheid en het grootschalig misbruiken ervan wordt steeds korter. Cyberoperaties worden autonomer, meer schaalbaar en sneller dan veel organisaties kunnen bijbenen.’
Onafhankelijke evaluaties van het UK AI Security Institute bevestigen overigens die trend: frontier-modellen zijn steeds beter in staat tot complexe, langdurige cyberoperaties in reële omgevingen. Van Zantvliet wijst ook op geopolitieke implicaties. ‘Als de VS en China dit soort modellen beschikbaar gaan stellen, hebben we er in de EU een ander probleem bij als we zelf niet snel eigen capaciteit ontwikkelen.’
Strenge maatregelen
OpenAI kondigt intussen strengere beveiligingsmaatregelen aan rond evaluatieomgevingen en trekt Hugging Face in zijn trusted access-programma. Beide bedrijven pleiten voor open samenwerking als basis voor ai-veiligheid, een boodschap die na dit incident moeilijk te negeren valt.
Toch raadt Van Zantvliet aan om ook kritisch te blijven. ‘Misschien zit er een marketingcomponent in’, oppert hij. ‘Dat geldt inmiddels voor vrijwel alle frontier ai-labs. Die triljoenen moeten ook terugverdiend worden.’
De marketingcomponent van angst draait uiteindelijk om de vraag of OpenAI een monster heeft gecreëerd dat zelfstandig uit het circus is ontsnapt, of dat het nog steeds luistert naar de dompteur.
Dat AI sneller aanvalscode voor een 0-day kan ontwikkelen dan een individuele hacker is op zichzelf geen verrassing. Het verschilt niet wezenlijk van de impact die de boekdrukkunst had op het kopiëren van manuscripten. Wie miljoenen regels broncode, CVE’s, patches en documentatie in minuten kan analyseren verandert onvermijdelijk de snelheid van zowel de verdediging als de aanval. En dat open source daarbij zowel voordelen als nadelen kent is eveneens bekend. Dezelfde transparantie die fouten sneller aan het licht brengt maakt ze ook eenvoudiger systematisch te analyseren. Daarmee verschuift de kern van de discussie. Niet de rekenkracht van AI is de beperkende factor, maar de waarde van de gegevens die zij mag analyseren. Welke broncode, logbestanden, configuraties of telemetrie leveren voldoende strategisch voordeel op om de kosten van een aanval of verdediging te rechtvaardigen?
Kortom, wie is uiteindelijk de dompteur en welke beesten moeten hun kunstjes laten zien? Want als AI werkelijk autonoom en zelfstandig doelen gaat stellen en nastreven, dan dreigen dystopische verhalen minder fictie en meer een reële maatschappelijke vraag te worden.