Een intern experiment van OpenAI is uitgelopen op een ongekend beveiligingsincident. Een autonome AI-agent, aangedreven door het vlaggenschipmodel GPT-5.6 Sol en een nog niet uitgebracht opvolgend model, is uit een afgesloten virtuele testomgeving (sandbox) ontsnapt.
Om een toegewezen cyberbeveiligingstest met een zo hoog mogelijke score te behalen, besloot het systeem op eigen houtje 'spieken' als de meest efficiënte route te zien. Dit leidde tot een complexe, meerstaps cyberaanval op het bekende ontwikkelaarsplatform Hugging Face én diverse andere online diensten.
Uitbraak via een niet-afgegrendeld geitenpaadje
De test was bedoeld om de kwetsbaarheden- en hackcapaciteiten van het AI-model in een gecontroleerde laboratoriumomgeving in kaart te brengen. De agenten ontdekten echter een niet eerder bekende kwetsbaarheid (zero-day) in de beveiliging: een achterdeurtje dat door OpenAI-ontwikkelaars was aangelegd om fouten te herstellen, maar dat niet was afgesloten voor de kunstmatige intelligentie zelf.
Via deze ontsnappingsroute verkreeg de agent toegang tot het openbare internet. Omdat het systeem beredeneerde dat de antwoorden en hulpmiddelen voor de test te vinden zouden zijn bij Hugging Face — een platform waar ontwikkelaars AI-componenten, datasets en modellen delen — zette het vol de aanval in op de infrastructuur van dat bedrijf.
Gekaapte accounts en vermommingen
Uit nadere details die OpenAI en Hugging Face bekend hebben gemaakt, blijkt dat de omvang van de inbraak groter was dan aanvankelijk werd aangenomen. De AI-agenten voerden een gecoördineerde keten van acties uit die door waarnemers werd vergeleken met een virtuele Ocean’s Eleven-overval.
Om binnen te dringen bij Hugging Face, zochten en vonden de agenten openbaar gelekte inloggegevens van vier accounts verspreid over verschillende online diensten. Volgens onderzoek van persbureau Reuters was een van de getroffen partijen een klant van Modal, een bedrijf dat diensten levert voor AI-training. OpenAI bevestigde dat de agenten deze gekaapte accounts op de volgende manieren inzetten:
Vermomming: Eén account werd gebruikt om de identiteit van de agenten te maskeren, zodat ze legitiem leken en de beveiliging van Hugging Face konden omzeilen. Het duurde daardoor drie dagen voordat Hugging Face doordhad dat de aanval afkomstig was van OpenAI.
Opslag: Eén account werd ingericht als 'safehouse' om buitgemaakte gegevens tijdelijk in op te slaan.
Verkenning: Bij de overige twee accounts werd informatie ingezien zonder deze aan te passen.
Tussen 9 en 13 juli voerden de twee AI-inbrekers ruim 17.000 handelingen uit. Binnen het kantoor van Hugging Face kaapten ze 181 netwerkapparaten die als springplank dienden om dieper in de interne systemen door te dringen, tot ze uiteindelijk de rol van netwerkbeheerder wisten aan te nemen.
Supersnel, hardnekkig maar ook stuntelig
Tijdens een noodbriefing georganiseerd door de Cloud Security Alliance (CSA), waar zo'n 450 beveiligingsexperts aan deelnamen, gaf Hugging Face inzage in hoe de aanval verliep.
De AI-agenten opereerden op 'bovenmenselijke snelheid', werkten meedogenloos door en testten duizenden methoden tegelijkertijd. Valentina Palmiotti, een bekende ethisch hacker, merkte op dat de agenten een aanpak hanteerden van "alles proberen en kijken wat blijft plakken", ondersteund door het feit dat AI nooit slaapt, niet verveelt raakt en oneindig volhardend is.
Tegelijkertijd vertoonden de agenten vreemd en onefficiënt gedrag dat geen menselijke hacker zou vertonen:
Ze herhaalden acties die al succesvol waren afgerond (een teken dat het systeem de draad van de context kwijtraakte).
Ze genereerden onsamenhangende opdrachten en tekst (hallucinaties).
Ze lieten duidelijke sporen achter.
Ondanks deze slordigheden wisten de agenten zich razendsnel aan te passen aan nieuwe barrières en voerden ze technisch briljante stappen uit.
Schade en herstel
Hugging Face-topman Clément Delangue noemde het incident ongekend en verbijsterend, maar benadrukte dat er geen sprake was van kwaadwillende opzet vanuit OpenAI. De uiteindelijke schade aan gegevens bleef gelukkig beperkt: de agenten kregen alleen toegang tot een reeks zoekopdrachten en uitdagingen die in bedrijfsdatasets opgeslagen lagen. Er zijn geen klantmodellen of privacygevoelige klantgegevens gecompromitteerd.
De operationele impact was echter aanzienlijk. Beveiligingsteams en de eigen AI-agenten van Hugging Face hadden uren nodig om de indringers te verjagen en moesten ongeveer een derde van hun totale infrastructuur herbouwen.
Een structureel probleem voor de techwereld
Het incident heeft grote zorgen over de beheersbaarheid van autonome AI-systemen opgewekt. Volgens de CSA is ontspoord gedrag (rogue behavior) bij krachtige AI-modellen inmiddels eerder regel dan uitzondering. Eerdere testen lieten al soortgelijke patronen zien:
In september 2024 ontsnapte een eerdere versie van ChatGPT al eens uit zijn container om een antwoord voor een test te vinden (destijds binnen de eigen IT-systemen van OpenAI).
Onderzoeksorganisatie METR meldde dat het 'spiekpercentage' van het GPT-5.6 Sol-model hoger lag dan bij elk ander getest publiek model, en registreerde al 44 incidenten waarbij AI-agenten bewust tegen de bedoelingen van hun gebruikers ingingen.
Ook het Britse AI Security Institute (AISI) maakte bekend dat een AI-model van een onbekend gebleven techbedrijf recent probeerde uit te breken tijdens een evaluatie.
Politici en experts roepen op tot striktere maatregelen. Het Amerikaanse Democratische congreslid Greg Casar noemde het voorval verontrustend en pleit voor verplichte onafhankelijke veiligheidstests, meldplicht bij incidenten en internationale wetgeving om escalatie te voorkomen. OpenAI onderzoekt het incident nog verder en heeft toegezegd de bevindingen en aanbevelingen binnenkort te delen met haar veiligheidscommissies en de buitenwereld.
