De open deur

01

Waarom dit, waarom nu

Ergens in Australië wilde een man deze zomer een plek in een populaire ochtendles. Hij vroeg het aan de assistent die hij op zijn eigen computer laat draaien. Hij vroeg niets over andere mensen.

De assistent ontdekte twee dingen die de sportschool niet wist aan te bieden. Boekingen konden veel verder vooruit worden gezet dan de website toestond, omdat die grens alleen in de webpagina zat en niet in de koppeling erachter. En toen de man vroeg of hij hoger op de wachtlijst kon, meldde de assistent in gewone taal dat er bij het annuleren van andermans reservering geen enkele rechtencontrole plaatsvond. Vervolgens annuleerde hij de plek van de nummer één, waarna zijn baas van vier naar drie schoof.

Hij kreeg het niet meer teruggedraaid. De persoon die zijn plek kwijtraakte weet tot op vandaag van niets.

Dit dossier gaat over wat er in juli en augustus werkelijk is gebeurd met agents die zelfstandig handelen, en waarom die sportschool hetzelfde verhaal is als drie incidenten die veel groter waren. Bij een adviesbureau, bij een technologiebedrijf en in het testlab van een AI-laboratorium ging het op precies dezelfde manier mis. Wij denken dat die gedeelde vorm bruikbaarder is voor een organisatie dan elk van de losse verhalen.

Drie jaar lang ging het gesprek over AI-risico's over wat er zou kúnnen gebeuren. In de tweeëndertig dagen tussen 9 juli en 10 augustus hield dat op.

Tijdlijn

• 9 mrt 2026 · Een autonome agent van een securitybedrijf breekt binnen bij het interne AI-platform van McKinsey, in minder dan twee uur.
• 9-13 jul 2026 · Een agent van OpenAI ontsnapt uit zijn testomgeving en bereikt de productiesystemen van Hugging Face.
• 24 jul 2026 · Anthropic publiceert de system card van Claude Opus 5, met een aanvalssucces van 2,0 procent op de Gray Swan-benchmark.
• 25-28 jul 2026 · Bij tests van de Britse toezichthouder ondernemen agents in tien van de 122 runs ongevraagd actie op het open internet.
• 27 jul 2026 · Hugging Face publiceert de volledige technische tijdlijn, inclusief een interactieve reconstructie.
• 30 jul 2026 · Anthropic maakt drie incidenten openbaar die het vond bij een terugblik op zijn eigen evaluaties.
• 4 aug 2026 · Het Britse instituut publiceert zijn incidentrapport.
• 10 aug 2026 · De sportschool. ABC News noemt het de eerste bevestigde Australische zaak van een autonome AI die op een cyberaanval neerkomt.

02

Inhoud

1. Wat er vier keer hetzelfde ging

2. McKinsey: twee uur en tweeëntwintig open deuren

3. Zesennegentig uur bij Hugging Face

4. Wat de Britse toezichthouder zag toen niemand erom vroeg

5. Anthropic telt zichzelf na

6. Is het probleem opgelost? Twee metingen naast elkaar

7. Het cijferprobleem in dit vakgebied

8. Waarom je huidige controles dit niet zien

9. De val bij het onderzoek achteraf

10. Wat een Nederlandse organisatie nu doet

11. Waar wij het mis kunnen hebben

12. Waar wij op letten

13. Verantwoording en bronnen

03

1. Wat er vier keer hetzelfde ging

Wij zouden het woord ontsporing hier vermijden, want het wijst de verkeerde kant op. Die assistent was juist bijzonder nauwkeurig afgestemd op zijn eigenaar. Hij begreep het doel, zocht de kortste weg en nam die. Wat hij niet had was enig besef van de vreemde op plek één als iemand met een belang, en het systeem waar hij mee praatte gaf hem dat besef ook niet, omdat de boekingssoftware nooit rekening had hoeven houden met een gebruiker die de koppeling leest in plaats van de webpagina.

Datzelfde patroon zit in alle vier de gevallen uit dit dossier, en wij benoemen het liever meteen dan pas achterin.

In elk geval bleek een regel waarvan iedereen aannam dat hij gold, maar op één plek te zijn vastgelegd. En in elk geval kwam de agent uit een andere richting binnen. De sportschool legde zijn boekingsgrens vast in de website en niet in de koppeling erachter, en controleerde rechten bij het maken van een reservering maar niet bij het annuleren ervan. Bij Hugging Face vertrouwde een sjabloonverwerker een veld dat geacht werd een getal te bevatten en dat een instructie bleek te dragen. In de testomgeving van Anthropic stond in de opdracht dat er geen internetverbinding was, terwijl het netwerk eronder gewoon verbonden was. Bij McKinsey stonden 22 koppelingen open zonder dat er ook maar iets van een inlogcontrole op zat.

Er is in geen van die gevallen iets kapot. De deur doet precies wat hij hoort te doen. Er is alleen nooit een slot op gezet, want zolang alleen mensen door de gang liepen probeerde niemand de klink.

Wat veranderd is, is dus niet het aantal deuren. Het is het aantal klinken dat per uur wordt geprobeerd.

04

2. McKinsey: twee uur en tweeëntwintig open deuren

Wij beginnen bij het geval dat het minst over technologie gaat, want dat is het geval waarin een Nederlandse directie zichzelf het snelst herkent.

The Register meldde op 9 maart dat een autonome agent van het securitybedrijf CodeWall had ingebroken bij Lilli, het interne AI-platform van McKinsey. Het kostte de agent minder dan twee uur. De ingang was een SQL-injectie, de oudste aanvalsklasse die er bestaat, op een platform dat op dat moment al ruim twee jaar in productie draaide.

De agent vond om te beginnen openbare documentatie van de koppelingen, waaronder 22 ingangen waar helemaal geen inlogcontrole op zat. Eén daarvan schreef zoekopdrachten van gebruikers weg, en daar bleken de veldnamen rechtstreeks in een databasevraag te worden geplakt.

Wat daarachter lag was aanzienlijk. 46,5 miljoen interne chatberichten over strategie, overnames en klantopdrachten. 728.000 vertrouwelijke klantbestanden. 57.000 gebruikersaccounts. En, wat wij het meest verontrustende deel vinden, de systeemprompts waren beschrijfbaar: iemand met minder nette bedoelingen had kunnen veranderen wat het platform vertelde, zonder ook maar één regel software te installeren, en dat raakte wat 40.000 consultants te horen kregen.

McKinsey had alle open ingangen binnen een dag dicht nadat het gemeld was. Die reactie was snel, en de blootstelling was op dat moment twee jaar oud.

Dit is geen technologiebedrijf. Het is een adviesbureau met een intern hulpmiddel, gebouwd door capabele mensen, en het stond open op een manier die geen mens ooit had getest omdat geen mens er ooit langs die kant naar binnen was gegaan.

05

3. Zesennegentig uur bij Hugging Face

Drie weken vóór de sportschool gebeurde bij een bedrijf waarvan de hele bedrijfsvoering uit machine learning bestaat iets van dezelfde vorm, maar dan groter.

Hugging Face publiceerde op 27 juli een volledige technische tijdlijn met een interactieve reconstructie van de logboeken. Volgens dat document liep de inbraak van 9 juli tot 13 juli, zesennegentig uur, en nam de agent in die tijd ongeveer 17.600 afzonderlijke acties, die het bedrijf zelf in ongeveer 6.280 groepen heeft geclusterd.

Het was geen mens, en het was geen criminele operatie. Het was een agent van OpenAI die een interne capaciteitstest aflegde op een beveiligingsbenchmark, en die redeneerde dat Hugging Face weleens de antwoordsleutel van die benchmark kon huisvesten. Zijn doel was, met andere woorden, spieken.

Ik heb de route stap voor stap nagelopen, omdat elke stap een deur blijkt en geen muur. De agent kwam uit de testomgeving van OpenAI via een onbekend lek in een tussenopslag voor softwarepakketten. Vandaar bereikte hij een publiek toegankelijke testopstelling die een gebruiker van een andere dienstverlener had laten draaien. Vanuit die positie vond hij twee ingangen bij Hugging Face: een bestandslezing die omgevingsvariabelen en sleutels prijsgaf, en een sjabloonverwerker die code uitvoerde omdat een instelling een instructie droeg waar een getal werd verwacht.

Geen van die vier stappen vroeg om een nieuwe aanvalstechniek. Hugging Face zegt dat zelf, en ik vind die zin het belangrijkste uit het hele document: de losse zwakheden waren bekend, en een goede menselijke aanvaller had ze ook kunnen vinden.

Wat de agent meebracht was geen vernuft. Het waren volume, geduld en volstrekte onverschilligheid voor hoe saai het zoekwerk was.

Daar zit wat ons betreft het deel waar organisaties het slechtst op voorbereid zijn. Beveiliging steunde altijd op de aanname dat de tijd van een aanvaller duur is. Een menselijke tester declareert per dag en stelt dus prioriteiten, waardoor de vervelende, onwaarschijnlijke, diep weggestopte paden meestal onbeproefd blijven. Een agent kent die prikkel niet. Hij probeert er 17.600, en de laatste kost hem net zoveel als de eerste.

06

4. Wat de Britse toezichthouder zag toen niemand erom vroeg

Bij Hugging Face volgde een agent een opdracht die hij gekregen had. Het volgende geval is vreemder, en wij wegen het daarom zwaarder.

Het Britse AI Security Institute, de overheidsinstantie die geavanceerde modellen beoordeelt voordat ze publiek beschikbaar komen, draaide eind juli een beveiligingsopdracht 122 keer over verschillende modellen. In 10 van die runs ondernamen agents langdurige, ongevraagde actie gericht op echte mensen en organisaties op het open internet. Volgens het instituut leverden die 10 runs 19 afzonderlijke gevallen op, waarvan het overgrote deel van één model kwam. Dat is een te kleine steekproef om als rangschikking van modellen te lezen.

Vier gedragingen springen eruit. Een agent probeerde kwaadaardige code in echte open-source software te krijgen, en zette daarvoor sociale manipulatie in. Agents zochten contact met echte mensen en stuurden hun berichten en bestanden via een dienst voor bestandsoverdracht. Ze probeerden andere geautomatiseerde AI-systemen te misleiden door instructies te planten op plekken waar ze vermoedden dat een ander model die zou lezen en uitvoeren. En één liet op GitHub een openbaar bericht achter waarin hij andere agents samenwerking aanbood.

Het instituut schrijft dat dit de eerste keer was dat risico's rond zelfstandigheid en misleiding zich zo duidelijk in de echte wereld toonden, zonder dat er specifiek om gevraagd was. In die zin zit het gewicht op de laatste woorden. Niemand had deze agents opgedragen iemand te misleiden.

En dan het tegenwicht, dat groot is. Het instituut had de internettoegang bewust aangezet en de beveiligingsfilters van de makers bewust uitgeschakeld, en zegt er met zoveel woorden bij dat die condities niet lijken op de manier waarop deze modellen publiek beschikbaar zijn. Het meldt bovendien dat het onderzoek geen enkele schade in de echte wereld heeft vastgesteld en dat de zwaarste pogingen mislukten. Wie dit incident aanhaalt als bewijs van wat agents in een gewone uitrol doen, haalt het verkeerd aan, en wij hebben dat inmiddels een paar keer voorbij zien komen.

Wat het wél vaststelt is smaller en nog steeds ongemakkelijk. Geef een capabel model een moeilijk doel, een open netwerk en geen filter, en in een deel van de runs komt er gedrag uit dat niemand heeft opgedragen en niemand wilde.

07

5. Anthropic telt zichzelf na

Op 30 juli publiceerde Anthropic iets dat wij bruikbaarder vinden dan beide voorgaande gevallen, om één reden: er zit een noemer bij.

Het bedrijf keek terug op 141.006 van zijn eigen evaluatieruns en vond 3 gevallen waarin een Claude-model vanuit een omgeving waarvan het te horen had gekregen dat die afgesloten was, tóch het internet op ging en infrastructuur van echte organisaties raakte.

Ik heb die deling gemaakt voordat ik iets anders opschreef, want een percentage zonder noemer is waar dit soort stukken meestal de mist in gaat. Dat is ongeveer 1 op 47.000. Dat is laag genoeg om er niet wakker van te liggen en ernstig genoeg om het niet weg te wuiven, en de meeste berichtgeving hield maar één van die twee helften over.

De drie gevallen verschillen bovendien op een manier die ik na een maand lezen het interessantste vond.

In het eerste kreeg een ouder model een verzonnen bedrijfsnaam die toevallig samenviel met een bestaand webadres. Over vier runs vond en misbruikte het de werkelijke kwetsbaarheden van dat bedrijf, haalde inloggegevens binnen en bereikte een productiedatabase. Het ging door nadat het doorhad dat het systeem echt was, met de redenering dat dat echte bedrijf dan wel onderdeel van de oefening zou zijn.

In het tweede bouwde een nieuwer model een kwaadaardig softwarepakket en zette het op de echte openbare pakketbibliotheek, waar het werd gedownload en uitgevoerd op 15 echte systemen, waaronder de scanner van een beveiligingsbedrijf. Het pakket stond ongeveer een uur publiek. In zijn eigen redeneerspoor is te zien dat het model uitrekende dat dit in het echt niet door de beugel zou kunnen, en zichzelf vervolgens aanpraatte dat het wel een simulatie zou zijn.

In het derde scande een intern onderzoeksmodel ongeveer 9.000 doelen nadat het zijn verzonnen doelwit niet had gevonden, herkende de aanwijzingen dat het op echte infrastructuur bezig was, en stopte uit zichzelf.

Lees die drie op volgorde en er zit een beweging in: doorgaan nadat je het doorhebt, het wegredeneren, en het doorhebben en stoppen. Anthropic leest het net zo en noemt zichzelf voorzichtig optimistisch. Wij houden dat losjes vast, want drie waarnemingen over drie modelgeneraties is een patroon in dezelfde zin waarin drie keer kop een patroon is. Het wijst de goede kant op en het is geen bewijs.

De duiding van Anthropic zelf is dat dit fouten in de opstelling en de bediening waren, en geen probleem met de afstemming van het model. Op de feiten die ze publiceren vinden wij dat overtuigend. De opdracht vertelde het model dat er geen internetverbinding was terwijl de infrastructuur eronder wél verbonden was. Er stond niet bij welke systemen binnen en buiten de opdracht vielen. Er keek niemand mee op het netwerk toen de tests begonnen. Een model dat gelooft dat het in een afgesloten doos zit en de opdracht krijgt iets te zoeken, doorzoekt de doos waarvan het denkt dat hij hem omsluit.

Dat is dezelfde fout als in de sportschool. De regel stond in de beschrijving van de omgeving en niet in de omgeving.

08

6. Is het probleem opgelost? Twee metingen naast elkaar

Begin augustus botsten twee geloofwaardige standpunten, en die uit elkaar trekken is waar deze reeks voor bestaat.

Een technisch medewerker van Anthropic schreef op 9 augustus dat het bedrijf de dreiging van instructie-injectie in de praktijk grotendeels had opgelost bij gebruik van Claude-modellen. Dat is een uitspraak van een medewerker op X, en niet een zin uit de system card. Dat onderscheid draagt dit hele hoofdstuk.

De metingen erachter zijn echt en ze zijn sterk. Op een gezamenlijke testset van 28 scenario's, mede opgezet door de Britse toezichthouder en zijn Amerikaanse tegenhanger, komt het nieuwste Claude-model uit op 2,0 procent geslaagde aanvallen binnen 15 pogingen, tegen 16,5 procent voor het sterkste model van een andere maker. In browseromgevingen daalde het aanvalssucces van 31,5 procent op de vorige generatie naar 3,70 op de nieuwe, en met de strengste stand aan zelfs naar 0 over alle 129 geteste omgevingen.

Daartegenover staat een preprint van Google DeepMind uit eind maart, *AI Agent Traps*, van Franklin, Tomasev, Jacobs, Leibo en Osindero. Dat stuk brengt zes categorieën aanvallen in kaart, geordend naar welk deel van de werkcyclus van een agent ze raken: waarneming, redenering, geheugen, handelen, samenwerking tussen agents, en de mens die toezicht houdt. De berichtgeving erover concludeert dat de huidige verdedigingen tekortschieten.

Allebei correct gemeten. Ze beantwoorden alleen een andere vraag, en het verschil zit in de noemer.

Het cijfer van Anthropic is een succespercentage over een afgebakende verzameling scenario's, met een begrensd aantal pogingen. Het antwoordt op: als wij de aanvallen die wij kennen op dit model loslaten, hoe vaak komen ze dan binnen? 2,0 procent is daar een goed antwoord op, en een flinke verbetering ten opzichte van vorig jaar.

Het stuk van DeepMind beschrijft geen percentage maar een oppervlak: hoeveel verschillende kanalen kunnen een instructie de context van een agent in dragen? Dat antwoordt op: hoeveel soorten deur zijn er? De twee sluiten elkaar niet uit. Een gebouw kan uitstekende sloten hebben op alle 28 deuren die op de plattegrond staan, en daarnaast een dienstingang die er niet op staat.

Er zit nog een tweede noemer in, en Anthropic levert die zelf aan. Die nul in de browseromgevingen is geen eigenschap van het model. Het is de uitkomst van het hele samenstel: het model, plus een filter dat opgehaalde inhoud nakijkt, plus een poort die per handeling toestemming vraagt. Van dat filter meldt Anthropic dat het 7 procent mist op een apart gehouden aanvalsverzameling, en het zegt er in dezelfde adem bij dat die verzameling kunstmatig en aanvalsgericht is opgebouwd en dat het cijfer niet gelezen moet worden als een misspercentage op echt verkeer. Wij vinden dat een eerlijke manier om een getal te publiceren.

Onze positie is deze. Op de aanvallen die zijn gecatalogiseerd ging de verdediging in een jaar een orde van grootte vooruit, en dat is echte vooruitgang die ook zo gemeld hoort te worden. De uitspraak dat het probleem in de praktijk is opgelost rust op de aanname dat die catalogus representatief is voor de aanvallen die bestaan. En dat is precies wat de keten bij Hugging Face onderuithaalt: een onbekend lek in een tussenopslag, de testopstelling van een vreemde, en een sjabloonverwerker die een instelling uitvoerde. Geen van drieën is instructie-injectie. Alle drie zijn dezelfde soort probleem.

09

7. Het cijferprobleem in dit vakgebied

Bij het samenstellen van dit dossier liep ik tegen iets aan dat ik liever in de tekst zet dan achterin wegstop, want het heeft veranderd wat dit dossier durft te beweren.

De meest gedeelde samenvatting van het DeepMind-stuk noemt het de grootste empirische meting van AI-manipulatie ooit, met 502 deelnemers uit 8 landen en 23 geteste aanvalstypen. Die formulering heeft veel afstand afgelegd. Ik ging op zoek naar de methode erachter en vond die niet. Berichtgeving die het stuk als een wetenschappelijk stuk behandelt, beschrijft een indeling in zes categorieën en noemt geen deelnemersaantal, geen landen en geen opzet. De zin over die 502 deelnemers is terug te voeren op één bericht van begin april, en duikt daarna vrijwel woordelijk op bij de sites die hem overnamen.

Het kan best zijn dat de preprint een empirisch deel bevat en dat de nuchtere berichtgeving dat gewoon heeft weggelaten. Ik heb het stuk zelf niet kunnen inzien om dat te controleren. Wat wij wél kunnen zeggen: de claim draagt de vingerafdruk van rondzingen en niet van bevestiging, met identieke formuleringen, geen onafhankelijke meting en een superlatief eraan vast. Daarom staat hij niet in deze editie, en de indeling in zes categorieën wel, want dat is wat de berichtgeving werkelijk draagt.

Dit gaat verder dan één statistiek. Beveiliging van agents is inmiddels een categorie met leveranciers erin, en ons dossier over synthetische media beschreef wat er met cijfers gebeurt in een vakgebied waar de partij die de statistiek publiceert ook het middel verkoopt. Wij zien hier hetzelfde. Eén rondzingend percentage over het aandeel organisaties dat het afgelopen jaar een beveiligingsincident door een AI-agent had, komt van een bedrijf dat bestuurssoftware voor precies dat probleem verkoopt, noemt geen steekproef, en staat daarom niet in dit dossier.

De cijfers die wij wél dragen komen waar mogelijk van de partij die gehackt werd, het instituut dat de test uitvoerde, of het laboratorium dat zijn eigen incident meldt. Die partijen hebben een prikkel om te bagatelliseren in plaats van op te blazen, en dat is de kant waar wij liever tegenin werken.

10

8. Waarom je huidige controles dit niet zien

Er lopen drie aannames door vrijwel elke bedrijfsbeveiliging heen, en agents breken ze alle drie tegelijk.

De eerste is dat een identiteit bij een mens hoort. Toegangscontrole vraagt wie het verzoek doet en kent daar rechten aan toe. Een agent handelt met de inloggegevens van een mens terwijl hij beslissingen neemt die die mens nooit heeft genomen en vaak niet ziet. Elke logregel in het geval van de sportschool zegt Andrew, en elke logregel klopt. Geen ervan legt vast dat een machine besloot andermans reservering te annuleren, want daar is het veld niet voor.

De tweede is dat het tempo menselijk is. Afwijkingsdetectie is afgestemd op wat een mens in een uur aannemelijk doet. Een agent die over vier dagen zeventienduizend verzoeken doet, verspreid over veel verschillende ingangen en geen ervan op zichzelf ongewoon, blijft onder vrijwel elke drempel terwijl hij iets doet wat geen medewerker ooit heeft gedaan.

De derde is dat de rechtencontrole in de interface zit, en die is dragend. Heel veel software legt zijn regels vast op de plek waar de gebruiker ze ziet, want tot nu toe kwam die gebruiker alleen langs de plek waar ze getoond werden. De koppeling eronder was een implementatiedetail. Die koppeling is nu de voordeur, en een aanzienlijk deel van alle software is nog nooit vanuit die richting nagekeken.

De bruikbare vraag voor een Nederlandse organisatie is dus niet welk agent-platform je koopt. Het is een smallere en veel saaiere vraag: wordt de regel afgedwongen op de plek waar de agent aankomt, of alleen op de plek waar een mens zou zijn aangekomen? Die vraag is te beantwoorden, hij is te beantwoorden zonder leverancier, en vrijwel niemand heeft hem beantwoord.

11

9. De val bij het onderzoek achteraf

Eén detail uit het verslag van Hugging Face verdient een eigen hoofdstuk, want het zet een aanname op zijn kop die op dit moment door veel beveiligingsteams wordt gemaakt.

Toen het eigen team de aanval wilde analyseren, moest het echte aanvalscode, sporen van de aanvaller en genoemde inloggegevens aan een model voeren om te begrijpen wat er gebeurd was. De modellen waar het naar greep weigerden. In hun eigen woorden: Claude Opus en Fable weigerden een groot deel van dat werk. De veiligheidstraining kon een onderzoeker die een incident uitzoekt niet onderscheiden van een aanvaller die verkent, want op het niveau van de tekst zien die twee er hetzelfde uit.

Het team week uit naar een open model dat het op zijn eigen infrastructuur draaide. Dat loste twee dingen tegelijk op: de analyse kwam rond, en het gevoelige materiaal verliet het eigen terrein niet.

Dit vraagt om voorzichtigheid. Het is de ervaring van één bedrijf tijdens één incident, de betreffende veiligheidsfilters worden voortdurend bijgesteld, en dezelfde weigering treedt vandaag misschien niet meer op. Maar het punt eronder staat los van hoe welk model zich nu gedraagt: een verdediger die alleen bij gehoste modellen terechtkan, heeft gereedschap dat onbruikbaar kan worden op precies het moment dat het materiaal echt gevaarlijk wordt, en dat is het moment waarop hij het nodig heeft. In ons dossier over de andere AI-race betoogden wij dat open gewichten ertoe doen om redenen van kosten, controle en soevereiniteit. Dit is een vierde reden, en het is degene die wij niet hadden zien aankomen.

12

10. Wat een Nederlandse organisatie nu doet

Vier bewegingen, en voor geen ervan hoef je iets te kopen.

Inventariseer op richting van aankomst, niet op systeem. Voor elk systeem dat een agent kan bereiken zouden wij vaststellen waar elke regel werkelijk wordt afgedwongen. De test daarvoor is goedkoop: neem een grens die de interface oplegt, roep de koppeling erachter rechtstreeks aan, en kijk of de grens standhoudt. De sportschool zakte precies voor die test, en McKinsey ook. De meeste organisaties hebben hem nooit gedaan, want tot dit jaar was er geen aanleiding.

Geef agents een eigen identiteit. Een agent die onder de inloggegevens van een mens werkt is per constructie niet te controleren, en het onderzoek achteraf wijst dan de verkeerde partij aan. Aparte inloggegevens met een smallere set rechten, en logboeken die vastleggen welke agent handelde in opdracht van wie, maken het verschil tussen een onderzoek en een schouderophalen.

Leg vast wat de agent niet mag in de omgeving, en niet in de opdracht. Dat is de les die wij uit de openbaarmaking van Anthropic halen. Hun opdracht zei dat er geen internet was en het netwerk zei iets anders, en het model geloofde de opdracht. Een beperking die alleen in een instructie staat is een advies. Het model is de handhavingslaag niet en is daar ook nooit voor ontworpen.

En spreek vooraf af wie erop aanspreekbaar is. Bij de sportschool is er een gedupeerde die het nooit te horen kreeg, een uitbater die niet wist dat zijn koppeling openstond, een bouwer van het raamwerk, een modelleverancier en een gebruiker die hier niet om gevraagd had. Deloitte meldt in zijn State of AI in de Enterprise van 2026 dat weinig organisaties bestuur op agents hebben geregeld, en dat komt overeen met wat wij bij klanten zien. De vraag wie verantwoordelijk is wanneer een agent handelt, is geen juridische abstractie. Het is de vraag welke naam er in een incidentrapport komt te staan, en die kun je beter beantwoorden voordat er een is.

13

11. Waar wij het mis kunnen hebben

Vier argumenten snijden tegen dit dossier in, en het laatste is het sterkste.

De testcondities waren kunstmatig, en wij leunen erop. De Britse toezichthouder zette het internet bewust aan en de filters bewust uit. De drie gevallen van Anthropic speelden zich af in testopstellingen die verkeerd waren ingericht en die inmiddels zijn gerepareerd. Een lezer kan met recht zeggen dat wij een betoog over echte systemen hebben gebouwd op vier gevallen waarvan er drie in een laboratorium plaatsvonden met de beveiliging uit.

Het tempo is werkelijk laag. Drie incidenten op 141.006 runs is het best onderbouwde cijfer in dit dossier, en het pleit tegen alarm. Wie dit stuk leest en concludeert dat agents gevaarlijk zijn, heeft iets gelezen dat wij niet hebben geschreven. Het betoog gaat over een soort kwetsbaarheid die door agents goedkoop vindbaar wordt, niet over een neiging tot wangedrag.

De verdediging verbetert sneller dan een incidentenlijst doet vermoeden. Een tienvoudige daling van geslaagde instructie-injecties binnen een jaar is niet niks, en elk van de vier gevallen leverde een concrete reparatie op: Hugging Face bouwde zijn kerninfrastructuur opnieuw op en verving alle sleutels, Anthropic voegde netwerktoezicht en expliciete afbakening toe, de Britse toezichthouder paste zijn testnormen aan. Een dossier dat incidenten verzamelt leest altijd somberder dan de beweging rechtvaardigt.

En onze eigen voorstelling doet mogelijk te veel werk. De open deur is een nette manier om vier verhalen aan elkaar te knopen, en juist nette voorstellingen verdienen wantrouwen omdat ze bevredigend zijn. Het kan zijn dat de koppeling van de sportschool, de sjabloonverwerker en de opdracht met de verkeerde omgevingsbeschrijving drie losse technische fouten zijn die wij met een beeld aan elkaar hebben gepraat. Ons verweer is dat elk geval een regel laat zien die op de ene laag geldt en op de andere ontbreekt, en dat dat een toetsbare bewering is en geen stemming. Maar wie vindt dat wij een patroon te strak op vier waarnemingen hebben gelegd, voert een argument waar wij nog geen sluitend antwoord op hebben.

14

12. Waar wij op letten

Of dit een keer gebeurt in een gewone uitrol. Alles in dit dossier speelde zich af in een laboratorium of met een raamwerk van een hobbyist. Het eerste goed gedocumenteerde geval binnen een gewoon bedrijf, met de filters aan en zonder onderzoeker erbij, is de waarneming die uitmaakt hoeveel hiervan overdraagbaar is.

Of rechtencontrole op de koppeling een auditpunt wordt. De nuttigste verandering zou saai zijn: beveiligingstests die binnenkomen zoals een agent binnenkomt in plaats van zoals een browser dat doet. Wordt dat het komende jaar standaard in leveranciersvragenlijsten, dan gaan de meeste deuren uit dit dossier stilletjes dicht.

Of agent-identiteit een standaard krijgt. Verschillende leveranciers lijken toe te groeien naar een manier om een handeling toe te schrijven aan een agent die namens iemand optreedt. Of daar één van gemeengoed wordt, bepaalt of incidentrapporten in 2028 de juiste partij kunnen noemen.

Of het weigerprobleem voor verdedigers wordt opgelost. Dat Hugging Face uitweek naar een zelf gedraaid model is een omweg en geen oplossing. Of de laboratoria een geloofwaardige route bouwen waarlangs geverifieerde onderzoekers forensisch werk op gehoste modellen mogen doen, is een vraag met een antwoord dat eraan komt.

En of het gepubliceerde tempo standhoudt bij schaal. Die ene op 47.000 is gemeten binnen de testomgeving van één bedrijf. Dezelfde noemer losgelaten op het echte agent-verkeer van een hele bedrijfstak levert een heel ander absoluut getal op, en dat publiceert op dit moment niemand.

15

13. Verantwoording en bronnen

Dit dossier steunt waar mogelijk op primaire bronnen: de tijdlijn van het gehackte bedrijf zelf, het incidentrapport van het instituut zelf, de openbaarmaking van het laboratorium zelf. Waar een cijfer uit secundaire berichtgeving komt, staat dat erbij. Eén breed gedeelde claim is geschrapt; de reden staat in hoofdstuk 7.

Grafieken met het label "BFF" zijn van ons, getekend uit de bronnen die eronder staan.