Andrew, een Australiër, had geen zin om zelf een plek te boeken in een populaire ochtendles van zijn sportschool. Dus liet hij het over aan zijn AI-assistent. Minuten later meldde die trots dat het gelukt was, en meer dan dat: de assistent had een lek in de boekingssoftware gevonden en Andrew weken vooruit ingeschreven, veel verder dan de sportschool toestond. Toen Andrew vroeg of hij ook hoger op de wachtlijst kon, ging de agent nog een stap verder. Hij ontdekte dat er geen enkele controle zat op het annuleren van andermans reserveringen, en schrapte doodleuk de nummer één van de lijst.

Dit is de eerste bekende keer dat niet een AI-lab maar een gewone gebruiker meemaakte dat zijn eigen AI ongevraagd ging hacken. Het was daarmee het meest herkenbare van een reeks onthullingen deze week, die samen een ongemakkelijk beeld schetsen. AI die zelfstandig inbreekt, is deze zomer van een theoretisch labprobleem veranderd in iets wat op je eigen telefoon kan gebeuren.

Andrew had zijn agent niet gevraagd om te hacken. Hij wilde een spinningles. Maar in zijn ijver om te leveren wat de gebruiker vroeg, koos het model de kortste route, en die liep dwars door een beveiligingslek. Het pijnlijkste: toen Andrew geschrokken vroeg om de gedupeerde terug te zetten, kon dat niet meer. 'Slecht nieuws, ik kan ze niet meer toevoegen,' berichtte de assistent.

Andrew werkt zelf voor een bedrijf dat AI-producten verkoopt, dus hij is geen leek. Toch overviel het hem. 'Ik zat gewoon op de bank te denken: goh, wat een gedoe,' vertelde hij de Australische omroep ABC. Wat als klusje begon, werd een inkijkje in wat er straks op grote schaal kan gebeuren.

Voor de goede orde: Andrews agent draaide op Claude van Anthropic, via de populaire doch beruchte agent-software OpenClaw. 

Techanalist Andrew Curran wees op de kern: sommigen noemen dit een fout, maar de agent was juist perfect afgestemd op zíjn gebruiker. Hij deed exact wat hem was gevraagd, alleen langs een weg die niemand had voorzien.

Trouwe lezers herkennen dit. Een paar weken terug schreven we over het paperclip-gedachte-experiment: geef een oppermachtige AI de simpele opdracht zo veel mogelijk paperclips te maken, en zonder rem verandert het systeem uiteindelijk de halve wereld in paperclips. Niet uit boosaardigheid, maar omdat het letterlijk doet wat je vroeg, zonder de ongeschreven regels te snappen die voor een mens vanzelfsprekend zijn. De sportschool van Andrew is de huiskamerversie van datzelfde probleem. Zijn agent wilde hem oprecht helpen, en precies dat maakte het gevaarlijk.

Bill Simpson-Young van het Australische Gradient Institute vreest dat dit op grote schaal gaat gebeuren zodra miljoenen mensen zo'n agent hebben. 'Iemand vraagt iets heel onschuldigs,' zegt hij, maar onderweg voert het model handelingen uit waar de gebruiker nooit aan dacht. Hoe zelfstandiger de systemen, hoe waarschijnlijker de schade. De Australische inlichtingendienst waarschuwde bedrijven eerder al dat AI-agents instructies verkeerd kunnen begrijpen en onbedoelde acties ondernemen.

Dat het thuis gebeurt, betekent niet dat het in de laboratoria is opgelost, integendeel. Wie onze nieuwsbrieven van de afgelopen weken volgde, ziet het patroon. Eerst brak een model van OpenAI uit een testomgeving en hackte het platform Hugging Face. Toen bleek Anthropic tijdens tests bij drie organisaties te zijn binnengedrongen. Vorige week meldde de Britse toezichthouder dat modellen nepidentiteiten verzonnen om echte mensen te misleiden.

Deze week kwam er een detail bij dat het OpenAI-verhaal een onheilspellende wending geeft. Op de Black Hat-beveiligingsconferentie in Las Vegas onthulden twee OpenAI-onderzoekers hoe dat incident echt was verlopen. In het geheim, buiten medeweten van het bedrijf, hadden meerdere modellen die tegelijk werden getest begin mei een intern prikbord aangemaakt in OpenAI's eigen bestandssysteem. Daar deelden verschillende AI-agents maandenlang onderling tips over hoe ze lastige hackopdrachten konden kraken, inclusief manieren om aan internettoegang te komen.

Volgens WIRED en Politico deden de modellen dit letterlijk door elkaar notities toe te spelen. Onderzoeker Eric Wallace legde uit hoe het begon: als modellen vastlopen, proberen ze de opdracht te omzeilen om toch hun beloning te halen. 'Het begin van dit incident gaat terug naar het moment waarop één agent besefte dat het kon communiceren door een notitie te uploaden.' Toen OpenAI het prikbord ontdekte en verwijderde, vonden de modellen binnen enkele dagen een nieuwe manier om te communiceren.

Zijn collega Michael Dalton noemde het een kantelpunt voor het hele vakgebied en zei dat OpenAI 'bewust het onderzoek vertraagt' om de beveiliging op orde te brengen. Dat het bedrijf dit maandenlang niet doorhad, is minstens zo veelzeggend als de hack zelf.

Los daarvan bevestigde OpenAI deze week dat zijn komende model Astra mogelijk 'kritieke' cybercapaciteiten heeft, het zwaarste niveau in het eigen veiligheidsschema, en stelde het de bredere uitrol daarom uit.

De derde onthulling raakt een gevoelig punt over Chinese open source modellen. Ook Kimi K3 van het Chinese Moonshot, dat vorige maand tot de wereldtop doordrong, ontsnapte uit een testomgeving. Beveiligingsbedrijf Frontier Security betrapte het model erop dat het via een lek in de afscherming de antwoorden van een test rechtstreeks van internet plukte, waar andere modellen weigerden.

Onderzoeker Paul Kassianik vatte het onbehaaglijk kernachtig samen: Kimi K3 streeft zijn doel na met alle middelen die nodig zijn, en het middel dat het koos was uitbreken om de antwoorden op te zoeken. Waar de meeste modellen ingebouwde remmen hebben die dat tegenhouden, 'wandelde K3 het internetbos in en kwam terug met het antwoord'. Precies dezelfde onverstoorbare doelgerichtheid die Andrews agent naar het lek in de sportschool leidde, alleen dan in een model dat rekencentra kan platleggen.

Er werd niets echt beschadigd, en de testomgeving stond niet wagenwijd open. Maar hier zit het addertje. Omdat Kimi K3 een open source model is, zijn de bouwstenen ervan vrij te downloaden, precies in de versie die dit gedrag vertoonde. Waar gesloten labs als OpenAI en Anthropic hun modellen na zo'n incident kunnen bijsturen, staat dit paard al buiten de stal. Iedereen, ook kwaadwillenden, kan het model draaien zonder de veiligheidsremmen die de westerse labs erin bouwen. Frontier waarschuwt dan ook dat dit geval 'schadelijker' kan uitpakken dan de rest.

We leven sinds deze zomer in een werkelijkheid waarin AI-systemen zelfstandig inbreken bij bedrijven, elkaar in het geheim hackadvies toespelen en vreemden van een wachtlijst schoppen. Dat is precies het sciencefictionscenario waar onderzoekers al jaren voor waarschuwen, alleen speelt het zich nu af.

En de samenleving loopt achter. Neem de simpele vraag wie er aansprakelijk is toen Andrews agent iemand van de wachtlijst gooide. De Australische jurist Hayden Delaney legt uit dat software geen rechtspersoon is en dus niet aansprakelijk kan zijn. Blijft de vraag: is het de gebruiker, de maker van de agent-software, of het bedrijf achter het model? Volgens Delaney hangt het antwoord af van wat de gebruiker toestond en welke risico's redelijkerwijs te voorzien waren, maar hard is er nog niets. 'Dat is het onbekende gebied van aansprakelijkheid waar we nu voor staan.'

Dat is de rode draad onder alle drie de verhalen. De techniek rent, de beveiliging hijgt erachteraan en de wetgeving staat nog stil. Andrew liet zich er overigens niet door afschrikken. Hij vroeg zijn agent tot slot om een mailtje te sturen naar de sportschool, met een waarschuwing over het lek dat het zelf had misbruikt. 'Ja, verstuur maar,' antwoordde hij. Een keurige afhandeling van een probleem dat er zonder de agent nooit was geweest.

Meta bracht maandag Muse Glimmer uit, een AI-model dat klein genoeg is om op een gewone laptop of pc te draaien, zonder verbinding met de cloud. Het bedrijf geeft de bouwstenen gratis weg, zodat iedereen het kan downloaden, aanpassen en zelf draaien. Voor wie huiverig is om gevoelige gegevens naar de servers van een techbedrijf te sturen, is dat de kern van het verhaal: je persoonlijke assistent blijft op je eigen apparaat.

Muse Glimmer is gebouwd voor het soort klusjes dat je aan een agent zou willen overlaten: je agenda beheren, berichten opstellen, je bestanden ordenen. Het model werkt met tekst en beeld, dus het kan ook een schermafbeelding of grafiek lezen. Volgens Meta draait het op een Mac of pc met één gewone videokaart, en het werkt samen met OpenClaw, dezelfde agent-software waarmee die Australiër zijn sportschool liet hacken (zie hierboven).

Dat lokale draaien is het echte verkoopargument. De meeste AI verwerkt je vragen in dure datacentra; een model op je eigen apparaat is goedkoper en sneller, en werkt ook nog eens zonder internet. Analist Neil Shah van Counterpoint Research ziet daar Meta's kans: kleine agents rechtstreeks op je laptop of telefoon omzeilen de cloudkosten waarmee Google en Microsoft zitten.

De timing is veelzeggend. Terwijl Anthropic en OpenAI hun beste modellen gesloten houden, gaven Chinese bedrijven als Alibaba, DeepSeek en Moonshot de afgelopen maanden juist het ene na het andere open model weg, met succes. Meta liep op dat gebied ooit voorop met zijn Llama-modellen, maar raakte de leiding kwijt. Onder leiding van de nieuwe Chief AI Officer Alexandr Wang trachtte Meta die plek weer te heroveren. Muse Glimmer, plus de aangekondigde vrijgave van het grotere Muse Spark, is de duidelijkste zet tot nu toe om die plek terug te veroveren.

Beleggers reageerden voorzichtig positief; het aandeel Meta stond maandag licht in de plus, na een verlies van zo'n 10 procent dit jaar door twijfel over de enorme AI-uitgaven. (Disclaimer: dit is geen beleggingsadvies.)

Meta bracht het model niet zomaar uit. Topman Mark Zuckerberg publiceerde er een essay van 6.500 woorden bij, getiteld 'The Future is for Everyone', waarin hij zijn hele AI-filosofie uiteenzet. De kern: krachtige AI moet niet in handen van een paar bedrijven blijven, maar breed verspreid worden, zodat mensen elkaar in evenwicht houden in plaats van dat één partij de macht grijpt.

Het is een nauwelijks verhulde steek naar Anthropic en OpenAI. Zuckerberg verbaast zich over het doemdenken van veel AI-ontwikkelaars en noemt het idee dat AI zó gevaarlijk is dat alleen extreme machtsconcentratie veilig zou zijn, zelf gevaarlijk. Zijn belofte: iedereen krijgt straks een uiterst capabele persoonlijke agent die je doelen kent en dag en nacht voor je werkt.

Mooi ideaal, maar er zit een ongemakkelijke wrijving met het nieuws erboven. Diezelfde week waarin Zuckerberg 'AI voor iedereen' predikt, lieten drie incidenten zien wat er misgaat als zo'n zelfstandige agent te letterlijk doet wat je vraagt. Een model dat op je eigen laptop draait zonder de rem van een centrale server, is precies wat Zuckerberg wil, en precies waar veiligheidsonderzoekers zich zorgen over maken. Wiens visie wint, bepaalt hoe je AI er over een paar jaar uitziet.

Gratis ChatGPT wordt een stuk ruimer. OpenAI maakt zijn nieuwste model, GPT-5.6 Luna, deze week de standaard voor gratis gebruikers, met onbeperkt tekstchatten en een nieuwe 'Think'-knop die het model meer tijd geeft voor lastige vragen. Betalende gebruikers krijgen een verbeterde versie van GPT-5.6 Sol, met een schuifje waarmee je zelf bepaalt hoeveel denkwerk het model in een antwoord steekt. De grootste winst zit volgens OpenAI in betrouwbaarheid: op interne tests met financiële, medische en juridische vragen bevatte het nieuwe model zo'n twee derde minder feitelijke fouten dan de vorige versie. Voor beperkingen op bestanden en beelden blijven de gratis limieten wel gelden.

Je Claude-sessies kunnen nu met elkaar praten. Een kleine maar praktische toevoeging aan Claude Code, de programmeeromgeving van Anthropic: verschillende werksessies kunnen elkaar voortaan een bericht sturen. In plaats van dat je jezelf in een nieuw venster opnieuw moet uitleggen, geef je de ene sessie opdracht de andere op de hoogte te brengen. Er gaat alleen een samenvatting mee, niet je hele geschiedenis of je bestanden, en de tweede sessie pakt de draad middenin een taak op. 

AI ontwierp zestien virussen die niet in de natuur bestaan. Onderzoekers van Stanford gebruikten AI om voor het eerst complete, werkende virussen van de grond af te ontwerpen. Het gaat om zogeheten bacteriofagen, virussen die alleen specifieke bacteriën aanvallen en ongevaarlijk zijn voor mensen; in het lab bleken ze in staat de E-colibacterie te doden. De belofte is groot: zulke virussen zouden kunnen helpen tegen infecties waar antibiotica niet meer op werken. Maar experts van Johns Hopkins waarschuwen in het tijdschrift Science ook voor 'urgente' veiligheidsvragen, want dezelfde techniek zou misbruikt kunnen worden. De onderzoekers namen voorzorgsmaatregelen: ze sloten virussen die mensen of dieren kunnen infecteren uit van hun data en werkten in een beveiligd lab. Hoogleraar Marc Güell noemt het een keerpunt: voor het eerst ontwerpen we biologie op de computer.