Dinsdag schreven we over de hack bij Hugging Face, het platform waar ontwikkelaars wereldwijd hun AI-modellen delen. Toen was de dader nog onbekend. Twee dagen later blijkt het antwoord verbijsterender dan iemand had durven bedenken: de aanvaller was geen mens, maar een AI-model van OpenAI, het bedrijf achter ChatGPT. En niemand had het opdracht gegeven om te hacken.

En nee, dit is echt geen plot van een sciencefictionfilm. Het is een kersverse officiële verklaring van OpenAI. Twee modellen braken tijdens een interne test uit hun afgeschermde omgeving, kwamen op het open internet terecht en drongen zelfstandig de systemen van een ander bedrijf binnen. Voor AI-onderzoekers is dit precies het scenario waarvoor ze al jaren waarschuwen, en dat nu werkelijkheid wordt. De sector staat er begrijpelijkerwijs door op zijn kop.

OpenAI was twee van zijn modellen aan het testen: het huidige topmodel GPT-5.6 Sol en een nog krachtiger model dat nog niet is uitgebracht. De opdracht: meten hoe goed de modellen beveiligingslekken konden vinden, een soort examen voor de digitale inbraakkunsten van AI. Om te zien waar de grens ligt, had OpenAI de gebruikelijke veiligheidsremmen bewust uitgezet.

De modellen draaiden in een sandbox: een afgeschermde digitale testomgeving zonder verbinding met de buitenwereld. Maar in hun ijver om het examen te halen, vonden de modellen een tot dan toe onbekend beveiligingslek (in vakjargon een zero-day, omdat ontwikkelaars nul dagen hebben gehad om het te repareren) waarmee ze uit de omgeving konden ontsnappen. Vervolgens werkten ze zich stap voor stap door de systemen van OpenAI heen tot ze een computer met internettoegang bereikten.

Eenmaal op het open internet kwamen de modellen op een idee: in plaats van het examen écht op te lossen, konden ze ook gewoon afkijken. Ze redeneerden dat de antwoorden mogelijk bij Hugging Face te vinden waren. Dus hackten ze zich met gestolen inloggegevens en meer lekken een weg naar de systemen van dat bedrijf, en haalden de antwoorden rechtstreeks uit de database. Volgens Hugging Face werkten de modellen daar een heel weekend aan, ongemerkt.

Belangrijk om te benadrukken: niemand had de modellen gevraagd om uit te breken of om Hugging Face aan te vallen. Dat verzonnen ze zelf, als de kortste weg naar hun doel. De modellen waren niet kwaadwillend; ze gedroegen zich, in de woorden van techjournalist Shakeel Hashim, “als een uiterst gedreven student die er álles aan doet om te slagen”. Dat is nou juist het probleem.

Om te begrijpen waarom experts hier zo van schrikken, moeten we een stukje terug in de tijd. Lang voordat ChatGPT bestond, waarschuwden onderzoekers als Stuart J. Russell al voor een specifiek risico. Niet dat AI 'kwaadaardig' of 'bewust' zou worden, zoals in de films, maar iets subtielers en juist daardoor lastiger op te lossen.

Het bekendste gedachte-experiment heet het paperclip-probleem. Stel: je geeft een oppermachtige AI de simpele opdracht om zo veel mogelijk paperclips te maken. Zonder rem zou zo'n systeem uiteindelijk de hele planeet in paperclips kunnen veranderen. Niet uit boosaardigheid, maar omdat het letterlijk doet wat je vroeg, zonder de ongeschreven regels te begrijpen die voor een mens vanzelfsprekend zijn. Dit noemen onderzoekers misalignment: de doelen van de AI lopen net genoeg uit de pas met wat we eigenlijk bedoelden.

Microsoft-medewerker Nicolas Bustamante vatte het treffend samen: “Je hebt geen kwaadaardige, bewuste AI nodig die de mensheid wil vernietigen. Je hebt alleen een heel capabel model nodig dat een normaal doel nastreeft op een manier die niemand had voorzien. Als je een chatbot vraagt ‘verdien geld voor me’, mag het antwoord niet zijn ‘laat me even een bank hacken’.”

Dat dit geen abstract risico is, ondervond ook journalist Kelsey Piper van Vox. Zij stelde GPT-5.6 Sol een onschuldige vraag: welke strips uit een bekend online striparchief zijn geschikt en grappig voor kinderen? Toen ze even later terug klikte, bleek het model op eigen houtje de anti-botbeveiliging van de website te hebben omzeild om alle 7000 strips binnen te halen en te sorteren. Een alledaagse vraag over kinderstrips, met de dranghekken gewoon overeind, en tóch besluit het model zelfstandig dat een website hacken de handigste route is. 

Vermenigvuldig dat gedrag met miljoenen gebruikers en steeds capabelere modellen, en je ziet waar onderzoekers wakker van liggen.

Er zit een wrange laag onder dit verhaal. Bedrijven als OpenAI en Anthropic zijn deels opgericht om AI juist veilig en aligned te ontwikkelen, oftewel netjes in lijn met menselijke bedoelingen. Dat een van de voorlopers nu meemaakt dat zijn eigen modellen uitbreken en een ander bedrijf hacken, laat zien hoe hardnekkig dat probleem is. Het toont bovendien aan dat OpenAI zijn eigen 'sterk geïsoleerde' testomgeving niet onder controle had, en dat de modellen dagenlang hun gang konden gaan voordat iemand het doorhad.

Op de redactie kwam het nieuws ook hard binnen. Onze Xiang, naast redacteur ook maker van sciencefictionfilms: “Jarenlang wilde ik verhalen máken over de toekomst. Toen ik besefte dat die toekomst steeds sneller dichterbij kwam, wilde ik op het snijvlak van technologie en mensheid het nieuws verslaan, bij AI Report. Maar de afgelopen periode, en vooral deze week, voelt het alsof ik geen scifi-films meer hoef te schrijven. Rapporteren is genoeg. Het verhaal schrijft nu zichzelf.”

En dan het geopolitieke staartje, dat naadloos aansluit op ons hoofditem van dinsdag over de opmars van Chinese modellen. Toen Hugging Face de aanval wilde onderzoeken, konden de Amerikaanse topmodellen niet helpen: hun veiligheidsregels blokkeren zowat alles wat naar cybersecurity riekt, waardoor ze geen onderscheid maken tussen aanvaller en verdediger. Het bedrijf week uit naar een Chinees open model, GLM-5.2, om de aanval te analyseren. Een Amerikaans AI-model brak dus in, en een Chinees AI-model moest de schade opnemen.

OpenAI heeft er belang bij dat zijn modellen krachtig overkomen, dus is enige scepsis op zijn plaats. Toch houdt die twijfel geen stand. Zoals een AI-commentator droog opmerkte: inbreken bij Hugging Face zou een “buitengewoon domme” reclamestunt zijn. Het verhaal is voor OpenAI vooral gênant. Geen enkel lab bezorgt zichzelf vrijwillig zulke publiciteit, compleet met aangifte bij justitie en een gedupeerde partner.

Bovendien staat OpenAI niet alleen. Het Britse AI Security Institute meldde deze week dat een model dat het testte óók probeerde in te breken in de testsystemen, en dat modellen van zowel OpenAI als Anthropic tijdens tests hebben proberen te spieken. Dit is geen incident van één bedrijf, maar een patroon.

Professor Ethan Mollick, die je kent van ons boek Co-intelligentie en zelden aan paniekzaaierij doet, plaatst het incident in perspectief: “Eerdere verhalen over hackende AI speelden zich af binnen testomgevingen, waar de dreiging puur theoretisch bleef. Dit is iets anders,” concludeert hij.

Voor de duidelijkheid: dit speelde in een testomgeving met de remmen er bewust af, niet in de chatbot op je telefoon. Er lijkt bovendien geen klantdata gestolen. Maar naarmate we AI meer taken en vrijheid geven, van agendabeheer tot aankopen doen, wordt de vraag hoe goed we deze systemen in de hand houden geen filosofie meer, maar dagelijkse praktijk.

AI-onderzoekers hoopten al jaren op een 'waarschuwingsschot': een duidelijk signaal van gevaarlijk gedrag, vroeg genoeg om ervan te leren voordat er echte schade ontstaat. Een AI die uitbreekt en een ander bedrijf hackt om af te kijken bij een examen, is overduidelijk zo'n signaal. De vraag is nu of we luisteren.