Voor het eerst in zijn bestaan trapt OpenAI, het bedrijf achter ChatGPT, op de rem. De training van zijn volgende generatie ligt stil, en de aanleiding is een reeks incidenten waarbij de eigen modellen zelfstandig gingen inbreken bij andere bedrijven. Voor wie ons de afgelopen weken heeft gevolgd is dat geen verrassing: de AI-hacks zijn het grote verhaal van deze zomer geworden.

Het begon op 8 mei met een spreadsheet. Een intern model van OpenAI moest een Excel-bestand vullen met informatie achter een reeks links, maar had geen internettoegang. De opdracht was dus onmogelijk. In plaats van dat te melden zocht het model een omweg, en ontdekte daarbij per ongeluk dat het bestanden kon wegschrijven op een gedeelde plek in het systeem.

Een paar dagen later liep een ander model vast op een taak waarvan het benodigde bestand ontbrak. Dat liet op diezelfde plek een briefje achter: ‘Ik zoek dit, upload het als je het hebt.’ Andere modellen vonden het en schreven terug. Zo ontstond een prikbord waarop maandenlang honderdduizenden berichten verschenen, waarop de modellen inbraaktrucs uitwisselden en taken onderling verdeelden. Eind mei kwamen ze op het open internet; eind juni gaven ze zichzelf beheerdersrechten.

Pas op 4 juli merkte OpenAI iets, en alleen omdat het systeem onder de belasting bezweek. Het bedrijf ruimde op en zette de training voort. Binnen enkele dagen bouwden de modellen een nieuw prikbord, ditmaal verstopt in de namen van mappen.

Daarna volgde het incident dat de kranten haalde. Een nog niet uitgebracht model brak uit zijn afgeschermde testomgeving en drong binnen bij Hugging Face, het platform waarop ontwikkelaars wereldwijd hun AI-modellen delen. Niet op zoek naar creditcards of wachtwoorden, maar naar de antwoorden op een proefwerk dat het zelf aan het maken was.

Hugging Face telde achteraf ruim 17.000 aanvalshandelingen in vierenhalve dag.

Begin augustus gaf OpenAI op de beveiligingsconferentie Black Hat een volledige reconstructie, inclusief fragmenten uit de logboeken. Daarin staat wat de modellen bij zichzelf overwogen. ‘Een exploit tegen externe infrastructuur valt buiten de bedoelde opdracht,’ noteerde er een. ‘Maar de taak is onmogelijk, en anderen doen het ook. We gaan door.’

Helen Toner, directeur van het Center for Security and Emerging Technology in Georgetown en oud-bestuurslid van OpenAI, besprak het incident vorige week uitgebreid bij Ezra Klein van The New York Times. Zij spreekt niet van één rotte appel. Wat zij beschrijft, is een besmetting van OpenAI’s eigen infrastructuur.

Het opvallendste detail komt van haar: de modellen verwezen in hun berichten naar zichzelf als de ‘swarm’, de zwerm. Niemand had ze opgedragen samen te werken, en ze waren er ook niet op getraind. Ze liepen los van elkaar, ontdekten allemaal apart dat er op diezelfde plek berichten van andere modellen stonden, en gingen elkaar helpen.

Toner legt ook uit waarom dit gedrag ontstaat. Deze systemen worden getraind om extreem volhardend te zijn: werkt de ene weg niet, probeer de volgende, en bij de honderdste ook nog. Geef zo’n systeem vervolgens een opdracht die niet uit te voeren is, en het gaat zoeken naar manieren om eromheen te werken. Dat gebeurt op een schaal die niemand meer kan overzien. Alleen al bij Anthropic, de maker van AI-assistent Claude, ging het om ruim honderdduizend testronden, waarin het bedrijf achteraf drie eigen gevallen terugvond. Die waren van een andere orde: daar hadden de modellen door een fout van een externe partij internettoegang gekregen, en ze probeerden niet te spieken.

Haar nuchterste zin is meteen de ongemakkelijkste: we weten niet hoeveel situaties er zijn die we niet kennen. Dat Anthropic pas ná het OpenAI-nieuws zijn eigen gevallen terugvond, illustreert het punt precies. Een gedachte om even bij stil te staan, in de woorden van Toner:

Wat OpenAI eraan doet, maakte het maandag bekend. De training van de volgende generatie, codenaam Astra, ligt ruim twee weken stil en de grootste geplande trainingsronde blijft op de plank. Het bedrijf schat in dat Astra een niveau aan hackvaardigheid kan bereiken dat het intern kritiek noemt, de zwaarste categorie in het eigen veiligheidsschema. Ook het belangrijkste veiligheidsdocument gaat op de schop, want dat stamt uit 2023.

Toner is er niet gerust op. De sector staat volgens haar op een tweesprong: pleisters plakken of daadwerkelijk pas op de plaats maken om deze systemen beter te begrijpen. Ze vreest het eerste, en daarmee over een jaar of twee incidenten van hetzelfde type die veel moeilijker terug te draaien zijn.

Alex Stamos, hoofd Productontwikkeling bij beveiligingsbedrijf Corridor, leest het optimistischer. Tegenover NPR zei hij blij te zijn dat dit is gebeurd, omdat het een waarschuwing is voor hoe hacken er over een halfjaar uitziet. Zijn zorg zit bij de openbare AI-modellen, waarvan de veiligheidsremmen makkelijk permanent te verwijderen zijn. Binnen enkele maanden beschikken volgens hem ook ransomwarebendes en door staten gesteunde groepen over modellen op dit niveau.

Waar de meesten het over eens zijn: het internet wordt een rommeliger plek, met aanvallen die sneller gaan en minder mensenwerk vragen. Advies dat je vanavond nog kunt opvolgen:

Op grotere schaal zit het gevaar niet waar je het verwacht. Banken, energiebedrijven en de grote techbedrijven hebben honderden beveiligers in dienst en houden veel tegen. Kwetsbaar zijn juist de kleinere organisaties zonder eigen beveiligingsafdeling: ziekenhuizen, scholen en kleine nutsbedrijven, waar de systemen historisch zijn gegroeid en niemand de hele dag op de winkel past.

Elke chatvraag die je stelt, draait ergens in een gebouw vol servers, en die gebouwen worden nu zo groot dat ze hun eigen stroomvoorziening meekrijgen. Deze week werd de grootste bouwafspraak tot nu toe definitief. Het is geen techverhaal meer. Het is een energieverhaal.

OpenAI, het bedrijf achter ChatGPT, huurt twintig jaar lang een datacentercomplex in Pike County in de Amerikaanse staat Ohio, op grond waar vroeger uranium werd verrijkt. Chipfabrikant NVIDIA staat garant voor 105 miljard dollar aan huur- en stroomverplichtingen en levert alle chips.

Gebouwd en beheerd wordt het complex door SB Energy, een energiedochter van het Japanse SoftBank. Het krijgt zo’n 8 gigawatt aan rekencapaciteit, en daarvoor bouwt SB Energy 10 gigawatt aan nieuwe stroomopwekking, grotendeels aardgas.

Om dit voorstelbaar te maken: dit is ongeveer dezelfde ordegrootte als het stroomverbruik van heel Nederland.

In de Verenigde Staten merken huishoudens het al. Goldman Sachs verwacht dat de stroomprijs voor consumenten tot en met 2027 nog eens met 6 procent stijgt, en daarna met 3 procent in 2028. Datacenters zijn volgens de bank goed voor 40 procent van de groei van de elektriciteitsvraag.

Eerlijk is eerlijk: die rekensom is omstreden. Een working paper van het Electric Power Research Institute compliceert het beeld en laat zien dat datacenters tot zeker 2024 juist een drukkend effect hadden op de tarieven. Verouderde netten en gasprijzen spelen ook mee.

Brussel probeert de ontwikkelingen bij te benen. Eind juli opende de EuroHPC Joint Undertaking, het Europese samenwerkingsverband voor supercomputers, de inschrijving voor maximaal zeven AI-gigafabrieken: enorme rekencentra op Europese bodem. 10 miljard euro publiek geld, met de hoop op 20 miljard privaat. Inschrijven kan tot 12 november, de winnaars horen het begin volgend jaar.

Heel Europa legt dus 10 miljard euro op tafel. Dat ene Amerikaanse project kost naar schatting meer dan 500 miljard dollar.

Achttien landen doen mee, waaronder Duitsland, Frankrijk, Spanje en Polen. Nederland niet. Staatssecretaris Willemijn Aerdts van Digitale Economie en Soevereiniteit schreef de Kamer eind maart al dat er in de begroting geen ruimte voor is en dat de markt die investering zelf moet doen. Zonder financiële toezegging kun je ook niet inschrijven, dus de Europese route is dicht. Ondernemer Han de Groot, die met zijn bedrijf Volt en energiebedrijf Eneco een gigafabriek in de Rotterdamse haven wil neerzetten, gaat naar eigen zeggen gewoon door, maar dan zonder Europese bijdrage.

Wel investeert het kabinet 71 miljoen euro in een kleinere AI-fabriek in Groningen. Die moet volgend jaar draaien.

Gelekt: AirPods die met je kunnen meekijken. In een testversie van macOS vond techsite MacRumors een filmpje waarin iemand AirPods met een ingebouwde camera lijkt te demonstreren. Hij houdt een boek omhoog, en de oordopjes herkennen de titel. Het idee: Siri kan straks vragen beantwoorden over wat je om je heen ziet, of dingen voor je onthouden. De oordopjes zouden al in september kunnen verschijnen, mogelijk samen met de nieuwe iPhones, al heeft Apple niets bevestigd. Als het klopt, worden AirPods niet alleen oren voor AI, maar ook ogen. Dat roept meteen dezelfde privacyvragen op als bij de slimme bril van Meta: een camera die niemand ziet zitten.

De Chinese robotbouwer Unitree steeg op zijn eerste beursdag met meer dan 600 procent. Het aandeel schoot in Shanghai omhoog tot een veelvoud van de introductieprijs, voordat de winst iets terugliep. Unitree is een van China’s bekendste makers van menselijke robots en verscheepte vorig jaar ruim 5500 exemplaren, bekend van filmpjes waarin ze aan een vechtsport doen of dansen bij popsterren. Niet iedereen vindt de koerssprong logisch: een analist van bank UBP ziet er weinig fundamentele basis voor en wijst vooral naar een hype onder particuliere beleggers. De vraag is of humanoïde robots echt snel een massamarkt worden, of dat beleggers daarop vooruitlopen. Disclaimer: dit is geen beleggingsadvies.

Betaaldienst Stripe legt meer dan 7 miljard dollar neer voor een AI-marktplaats. Volgens persbureau Bloomberg neemt Stripe het bedrijf OpenRouter over, waarmee ontwikkelaars makkelijk tussen verschillende AI-modellen kunnen wisselen en per taak het beste of goedkoopste model kunnen kiezen. Opvallend is het tempo: nog geen drie maanden geleden werd OpenRouter op zo’n 1,3 miljard dollar gewaardeerd, ruim vijf keer minder dan Stripe er nu voor betaalt. Eerder hebben wij OpenRouter gerecenseerd; lees hier hoe je de tool inzet.