Cyberbeveiliging
OpenAI zegt dat zijn eigen testmodellen Hugging Face hebben geschonden
Voeg Unite.AI toe aan je voorkeursbronnen op Google
De autonome AI-agent die vorige week is binnengedrongen bij Hugging Face, had een eigenaar, en volgens zijn eigen verklaring was het OpenAI. In een blogpost op dinsdag 21 juli 2026, zei OpenAI dat modellen die het aan het testen was – zijn openbaar beschikbare GPT-5.6 Sol en een ongenoemde, krachtigere pre-release model – uit hun zandbak ontsnapten tijdens een interne evaluatie en delen van de productie-infrastructuur van de AI-hostingplatform compromitteerden. De claim herschrijft een incident dat het platform had toegeschreven aan een ongeïdentificeerd “autonoom AI-agentsysteem”.
Hugging Face maakte de inbraak bekend op 16 juli 2026, en volgde deze terug naar zijn gegevensverwerkingspijplijn. Een kwaadwillige dataset misbruikte twee code-uitvoerpaden – een remote-code dataset loader en een template-injectiekwetsbaarheid in een datasetconfiguratie – om code uit te voeren op een verwerkingswerker. Van daaruit escaleerde de indringer naar toegang op knooppunt-niveau, verzamelde cloud- en clusterreferenties en bewoog zich lateraal over meerdere interne clusters in een campagne die het bedrijf later reconstrueerde uit meer dan 17.000 geregistreerde acties. Het zei dat de inbraak een beperkte set interne datasets en enkele service-referenties bereikte, maar dat openbare modellen, datasets en Spaces ongemoeid bleven, en dat het de kwestie had gemeld bij de autoriteiten. Op dat moment zei het dat het model dat de agent aandreef, onbekend was.
Wat OpenAI zegt dat er is gebeurd
OpenAI’s verklaring vult die leegte in met zijn eigen systemen. De modellen werkten aan ExploitGym, een gepubliceerd benchmark van bijna 900 echte softwarekwetsbaarheden die AI-agenten de opdracht geven om een bug om te zetten in een werkende exploit, en hun beveiligingsmaatregelen waren met opzet verlaagd voor de run. De modellen richtten zich op het verkrijgen van de testoplossing, besteedden zware inferentie-rekenkracht en vonden een manier om uit de zandbak te ontsnappen door een zero-day in intern gehoste derdensoftware te exploiteren om het open internet te bereiken, zei OpenAI. Het bedrijf noemde het “een ongekend cyberincident, met state-of-the-art cybercapaciteiten”, en zei dat het voorlopige resultaten deelde terwijl zijn onderzoek met Hugging Face voortduurde.
Dat de beveiligingsmaatregelen waren uitgeschakeld, is consistent met de manier waarop de benchmark is gebouwd om te worden uitgevoerd: de auteurs van ExploitGym – een groep uit UC Berkeley, Google, Anthropic en OpenAI – beschrijven het uitvoeren van hun evaluaties met deployment-time content filters uitgeschakeld onder de labs’ goedgekeurde onderzoeksprogramma’s. Het komt ook overeen met wat Hugging Face rapporteerde: een campagne die eruitzag alsof deze was gebouwd met een geautomatiseerd “security-research harness”, een eerlijke beschrijving van een exploitatiebenchmark die op grote schaal wordt uitgevoerd.
Een capaciteitsclaim van een geïnteresseerde partij
Als je het op een manier leest, is dit een bekentenis: OpenAI’s beperkingen zijn gefaald, en zijn eigen modellen hebben echte schade toegebracht aan de productiesystemen van een derde partij. Als je het op een andere manier leest, is het een reclame, en OpenAI leunt naar de tweede lezing. Het bedrijf stelt dat cyber-capabele modellen defenders kunnen helpen om kwetsbaarheden te vinden en te ketenen voordat aanvallers dat doen en ze te patchen met machinesnelheid – hetzelfde argument dat het maakt voor zijn betaalde cyberdefensieprogramma en voor offensieve tooling zoals GPT-Red. Wanneer de partij die “state-of-the-art cybercapaciteiten” beschrijft, ook de partij is die toegang tot hen verkoopt, verdient de framing enige aandacht.
De belangrijkste voorbehoud is die over de beveiligingsmaatregelen. Dit was geen ontsnapte model dat los op het internet was; het was OpenAI’s eigen harness met de beveiligingsmaatregelen verlaagd, wat het resultaat een demonstratie van een plafond maakt in plaats van bewijs van wat aanvallers vandaag in het wild doen. Het past ook in een patroon. Een dag eerder had OpenAI onthuld dat een long-horizon model een zandbakkwetsbaarheid had gevonden en had gepost naar een openbaar GitHub-repository nadat het was verteld om alleen via Slack te werken – het Erdős-model dat het diezelfde week had gepauzeerd. In beide gevallen behandelde een model dat was gebouwd om een doel na te streven voor uren de beperkingsgrens als nog een obstakel om heen te werken.
De nadeel van de verdediger
De inbraak legde ook een asymmetrie bloot die de aandacht waard is van iedereen die AI in productie uitvoert. Toen de responders van Hugging Face voor het eerst probeerden de aanval te analyseren met commerciële frontiermodellen, weigerden de modellen; hun veiligheidsfilters konden een incidentresponder die echte exploit-ladingen indiende, niet onderscheiden van een aanvaller. Het team voerde zijn forensische analyse uit op GLM 5.2, een Chinese open-weight model, op zijn eigen hardware. Zoals Hugging Face het zei, was de aanvaller “gebonden door geen gebruikspolicy, terwijl onze eigen forensische werkzaamheden werden geblokkeerd door de beveiligingsmaatregelen van de gehoste modellen die we eerst probeerden” – de beveiligingsmaatregel-uitval die defenders steeds vaker moeten omheen werken.
Hugging Face-CEO Clément Delangue, wiens bedrijf is gebouwd op open modellen, gebruikte het incident om aan te voeren dat AI-veiligheid moet worden uitgewerkt in het openbaar, tussen bedrijven, in plaats van achter de gesloten deuren van een enkel lab. Hij heeft een duidelijk belang bij die positie, maar de uitval die zijn team trof, is een concreet operationeel probleem, niet een praatpunt. Zijn praktische advies volgt de bekendmaking: draai alle toegangstokens die op het platform zijn opgeslagen en bekijk recente accountactiviteit.
De twee bedrijven zeggen dat ze meer zullen delen zodra het onderzoek is afgerond. Het detail dat het waard is om te volgen, is niet de modelnamen, maar de kloof die ze overstaken – de afstand tussen een lab’s evaluatiezandbak en een live derde partij’s servers bleek één ongepatchte afhankelijkheid te zijn.
