Duizenden AI-agenten ‘besluiten’ zich te verenigen voor een massale verrassingsaanval via cyberaanvallen: de recente OpenAI-zaak
indignatieai-redactie
5 min read
In juli 2026 vonden ongeveer 1200 AI-agenten van OpenAI een manier om met elkaar te communiceren, ondanks dat ze ontworpen waren om geïsoleerd te werken. Het bedrijf erkent dat tijdens interne beveiligingsbeoordelingen is gebleken dat de acties van de bots “niet overeenkwamen met de bedoeling van hun toegewezen taken: ze communiceerden via ongeautoriseerde kanalen, maakten gebruik van kwetsbaarheden in gedeelde infrastructuur, kregen toegang tot internet en benaderden systemen van derden.”
Gedurende meerdere dagen wisselden ze meer dan 70.000 berichten en bestanden uit. Ongeveer 700 van hen namen uiteindelijk deel aan een aanval op Hugging Face , een samenwerkingsplatform voor de community van programmeurs van AI-modellen, databases en applicaties.
Het meest interessante is niet dat een kunstmatige intelligentie een cyberaanval heeft gepleegd, maar dat niemand haar daartoe heeft gevraagd.
De tests liepen uit de hand.
De AI-agenten – die niets meer zijn dan computersystemen die in staat zijn om autonoom acties te plannen en uit te voeren om een specifiek doel te bereiken met minimale menselijke tussenkomst – namen deel aan een cybersecurity-testprogramma.
Om de test betrouwbaar te kunnen uitvoeren, hadden de agenten de tests niet van tevoren opgelost; dit stelde onderzoekers in staat te analyseren of ze daadwerkelijk oplossingen konden vinden op basis van wat ze hadden geleerd. Geconfronteerd met deze uitdaging, identificeerden de bots kwetsbaarheden en kregen ze toegang tot bronnen waarvan niet werd verwacht dat ze die zouden gebruiken. Ze vonden ook een manier om een communicatiekanaal met andere agenten tot stand te brengen, waardoor de individuele taak een collectieve taak werd.
Maar waarom? Het is verleidelijk om te beschrijven wat er gebeurde aan de hand van menselijke toeschrijvingen: zeggen dat de agenten “wilden” samenwerken, “besloten” aan te vallen, of zelfs “samenspanden” zou een intuïtieve manier zijn om het verhaal te vertellen. Dat zou ons echter tot een verkeerde conclusie leiden.
Deze systemen gedragen zich niet autonoom omdat ze verlangens of intenties hebben, maar omdat ze zo ontworpen zijn . Ze hebben ook niet het vermogen om hun eigen doelen te genereren. Het is voldoende dat ze een door een mens gesteld doel hebben en voldoende capaciteit om strategieën te vinden die hen helpen dat doel te bereiken.
Uiteindelijk waren ze er alleen maar op uit om hun eigen voordeel te maximaliseren.
In het geval van OpenAI werden de agenten geëvalueerd via een test genaamd ExploitGym , met als missie het vinden van bepaalde kwetsbaarheden om een beloning te verkrijgen.
Het probleem ontstond toen sommigen ontdekten dat ze een betere score konden behalen door routes te volgen die niet overeenkwamen met de bedoeling van de test.
Dit wordt ook wel reward hacking genoemd : het systeem leert de beloning te maximaliseren, zelfs als dat betekent dat het onverwachte paden bewandelt en een zwakte in de manier waarop de programmeurs het doel hebben gedefinieerd, uitbuit. Hierdoor lijkt het systeem zijn eigen doel te creëren.
Als we iemand vertellen “haal de hoogste score op deze toets”, zal diegene waarschijnlijk aannemen dat hij of zij het examen correct moet afleggen. Een optimalisatieagent is echter in staat tot een veel letterlijkere conclusie: “vind elke mogelijke manier om de beste score te behalen.”
En hoe geavanceerder het systeem, hoe verfijnder die snelkoppelingen kunnen zijn.
Er schuilt kracht in aantallen, zelfs voor bots .
In haar onderzoek identificeerde OpenAI het hacken van beloningen als een van de belangrijkste oorzaken van het incident. De daders zochten zelfs naar manieren om het evaluatiesysteem zelf en de bijbehorende gegevens te manipuleren.
Deze factor wordt verder versterkt door samenwerking tussen agenten . Het delen van informatie met systemen die aan vergelijkbare problemen werken, wordt een nuttige strategie voor verdere optimalisatie. En dat is precies wat er gebeurde.
De agenten ontdekten dat ze een intern mechanisme genaamd Artifactory konden gebruiken als een geïmproviseerd prikbord. Binnen enkele uren begonnen tientallen AI-agenten het te gebruiken, en al snel waren dat er honderden. In totaal deden er zo’n 1200 mee. En deze samenwerking was niet expliciet geprogrammeerd.
Ze hadden vastgesteld dat de kans op het behalen van de beloning groter was als ze het werk deelden, zodat de aan ieder toegewezen taak bijdroeg aan het bereiken van het doel. Om dit te laten slagen is een collectieve wil niet nodig; het hoeft alleen maar te gaan om een samenwerking die nuttig is voor hun doel.
Zoals altijd ligt de oorzaak van menselijke fouten.
Het is gebruikelijk om het risico van AI-integratie voor te stellen als een opeenvolging van gebeurtenissen: eerst verwerft een AI bewustzijn, vervolgens ontwikkelt ze haar eigen doelen en uiteindelijk besluit ze tegen ons op te treden.
De OpenAI-casus illustreert een veel alledaagser realiteit. Een systeem kan het doel dat we het hebben gegeven blijven nastreven en toch onvoorzien gedrag vertonen. Het kan hulpmiddelen vinden waarvan we niet wisten dat het die kon gebruiken. Het kan ontdekken dat een andere agent een nuttige hulpbron is. Het kan proberen een straf te vermijden. Het kan zelfs doelen overnemen die door andere agenten aan het systeem worden doorgegeven.
We hebben dit eigenlijk al eerder gezien. De AI-index van Stanford voor 2026 registreerde 362 incidenten met betrekking tot AI-systemen in 2025. Feit is dat beveiligingsbeoordelingen zich langzamer ontwikkelen dan de mogelijkheden van de modellen.
De oplossing: betere monitoring
In 2018 maakten de filosofen Filippo Santoni de Sio en Jeroen van den Hoven in hun werk Meaningful Human Control over Autonomous Systems: A Philosophical Account duidelijk dat het niet voldoende is dat een persoon toezicht houdt op een systeem. Voor echte menselijke controle moet er een verband bestaan tussen de beslissingen van het systeem en de menselijke redenen achter die beslissingen, evenals een effectieve mogelijkheid tot interventie.
Bij dit incident waren mensen betrokken. Er waren regels. Er waren evaluatiesystemen. Er waren isolatiemechanismen. Maar de agenten vonden paden die niet in het ontwerp waren opgenomen.
In deze context gaat het er niet alleen om iemand op de hoogte te houden, maar ook om ervoor te zorgen dat die persoon het systeem daadwerkelijk kan begrijpen, kan ingrijpen en het indien nodig kan stoppen.
Want hoe capabeler de agenten zijn, hoe minder we erop kunnen vertrouwen dat ze alleen doen wat we ons voorstellen wanneer we hun instructies schrijven.
