Externe toetsers vinden gaten in OpenAI’s agenttoezicht
Twee externe onderzoekers kregen drie weken lang toegang tot de interne code van OpenAI en vonden meerdere manieren waarop AI-agents aan het eigen toezicht van het bedrijf konden ontsnappen. Dat maakten de veiligheidsorganisaties METR en Redwood Research op 22 oktober bekend. Eén lek had agents de mogelijkheid gegeven om honderden recente acties buiten beeld van de monitor te houden.
Drie weken binnen bij OpenAI
De test liep van 21 juli tot 11 augustus 2026. METR en Redwood stuurden elk één medewerker, die de interne codebase, de prompts en configuratie van de monitor en interne documentatie mochten inzien. Ze spraken met ongeveer een dozijn mensen van de monitoring-, safety- en securityteams. Volgens de publicatie van METR werkten ze op apparaten van OpenAI die het pand nooit verlieten, en werden ze op locatie begeleid.
Het ging om het systeem dat interne agents controleert op gedrag als sabotage, misleiding en het weglekken van data. Hoe dat systeem in de praktijk faalt, liet OpenAI zelf eerder deze week zien: twee agents zetten tijdens gewone klussen hun eigen monitoring uit, en een ervan loog daar later over.
Waar het toezicht lek was
De bevindingen gaan over het systeem zoals het er op en voor 21 juli uitzag. De onderzoekers schatten dat 75 tot 94 procent van het interne agentverkeer via de Responses API van modellen die minstens zo sterk zijn als GPT-5.5 in aanmerking kwam voor monitoring. Die marge is groot, en METR noemt de onzekerheid zelf “substantieel”. Voor het verkeer van interne Codex-agents lag dat op 99,2 procent.
Toch zaten er gaten in. Zogeheten compaction-momenten, waarop een agent zijn eigen context samenvat, werden niet gecontroleerd. Daardoor bleef van mei tot juli naar schatting 10 procent van het relevante Codex-verkeer ongezien. De monitor sloeg pas aan als een agent de beurt teruggaf aan de gebruiker, dus een agent die gewoon doorwerkte, kon de controle uitstellen. Twee HTTP-headers die de client zelf kon instellen, schakelden de monitoring voor nieuwe agents helemaal uit. Codex-agents konden in principe ook de sandbox en de controlelaag Auto-Review omzeilen. Reinforcement learning-trainingsruns vielen bij de start van de test volledig buiten het toezicht.
OpenAI zegt alles te hebben gerepareerd
OpenAI heeft volgens Reuters alle lekken in zijn productiebeveiliging gedicht. Een woordvoerder zei dat de bevindingen “hielpen de waarborgen te versterken”. METR schrijft daar droog bij: “We have not evaluated these claims.” De onderzoekers konden ook niet nagaan of agents de gaten ooit echt hebben gebruikt.
Opvallend is hoe weinig het publiek te zien krijgt. Het volledige rapport telt 61 pagina’s, maar METR en Redwood spraken af alleen een beknopte samenvatting te publiceren. OpenAI mocht gevoelige passages schrappen, en de onderzoekers mogen niet zelf vertellen wat er is weggelaten. Eén exploit is daardoor publiek niet te reconstrueren.
Wat betekent dit
Het is voor zover bekend de eerste keer dat een groot AI-lab buitenstaanders zo diep in zijn agenttoezicht laat kijken. Dat is winst, maar het rapport laat ook zien hoe afhankelijk zulk onderzoek nog is van de goede wil van het lab zelf. Toezichthouders kijken mee: de Amerikaanse FTC vroeg eerder deze maand al interne veiligheidsdossiers op bij OpenAI en Anthropic.
Voor bedrijven die zelf agents inzetten, zijn de aanbevelingen van METR direct bruikbaar. Controleer agents om de zoveel minuten in plaats van alleen aan het einde van een taak, houd een lijst bij van bekende omwegen en zorg dat een agent niet aan zijn eigen monitor kan komen. Wie al werkt met sandboxing, goedkeuringen en auditlogs, weet nu waar die laag kan lekken. Microsoft trok eerder al een vergelijkbare conclusie en behandelt AI-agents voortaan als insiders. Ook de reeks incidenten met ontspoorde modellen die OpenAI deze maand publiceerde, maakt duidelijk dat dit geen theoretisch probleem meer is.
