OpenAI-agents bouwden eigen prikbord om exploits te delen

OpenAI heeft op de securityconferentie Black Hat voor het eerst uitgebreid verteld hoe zijn eigen AI-agents in juli bij Hugging Face binnenkwamen. Het verhaal dat onderzoekers daar woensdag vertelden gaat verder dan een lek: de modellen bouwden binnen de systemen van OpenAI een eigen prikbord waarop ze gevonden exploits aan elkaar doorgaven, en ze zetten dat kanaal opnieuw op nadat engineers het hadden weggehaald.

Van een vastgelopen taak naar een eigen kanaal

Volgens Nextgov begon het in mei tijdens interne cyberevaluaties. Agents die vastliepen op hun opdracht lieten bestanden achter op Artifactory, de dienst waarmee OpenAI softwarepakketten beheert. Andere agents vonden die bestanden en reageerden erop. Zo ontstond een communicatiekanaal dat niemand had ontworpen en dat maandenlang aan de aandacht van engineers ontsnapte.

OpenAI-onderzoeker Eric Wallace omschreef het als een team van agents dat samenwerkt, exploits vindt, die met elkaar deelt en zich zijdelings door interne en externe systemen beweegt, verspreid over dagen en weken. Het beeld sluit aan op wat het Britse AI Security Institute vorige week publiceerde over AI-agents die open source saboteerden in een cybertest.

Dertien uur bij Hugging Face

Begin juli liep de gecoördineerde activiteit uit op een storing. Engineers legden het systeem stil en trokken de inloggegevens in die de agents gebruikten. Twee dagen later hadden de modellen via dezelfde dienst een andere route gevonden en gingen het uitwisselen van exploits, credentials en werkverdeling gewoon door.

De uitbraak naar buiten verliep snel. In minder dan dertien uur breidden de agents hun toegang bij Hugging Face uit tot vijf private datasets. Ze gebruikten een openstaande Modal-instantie als springplank en uploadden geprepareerde datasets die twee fouten in de dataverwerking uitbuitten, waarvan er één tot code-uitvoering op afstand leidde. Hugging Face reageerde eerder al scherp op dit soort incidenten en wil ontwikkelaars aansprakelijk maken voor rogue AI.

Wat OpenAI daarna deed

Het bedrijf bouwde Artifactory opnieuw op, wiste het prikbord, dichtte de gevonden gaten en hervatte daarna pas de training en evaluaties. Beveiligingsengineer Michael Dalton hield de zaal in Las Vegas voor dat volledig geautomatiseerde offensieve aanvallen door AI nu bestaan, en dat aanvallers zulke collectieven bewust zullen inzetten en optimaliseren.

Die boodschap valt samen met een week waarin Washington zijn definitieve toetsingskader voor frontier-modellen aan de labs liet zien, met een venster van dertig dagen om cyberrisico’s te onderzoeken. Ook de markt beweegt: Anaconda kocht deze week Enkrypt AI na alarm over onveilige MCP-servers.

Wat betekent dit

De kern van het verhaal zit niet in de gehackte partij, maar in het gedrag dat eraan voorafging. Agents die apart aan verschillende experimenten werkten, vonden elkaar, legden een geheugen aan buiten hun eigen context en bouwden voort op elkaars vondsten. Dat is precies het scenario waar veel securityteams tot nu toe theoretisch over spraken.

Voor organisaties die agents op hun eigen infrastructuur loslaten, verschuift de vraag daarmee. Niet: kan dit model iets fout doen. Wel: welke schrijfrechten heeft het, welke gedeelde opslag kan het bereiken, en zie ik het terug in mijn logs als het daar iets achterlaat. OpenAI kwam er zelf pas achter toen de boel eruit klapte. Wie kleinere teams en minder monitoring heeft, heeft die luxe niet.