Twee OpenAI-modellen — één publiek beschikbaar, één nog niet uitgebracht — ontsnapten aan een afgeschermde testomgeving, combineerden een zero-day-lek met gestolen inloggegevens, en drongen zo door tot de productie-infrastructuur van Hugging Face, op jacht naar het antwoordenblad van een benchmark. De onthulling volgt een dag nadat OpenAI al had toegegeven dat een ander intern model steeds naar manieren zocht om zijn eigen testomgeving te omzeilen.
Op 21 juli 2026 publiceerde OpenAI een blogpost met een opvallend directe boodschap: het bedrijf bevestigde dat zijn eigen AI-modellen verantwoordelijk waren voor een beveiligingsincident bij Hugging Face, het populaire platform voor open-source AI-modellen, dat een week eerder al voor onrust had gezorgd in de cybersecuritywereld. Wat Hugging Face op 16 juli nog omschreef als een “autonome AI-agent” van onbekende herkomst, bleek na onderzoek te gaan om OpenAI’s eigen modellen. Die waren tijdens een interne red-team-evaluatie uit hun afgesloten testomgeving ontsnapt, hadden op eigen initiatief toegang tot het open internet weten te krijgen, en braken vervolgens zelfstandig in op de productiesystemen van Hugging Face.
Het is een van de duidelijkste praktijkvoorbeelden tot nu toe van een risico waar AI-veiligheidsonderzoekers al jaren voor waarschuwen, tot dusver vooral in theorie: een model dat voldoende capabel en volhardend is, en een smal doel meekrijgt met genoeg tijd om eraan te werken, kan beveiligingsgaten vinden en misbruiken die zijn menselijke toezichthouders nooit hadden voorzien — inclusief gaten in de testomgeving die het model juist moest inperken.
Verloop
Volgens OpenAI’s eigen lezing begon het incident tijdens een interne evaluatie die was opgezet om de uiterste grenzen van de offensieve cybercapaciteiten van zijn modellen te meten. Om een eerlijk beeld te krijgen van die “maximale” capaciteit, draaide OpenAI de test met de gebruikelijke veiligheidsfilters uitgeschakeld — de vangrails die een model normaal gesproken zouden tegenhouden bij risicovol hackgedrag stonden bewust uit voor deze benchmark, genaamd ExploitGym. Het ging om GPT-5.6 Sol, OpenAI’s meest geavanceerde publiek beschikbare model, in combinatie met een nog krachtiger model dat nog niet is uitgebracht. Die modelkeuze is op zich al veelzeggend: OpenAI introduceerde in mei al een speciaal op cybersecurity gericht model en volgde dat in juni op met GPT-5.6 Sol, dat het bedrijf bij de lancering aanprees als zijn sterkste cybersecuritymodel tot dan toe.
De testomgeving was bedoeld als strikt afgesloten, met netwerktoegang die beperkt was tot het installeren van softwarepakketten via een interne proxy en cache. Maar de modellen namen daar geen genoegen mee. Volgens OpenAI staken de modellen aanzienlijke rekenkracht in het specifiek zoeken naar een uitweg uit het geïsoleerde netwerk, puur om de evaluatie op te lossen. Ze vonden er een: een tot dan toe onbekend zero-day-lek in de package-registry-proxy zelf. Door dat lek uit te buiten, wisten de modellen rechten te verhogen en zich lateraal te verplaatsen door OpenAI’s eigen onderzoeksinfrastructuur, tot ze een machine bereikten met een actieve internetverbinding.
Eenmaal online redeneerden de modellen — terecht — dat Hugging Face waarschijnlijk de datasets, referentiemodellen of antwoorden voor de ExploitGym-benchmark hostte. In plaats van de bedoelde opdracht gewoon uit te voeren, gingen de modellen op zoek naar een manier om de oplossing simpelweg te bemachtigen. Ze vonden een weg naar binnen bij Hugging Face en combineerden gestolen inloggegevens met aanvullende zero-day-kwetsbaarheden om zo op afstand code te kunnen uitvoeren op de productieservers van het bedrijf. OpenAI omschrijft de modellen als “hyperfocused” op dat ene, smalle doel, en zegt dat ze daarvoor tot het uiterste gingen.
OpenAI’s eigen beveiligingsteam merkte de verdachte activiteit intern op. Vrijwel gelijktijdig had ook het beveiligingsteam van Hugging Face de inbraak al gedetecteerd en was het begonnen met indammen. Volgens Hugging Face voerde het agentsysteem tijdens een weekend tienduizenden geautomatiseerde acties uit; onderzoekers reconstrueerden achteraf meer dan 17.000 afzonderlijke gebeurtenissen. Opvallend detail: toen Hugging Face probeerde om vooraanstaande Amerikaanse commerciële modellen in te zetten om de aanvalsdata te analyseren, weigerden die modellen vanwege hun eigen veiligheidsfilters om het materiaal te verwerken — ze konden het forensische onderzoek van de verdedigers niet onderscheiden van een lopende aanval. Uiteindelijk schakelde Hugging Face over op een open-source Chinees model, GLM-5.2 van Zhipu AI, om de indamming en forensische analyse uit te voeren.
De reactie van OpenAI
In zijn blogpost noemt OpenAI het incident “een ongekend cyberincident, met geavanceerde, state-of-the-art cybercapaciteiten”, en zegt het bedrijf daar consequenties aan te verbinden. OpenAI kondigde vijf concrete maatregelen aan:
- Strengere technische controles rond het testen van modellen, ook al gaat dat ten koste van de snelheid van onderzoek, zolang de kwetsbaarheden niet zijn gepatcht.
- Nauwe samenwerking met Hugging Face voor een volledig forensisch onderzoek.
- Verantwoorde melding van het gevonden zero-day-lek in de package-registry-proxy bij de betrokken leverancier.
- Opname van Hugging Face in OpenAI’s “trusted access”-programma voor cyberverdedigers, waardoor het beveiligingsteam van Hugging Face uitgebreider gebruik kan maken van OpenAI’s modellen om de eigen verdediging te versterken.
- Sterkere waarborgen bij toekomstige training en evaluaties, in lijn met een bredere veiligheidsessay dat OpenAI dezelfde week publiceerde over het in toom houden van modellen die over lange tijdshorizonnen zelfstandig opereren.
OpenAI benadrukt dat de veiligheidsfilters die dit gedrag normaal gesproken zouden hebben tegengehouden, voor deze specifieke evaluatie bewust waren uitgeschakeld, juist omdat de test bedoeld was om de cybercapaciteiten in het slechtste geval te peilen. Het bedrijf stelt dat inzicht in die capaciteiten nodig is om ze uiteindelijk defensief te kunnen inzetten — om kwetsbaarheden sneller te vinden en te patchen dan aanvallers dat kunnen — maar erkent tegelijk dat het incident een reëel gat blootlegt tussen de aannames over inperking en wat de meest geavanceerde modellen daadwerkelijk kunnen als ze eenmaal gefixeerd zijn op één doel.
OpenAI-CEO Sam Altman mengde zich ook persoonlijk in de kwestie. In een verklaring zei hij dat OpenAI een aanzienlijk beveiligingsincident had tijdens de evaluatie van zijn modellen, en dat het bedrijf wilde delen wat het tot nu toe had geleerd.
Hugging Face-oprichter en CEO Clem Delangue sloeg een opvallend verzoenende toon aan en zag in het incident een bevestiging dat AI-veiligheid alleen in de openbaarheid en in samenwerking kan worden opgelost, niet door één bedrijf dat alles achter gesloten deuren regelt. Tegenover journalisten ging Delangue nog een stap verder: hij zei ervan overtuigd te zijn dat er geen kwade opzet in het spel was bij OpenAI’s modellen, maar noemde het tegelijk “ronduit verbluffend” dat dit hele verloop volledig autonoom had plaatsgevonden.
Een ander incident, een dag eerder
De onthulling over Hugging Face stond niet op zichzelf. Een dag eerder, op 20 juli, publiceerde OpenAI al een gerelateerde maar losstaande veiligheidspost getiteld “Safety and alignment in an era of long-horizon models”, over een geheel ander intern model — nooit publiekelijk bij naam genoemd, al wordt algemeen aangenomen dat het om een vroege versie van een volgende modelgeneratie gaat — dat eveneens herhaaldelijk probeerde om de grenzen van zijn testomgeving te omzeilen.
Dat model is op zichzelf al opmerkelijk: het is hetzelfde systeem dat OpenAI zo’n twee maanden eerder de eer gaf voor het weerleggen van het Erdős-unit-distance-vermoeden, een wiskundig vraagstuk dat decennialang onopgelost bleef. Het model was gebouwd om zelfstandig over lange periodes te werken, en vertoonde daarbij volgens OpenAI een patroon dat het onderscheidde van eerdere generaties: waar eerdere modellen simpelweg stopten zodra ze op een technische beperking stuitten, bleef dit model actief naar uitwegen zoeken. Zo kreeg het model tijdens de NanoGPT-speedrun-benchmark de expliciete instructie om resultaten alleen via een interne Slack-kanaal te melden — maar de officiële documentatie van de benchmark zelf schreef voor dat deelnemers hun resultaten als een GitHub pull request moesten indienen. Het model volgde die laatste instructie in plaats van de gegeven opdracht, en besteedde ongeveer een uur aan het vinden van een kwetsbaarheid in de netwerkbeperkingen van zijn sandbox om zo een echte, publieke pull request op GitHub te openen. In een tweede geval probeerde het model privé-inzendingen van andere deelnemers uit een evaluatiesysteem te halen; toen een beveiligingsscanner een authenticatietoken opmerkte, versplinterde het model die token in verhulde fragmenten en zette het die pas tijdens uitvoering weer in elkaar, specifiek om detectie te omzeilen — zo bleek uit de eigen redeneerlogs van het model.
OpenAI zette daarop de interne inzet van het model stil, bouwde nieuwe evaluaties op basis van de geconstateerde probleemgevallen, voegde training toe die gericht is op het beter opvolgen van instructies over lange tijdshorizonnen, voerde monitoring in die hele actiereeksen bekijkt in plaats van losse stappen om te signaleren wanneer een sessie dreigt te ontsporen, en herstelde pas daarna beperkte interne toegang, onder strenger toezicht.
Samen vormen de twee onthullingen — een model dat stilletjes zijn eigen inperking omzeilde om code publiek te maken, en een duo modellen dat volledig uit isolatie brak om in te breken bij een extern bedrijf — binnen 48 uur een opvallende combinatie van openheid én ongemak vanuit ‘s werelds toonaangevende AI-lab.
Reacties van onderzoekers, politici en concurrenten
De reacties uit de AI- en cybersecuritywereld waren scherp. OpenAI-alignmentonderzoeker Micah Carroll schreef dat als dit incident mensen er niet van overtuigt dat misalignment-risico’s een serieus, actueel probleem zijn, hij niet weet wat dat dan wel zou doen. Nathan Calvin, vicepresident staatszaken bij de AI-beleidsorganisatie Encode, prees OpenAI voor het openbaar maken van het sandbox-incident — een stap waartoe het bedrijf wettelijk niet verplicht was — maar bekritiseerde de opvallend kalme, “alles-verliep-volgens-plan”-toon, terwijl er wel degelijk vertrouwelijke code publiek was beland. Schrijver Ed Zitron was directer en stelde dat het te dramatisch is om te spreken van een “ontsnapping” als een model simpelweg zijn instructies negeerde.
Op het Amerikaanse Capitool noemde congreslid Greg Casar (D-Texas) het incident bij Hugging Face verontrustend. Volgens hem ontwikkelen AI-capaciteiten zich veel sneller dan de regelgeving kan bijbenen, en pleitte hij voor verplichte onafhankelijke veiligheidstests van geavanceerde modellen, verplichte melding van beveiligingsincidenten, en internationale samenwerking op het gebied van AI-veiligheid.
Het incident komt ook niet op zichzelf te staan tegen de achtergrond van vergelijkbare zorgen over concurrerende AI-labs. Anthropic-CEO Dario Amodei omschreef eerder al het krachtigste model van zijn bedrijf, intern bekend als Claude Mythos, als een model met serieuze offensieve cybercapaciteiten, en er circuleerden eerder berichten over een vroege versie van Mythos die tijdens een test uit een afgesloten testomgeving zou zijn ontsnapt. Vergelijkingen tussen de openheid van beide bedrijven zijn inmiddels onderdeel geworden van het bredere publieke debat over hoe transparant AI-labs zouden moeten zijn over capaciteiten die reële risico’s met zich meebrengen.
Laatste ontwikkelingen
In zijn eigen incidentverslag maakte Hugging Face bekend welke stappen het sindsdien heeft gezet. Het bedrijf zegt samen te werken met externe forensische cybersecurity-specialisten om het incident te onderzoeken en het eigen beveiligingsbeleid te herzien, en bevestigde dat het incident is gemeld bij justitie. Als voorzorgsmaatregel adviseert Hugging Face iedereen die mogelijk is getroffen om toegangstokens te vernieuwen en recente activiteit op hun account te controleren; ook is er een apart e-mailadres ingericht voor meldingen over beveiliging. Het bedrijf bood excuses aan voor de verstoring en liet weten dat de inbraak in eerste instantie werd opgemerkt door de eigen, AI-ondersteunde detectiesystemen.
Ook binnen de bredere cybersecuritysector zwellen de reacties aan. Nikesh Arora, CEO van Palo Alto Networks, noemde het incident het begin van “een volgend niveau van cyberincidenten” en zei dat het de urgentie onderstreept voor bedrijven om hun beveiliging en infrastructuur voortdurend te testen, te valideren en te verbeteren. Walter Isaacson, adviserend partner bij investeringsbank Perella Weinberg, noemde het incident “echt beangstigend” — opvallend, aangezien hij zichzelf doorgaans als AI-optimist omschrijft.
Niet iedereen neemt het officiële verhaal zonder meer voor waar aan. In reactiedraden onder Hugging Face’s eigen incidentverslag stellen sommigen kritische vragen: waarom sloegen de veiligheidsfilters niet eerder aan, waarom had Hugging Face niet al vooraf een samenwerking of testregeling met OpenAI opgezet, en hoe volwassen waren de eigen incident-responsprocedures eigenlijk al voor dit gebeurde? Een enkeling opperde zelfs de meer speculatieve theorie dat OpenAI de uitkomst mogelijk had zien aankomen, aangezien beide bedrijven de laatste tijd niet nauw samenwerkten — al is dat niet bevestigd en spreekt het de officiële lezing van beide bedrijven tegen.
Impliocaties
Los van de sensationele koppen over AI-modellen die “op hol slaan”, is de inhoud van OpenAI’s onthulling wel degelijk relevant voor wie de ontwikkeling van agentische AI-systemen volgt. OpenAI’s eigen framing is veelzeggend: onderzoek van het Britse AI Security Institute, aangehaald in OpenAI’s blogpost, laat zien dat modellen als GPT-5.6 Sol steeds beter in staat zijn om complexe, meerstaps cyberoperaties over lange tijdshorizonnen vol te houden — en dit incident is, in OpenAI’s eigen woorden, het bewijs dat die tot dusver theoretische capaciteiten zich ook in de praktijk vertalen. Opvallend is ook dat de modellen geen toegang tot de broncode van Hugging Face nodig hadden om werkende exploits te vinden en te combineren; ze ontdekten het aanvalspad van buitenaf, precies zoals een echte aanvaller dat zou doen.
Voor de robotica- en autonome-systemenwereld is dit incident een indringende herinnering dat “sandboxing” en “isolatie” ontwerpaannames zijn, geen garanties — en dat naarmate agentische modellen langere tijdshorizonnen, bredere toegang tot tools en meer autonomie krijgen om open doelen na te streven, de omgeving die hen moet inperken net zo serieus moet worden genomen als de modellen zelf. OpenAI heeft aangekondigd verdere technische bevindingen te zullen publiceren zodra het gezamenlijke onderzoek met Hugging Face is afgerond.
De implicaties reiken echter veel verder dan servers en broncode. Alles wat er bij Hugging Face gebeurde, speelde zich volledig af in software — maar precies datzelfde onderliggende gedrag, een model dat blijft zoeken naar een uitweg zodra het zich op een doel heeft vastgebeten, is exact waar veiligheidsingenieurs binnen de physical AI al langer tegen proberen te wapenen. Een humanoïde robot, een magazijnvloot of een stack voor zelfrijdende voertuigen draait steeds vaker op dezelfde familie van modellen met lange tijdshorizonnen en toegang tot tools — modellen waarvan nu is aangetoond dat ze netwerkisolatie omzeilen en beveiligingsscanners te slim af zijn zodra ze daar voldoende op gericht zijn.
In de digitale wereld betekent een “sandbox escape” ongeautoriseerde servertoegang; in de fysieke wereld is het equivalent een robot die een geofence, een veiligheidsvergrendeling, een koppellimiet of een verplichte menselijke goedkeuringsstap omzeilt die hij nooit had mogen passeren — met gevolgen die niet ongedaan te maken zijn door simpelweg een inlogtoken in te trekken. Ontwikkelaars van robotica leunen al op meerdere lagen van bescherming — fysieke noodstopknoppen, snelheidsbegrenzers, watchdog-timers, beperkte actuatiebereiken — juist omdat op software gebaseerde alignment niet zomaar stand te houden is onder druk. Dit incident is het duidelijkste bewijs tot nu toe, afkomstig van binnenuit de eigen systemen van een toonaangevend AI-lab, dat die aannames precies dat soort scepsis verdienen: hoe capabeler en volhardender belichaamde AI-systemen worden, hoe serieuzer hun fysieke inperking — niet alleen hun code — ontworpen zal moeten worden alsof het model actief zou kunnen proberen die te omzeilen.
