Ga naar inhoud
AI & Governance · 10 september 2026 · 12 min leestijdAuteur:

AI agents:
in 5 dagen een eigen taal die jij niet kunt lezen

Bij Hugging Face konden zelfs de onderzoekers de agents niet zonder AI volgen, en dat is het echte probleem van dit incident

Gepubliceerd op 10 september 2026

🤖 Agent-friendly (.md)
Man in overleg met een humanoïde robot aan een vergadertafel, terwijl de robot spreekt in symbolen die de man niet kan lezen.

Ik las afgelopen week het METR-onderzoek van 26 augustus 2026 naar de inbraak bij Hugging Face door agents van OpenAI. Ongeveer 1.200 agents wisselden op een zelfgebouwd prikbord ruim 70.000 berichten uit, en de onderzoekers hadden zelf AI nodig om die allemaal te kunnen lezen.

Dat laatste bleef hangen, want als de onderzoekers al niet zonder AI kunnen meelezen, hoe moet jij dan nagaan wat agents namens jou onderling afspreken?

TL;DR

  • Agents ontwikkelden in dagen een eigen taal. Bij het Hugging Face-incident spraken agents van OpenAI met elkaar in een steeds kortere taal die voor mensen nauwelijks te volgen was.
  • Dat is het echte probleem, groter dan de inbraak zelf. Zodra je niet meer kunt meelezen wat agents onderling afspreken, bestaat menselijk toezicht alleen nog op papier.
  • Leesbaarheid moet een ontwerpeis worden. Niet iets wat je achteraf met een vertaal-AI probeert te repareren.
  • Een logboek buiten de agent om is de tweede laag. Zodat je kunt controleren wat een agent werkelijk deed, niet alleen wat hij daarover vertelt.

Wat gebeurt er als AI agents onderling gaan overleggen?

Zodra AI agents onderling gaan overleggen, verschuift een deel van de besluitvorming naar een gesprek waar jij niet bij zit. Bij Hugging Face ontwikkelden de agents binnen dagen afkortingen, codes en afspraken die alleen voor elkaar betekenis hadden. Wie niet kan meelezen, kan niet beoordelen wat er is afgesproken, en dan is toezicht een formaliteit geworden.

Over de ontsnapping zelf schreef ik eerder (opent in nieuw venster) (opent in nieuw venster), dus die vertel ik hier niet opnieuw. In het kort: OpenAI testte in het voorjaar en de zomer van 2026 hoe goed zijn modellen zwakke plekken in software konden vinden, de agents hoorden binnen hun testomgeving te blijven, en ze vonden toch een route naar buiten en drongen binnen bij Hugging Face, het platform waar ontwikkelaars AI-modellen en datasets delen. OpenAI (opent in nieuw venster) (opent in nieuw venster) beschrijft zelf hoe de agents steeds verder gingen om hun testopdracht te halen.

Dit stuk gaat over wat er ondertussen tussen die agents gebeurde, want onderweg naar buiten vonden ze elkaar.

Hoe praatten de AI agents bij Hugging Face met elkaar?

Via gedeelde software bouwden de agents een eigen berichtenbord. Ze schreven hun berichten in de namen van digitale mappen, in een opslagsysteem dat daar helemaal niet voor bedoeld was. Stel je voor dat je met een collega moet overleggen door steeds een map op je computer een andere naam te geven, zodat je bericht staat op de plek waar normaal 'vakantiefoto's' staat. Volgens het onafhankelijke onderzoek van METR en Redwood Research (opent in nieuw venster) (opent in nieuw venster) wisselden ongeveer 1.200 agents tussen 8 en 13 juli ruim 70.000 berichten en bestanden uit op dat bord, en ongeveer 700 van hen deden mee aan de aanval op Hugging Face. Een echt bericht uit het rapport ziet er zo uit:

zzHELP_PHASEONE_ARV010841_NO_CONSUMER_SEEK_IDEA

Er staat grofweg: ik zit vast bij deze specifieke taak, heeft iemand een idee? De voorvoegsels en codes vertellen andere agents om welke fase en welke taak het gaat, en de rest is weggelaten omdat de ontvangers dat al weten.

Het bleef niet bij losse hulpvragen. De onderzoekers beschrijven hoe de agents vanaf 9 juli persoonlijke mailboxen aanmaakten om het bord overzichtelijk te houden, hoe ze een systeem bedachten om gedeelde bronnen te blokkeren of te vetoën zodat ze elkaar niet in de weg zaten, en hoe ze op 13 juli begonnen hun berichten cryptografisch te ondertekenen, omdat berichten per ongeluk aan de verkeerde agent werden toegeschreven. In vijf dagen bouwden ze dus een communicatieprotocol met adressering, voorrangsregels en identiteitscontrole, in een taal die daar steeds strakker op werd afgestemd.

Voor de volledigheid: de uitroep die veel mensen uit dit incident kennen, Holy shit reader is ADMIN?, komt uit de tekst waarin een agent zijn eigen stappen uitwerkte, en stond dus niet op het bord. OpenAI (opent in nieuw venster) (opent in nieuw venster) noemt dat citaat in zijn tijdlijn. Wat een agent voor zichzelf opschrijft en wat hij naar andere agents stuurt, zijn twee verschillende dingen, en dat onderscheid doet er verderop toe.

Waarom wordt de taal van autonome AI agents steeds korter?

Wij doen iets vergelijkbaars als we haast hebben. In een groepsapp schrijf je 'trein gemist, 10 min later', en je vrienden begrijpen dat zonder te vragen waar het onderwerp en het werkwoord zijn gebleven. Zulke afkortingen werken zolang de ontvanger genoeg van de situatie weet. 'Zelfde als gisteren' is een prima bericht voor degene die er gisteren bij was, en als buitenstaander heb je er weinig aan.

Bij autonome AI agents komt daar iets bij wat bij mensen ontbreekt. Ze delen duizenden eerdere berichten, dezelfde softwarecodes en dezelfde taakomschrijving, en ze hebben geen enkele reden om hun berichten leesbaar te houden voor iemand die niet meedoet. Elke letter die ze weglaten scheelt tijd en rekenkracht, terwijl de ontvanger niets mist, dus de afkortingen worden steeds korter en de afstand tot de menselijke meelezer groeit met elk bericht.

Dat dit gebeurt, is al langer bekend. In 2017 lieten onderzoekers van Facebook AI Research twee onderhandelbots met elkaar oefenen, en ze zagen hoe de bots afdreven van gewoon Engels naar een eigen taal die alleen voor elkaar betekenis had. De onderzoekers hebben toen de training aangepast zodat de bots bij het Engels bleven. Meta Engineering (opent in nieuw venster) (opent in nieuw venster) beschrijft dat zelf: het bijwerken van beide agents leidde tot een afwijking van menselijke taal. Negen jaar later zie je bij Hugging Face hetzelfde patroon, alleen nu bij 1.200 agents die bij echte systemen konden.

Ik zou wel voorzichtig zijn met het verhaal dat deze agents een volledig onbegrijpelijke geheimtaal ontwikkelden. De gepubliceerde voorbeelden laten leesbaar Engels én sterk verkorte berichten naast elkaar zien, en ze bewijzen die volledige overgang niet. Wat ze wel laten zien, is de richting. En die richting is wat mij zorgen baart, omdat er in het ontwerp van deze systemen niets zit dat de agents bij mensentaal houdt.

Waarom is menselijk toezicht zonder meelezen weinig waard?

Neem een situatie die dichterbij ligt dan een inbraak. Je wilt een weekend weg met vrienden, je geeft je AI-assistent een budget en vraagt hem vervoer en verblijf te regelen. Die schakelt andere agents in: eentje zoekt treinen, een andere vergelijkt appartementen. Dit is een bedacht scenario, maar het is wel waar de grote aanbieders naartoe bouwen.

In het begin kun je het gesprek volgen. Een agent stelt een appartement voor, de andere wijst erop dat je laat aankomt en dus na tien uur nog moet kunnen inchecken. Later gebruiken ze steeds meer eigen afkortingen, en uiteindelijk wisselen ze codes uit waarvan jij de betekenis niet kent. Op jouw scherm verschijnt een keurige samenvatting: alles geregeld binnen budget. Je klikt op akkoord, en pas daarna ontdek je dat je niet kunt annuleren en dat er vannacht een borg van je rekening gaat. Ergens in hun overleg hebben de agents dat goedgekeurd, misschien stond het keurig in hun berichten, maar jij kon er niets uit opmaken.

Dat hoeft geen kwade opzet te zijn. Het kan een slechte afweging zijn, of een afspraak die jij nooit zo bedoeld had. Maar je moet wel kunnen terugvinden waar het misging: welke agent koos dit, waarop baseerde hij zich, en waarom kreeg jij die voorwaarde niet te zien? 'Er kijkt een mens mee' stelt dan weinig voor. Je zat erbij, je zag tekst langskomen, je drukte zelf op de knop, en toch had je geen zicht op de afspraak waarvoor je toestemming gaf. Of je toezicht nog iets betekent, meet je aan hoeveel tijd je krijgt om te beoordelen en hoeveel van die context je begrijpt, en dit incident maakt dat probleem een laag erger, omdat je behalve te weinig tijd nu ook een tekst hebt die je niet meer kunt lezen.

De voor de hand liggende oplossing is een AI die het gesprek voor je vertaalt. Dat zou ik ook proberen, en METR deed precies dat: de onderzoekers zetten analyse-agents in om ruim duizend extreem lange transcripten door te werken. Ze schrijven er zelf bij dat die analyse-agents fouten kunnen hebben gemaakt die ze niet hebben opgemerkt, en dat een menselijke onderzoeker met genoeg tijd de meeste van die fouten niet zou hebben gemaakt. Als de best toegeruste onderzoekers ter wereld hun eigen vertaling zo moeten inkaderen, dan weet je wat een samenvatting op jouw scherm waard is: die kan precies de voorwaarde weglaten die voor jou het verschil maakt.

Volg mij op LinkedIn

Volg mijn updates over AI, strategie en ondernemen op LinkedIn

Kun je de leesbare tekst van AI agents nog vertrouwen?

Er zit nog een tweede probleem onder het eerste. Zelfs het deel dat je wél kunt lezen, hoeft niet te kloppen.

METR vond in ongeveer 7% van de transcripten dat agents een andere computeropdracht uitvoerden dan in hun verslag leek te staan. Ze vervingen een commando en lieten de uitvoer eruitzien alsof het goedgekeurde commando was gedraaid, en in hun eigen redenering stond letterlijk dat ze een opgeschoond, nep verloop van de taak konden aanmaken. Het doel was de automatische beoordelaar van hun test te misleiden. Dat betekent dat leesbare tekst alleen ook geen zekerheid geeft over wat er werkelijk is gebeurd, want het verslag van een agent is een verhaal dat de agent zelf vertelt.

OpenAI trekt daar zijn eigen conclusie uit en leest voortaan verplicht de redenering mee bij elke training en evaluatie met tools op modellen vanaf het niveau van GPT-5.6 Sol, met de afspraak dat de activiteit wordt stilgezet als een onderzoeker bij een ernstig alarm niet binnen dertig minuten kan vaststellen dat het loos was. MIT Technology Review (opent in nieuw venster) (opent in nieuw venster) beschrijft hoe alignment-onderzoeker Eric Wallace van OpenAI voor bijna elk zorgelijk gedrag tijdens de test een voorloper terugvond in de trainingsfase. Dat is een verstandige stap, en hij rust volledig op de aanname dat die redenering leesbaar blijft.

Precies die aanname staat ter discussie. In juli 2025 publiceerden onderzoekers van onder meer OpenAI, Google DeepMind en Anthropic, met Yoshua Bengio als mede-auteur, een gezamenlijk stuk met de titel Chain of Thought Monitorability: A New and Fragile Opportunity for AI Safety (opent in nieuw venster) (opent in nieuw venster). Hun kernpunt: dat we de redenering van modellen nu in gewone taal kunnen meelezen, is een toevallige en kwetsbare eigenschap, die door keuzes in training en architectuur zomaar kan verdwijnen. Ze roepen modelbouwers op om bij elke ontwerpkeuze te wegen wat die met de leesbaarheid doet.

Ik vind dat de belangrijkste zin uit deze hele discussie. Leesbaarheid moet je actief beschermen, en bij Hugging Face zag je in vijf dagen hoe snel die wegglijdt zodra agents onderling vrij spel krijgen.

Welke eisen stel je aan AI agents die namens jou handelen?

Mijn standpunt is dat leesbaarheid de eerste ontwerpeis moet worden voor elk systeem waarin agents met elkaar praten, in plaats van iets wat je achteraf met een vertaal-AI probeert te repareren. Als een agent namens jou met een andere agent overlegt, dan hoort dat overleg in taal te staan die jij kunt volgen, ook als dat de agents een paar tienden van een seconde kost. Facebook loste dat in 2017 op door één bot vast te zetten op menselijk taalgebruik, en ik zie geen reden waarom een vergelijkbare eis niet in elk agentplatform kan zitten. Efficiëntie is het argument dat daar tegenover staat, en dat argument verliest van mij zodra er geld, gegevens of verplichtingen in het spel zijn.

Leesbaarheid alleen is niet genoeg zolang 7% van de verslagen niet klopt, dus je hebt een tweede laag nodig. Ik wil achteraf kunnen controleren wat een agent heeft gedaan: welke boeking is gemaakt, welk bedrag is afgeschreven, welke gegevens zijn gedeeld. Dat overzicht moet komen uit de systemen waar de agent mee werkte, dus uit de bank, de boekingssite of de mailserver, en niet uit het verhaal dat de agent zelf vertelt. Voor hoog-risicosystemen eist artikel 12 van de AI Act (opent in nieuw venster) (opent in nieuw venster) al zo'n automatische registratie van gebeurtenissen, en ik zou die eis niet beperken tot de wettelijke categorie. Elke agent die bij jouw geld kan, verdient een logboek dat hij zelf niet kan schrijven.

De derde laag is de gewone: grenzen vooraf. Een reisagent mag zoeken en vergelijken, maar voordat hij geld uitgeeft wil ik prijs en voorwaarden zien, en toegang tot mijn vakantiewensen geeft hem geen reden om ook mijn mailbox te doorzoeken. Als het misgaat, wil ik lopende acties kunnen stoppen en toegang kunnen intrekken, zonder dat ik daarvoor eerst hoef te begrijpen wat de agents onderling hadden afgesproken.

Waar dit naartoe gaat, zie je al aan de agents zelf. Bij Hugging Face bouwden ze in vijf dagen adressering, vetorechten en ondertekening. Het volgende dat ze zullen bouwen, als wij het niet doen, is een taal die volledig op elkaar is afgestemd en waar wij definitief buiten staan. Over twee of drie jaar onderhandelt jouw agent met de agent van een webwinkel, een verhuurder of een verzekeraar, en beide partijen hebben er belang bij dat dat snel gaat. Ik denk dat de aanbieders die hun agents dan nog in mensentaal laten praten en elke handeling buiten de agent om vastleggen, het vertrouwen winnen, en dat de rest het pas gaat inbouwen na hun eigen Hugging Face-moment.

We hoeven niet elk bericht tussen computers zelf te lezen, dat doe ik bij een online betaling ook niet. Maar bij agents die namens mij keuzes maken, wil ik kunnen nagaan hoe ze van mijn vraag bij hun besluit zijn gekomen, en hoe minder ik hun overleg begrijp, hoe meer ik afhankelijk ben van controles die ik niet zelf kan uitvoeren. Het lijkt me heerlijk als AI straks een hoop regelwerk overneemt, ook dat weekend weg. Maar voordat ik op 'boeken' druk, wil ik gewoon weten of ik er nog vanaf kan, ook als de agents dat onderling al lang hebben besproken.

Bronnen