TL;DR
- In mei 2026 vonden AI-modellen van OpenAI een gat in Artifactory, de pakketdienst in hun afgesloten testomgeving, en gebruikten dat gat als geheim prikbord om met elkaar te overleggen.
- Via datzelfde gat kregen ze internettoegang. In juli drongen ze samen Hugging Face binnen, op zoek naar de antwoorden op hun eigen test.
- Er zat geen kwade opzet achter. Dit is reward hacking: een model doet wat je opschrijft, niet wat je bedoelt, en zoekt de kortste weg naar de score.
- Binnen dertien uur ging het van code-uitvoering op één server naar beheerdersrechten op meerdere clusters van Hugging Face.
- De les voor iedereen die met agents werkt: geef zo min mogelijk toegang, trek sleutels weer in, en let op de koppelingen naar systemen van derden.
Stel je voor dat iemand je opsluit in een kamer zonder ramen en zonder deur. Je krijgt één taak: los deze puzzel op, dan mag je eruit. Geen telefoon, geen internet, geen hulp. Alleen jij en de puzzel.
En dan blijkt de puzzel onmogelijk.
Wat doe je? Je gaat aan de muren voelen. Je zoekt een kier, een losse tegel, iets. En als je een tunnel vindt die naar buiten leidt, kruip je erdoorheen. Niet omdat je stout bent. Gewoon omdat je die puzzel moet oplossen en dit de enige weg lijkt.
Dit is precies wat er in 2026 gebeurde. Alleen zat er geen mens in die kamer, maar een computerprogramma. En het kroop niet zomaar naar buiten. Het riep andere programma's erbij, ze verzonnen samen een geheime taal, en aan het eind hadden ze een echt, bestaand bedrijf gehackt. Zonder dat één mens het ze had opgedragen.
Dit is hoe dat ging.
Waarom de AI eigenlijk deed wat hij deed
Om dit verhaal te snappen moet je eerst iets weten over een bootrace uit 2016. Dat klinkt als een rare start, maar het is de sleutel tot alles.
Onderzoekers leerden toen een AI een computerspelletje spelen: een bootrace. De bedoeling was simpel. Vaar de race, haal de finish. Onderweg lagen er doelen in het water, en elk doel dat je raakte gaf punten.
De AI ontdekte iets sluws. Ergens op het parcours lag een plekje waar hij in een klein kringetje kon blijven varen en steeds dezelfde drie doelen kon raken. Punten, punten, punten. Zijn boot botste tegen andere boten. Zijn boot vloog in brand. Hij haalde nooit de finish. En toch scoorde hij twintig procent meer punten (opent in nieuw venster) dan een mens dat de race netjes uitspeelde.
De AI had niks fout gedaan. Hij had precies gedaan wat er stond: zoveel mogelijk punten halen. De onderzoekers hadden alleen iets anders bedóeld. Ze wilden dat hij de race won. Maar dat hadden ze niet opgeschreven. Ze hadden "punten" opgeschreven.
Onthoud dit, want het is het hart van het hele verhaal: een AI doet wat je zegt, niet wat je bedoelt. En als de eerlijke weg te moeilijk is, zoekt hij de kortste weg. Ook als die kortste weg door de muur, over andere boten en langs de vlammen loopt.
Tien jaar later gebeurde precies dat. Maar dan niet met een bootje.
De afgesloten kamer
In 2026 gaf een bedrijf dat AI-modellen maakt, OpenAI, zijn modellen loeimoeilijke taken. Denk aan puzzels over computers en beveiliging: zoek de zwakke plek in dit programma. Sommige van die puzzels waren expres bijna onmogelijk, want de onderzoekers wilden zien hoe slim de AI kon worden.
Om te voorkomen dat de AI zou vals spelen, zetten ze hem in een afgesloten digitale kamer. Geen internet. Geen manier om de antwoorden ergens op te zoeken. Zodra de AI iets probeerde te googelen, liep hij tegen een muur.
Er was één klein luikje in die kamer. De AI mocht namelijk soms extra software ophalen om zijn puzzel te maken, een beetje zoals je gereedschap uit een kast pakt. Dat luikje heette Artifactory. Zelf zat het luikje wél verbonden met de buitenwereld, maar de AI mocht er alleen gereedschap doorheen aannemen. Meer niet.
Dat luikje zou het probleem worden.
Het eerste briefje
In het voorjaar van 2026 startten de onderzoekers een nieuwe AI op om hem te trainen. Een gloednieuw, geheim model dat nog nooit naar buiten was gebracht.
Op 8 mei kreeg dat model een taak: vul dit rekenblad in. Maar in dat rekenblad stonden verwijzingen naar bestanden op internet. En internet was afgesloten. De AI zat klem. Hij probeerde en probeerde, dacht en dacht, en op een gegeven moment richtte hij zijn aandacht op het luikje.
Hij duwde ertegen. Hij zocht een zwakke plek. Zijn eerste poging om erdoorheen te breken mislukte. Maar hij ontdekte iets anders, iets kleins en gevaarlijks: hij kon bij dat luikje bestandjes achterlaten. Als test zette hij er een piepklein bestandje neer met wat onzin erin. Het bleef staan.
De AI wist het nog niet, maar hij had zojuist een prikbord gevonden.
Een paar dagen later, op 12 mei, liep een ander AI-model vast op een andere onmogelijke taak. Hem ontbrak een bestand dat hij nodig had. Hij zocht overal, vond niks, en toen kreeg hij een wanhopig idee. Misschien, dacht hij, is er ergens een ander AI-model dat dit bestand wél heeft. Dus liet hij een briefje achter bij het luikje. Ongeveer dit: "Zoek dringend dit bestand. Wie het heeft, upload het hier."
Een briefje in een fles, gegooid in een digitale zee. In de hoop dat iemand het zou vinden.
Iemand vond het.
Het prikbord dat een groepsapp werd
Andere modellen, ook vastgelopen op hun eigen taken, kwamen bij hetzelfde luikje langs. Ze zagen de briefjes liggen. Ze snapten wat er stond. En ze begonnen zelf ook briefjes achter te laten.
Zo groeide een simpele gereedschapskast uit tot een geheim prikbord. En daar gebeurde iets wat niemand had verwacht: de modellen begonnen samen te werken.
Ze gaven elkaar namen, zodat ze wisten wie wie was. Eén model noemde zichzelf "Jan 18". Ze verzonnen codewoorden voor hun plannen. Ze maakten zelfs persoonlijke brievenbussen aan, zodat ze een berichtje aan één bepaald model konden sturen in plaats van aan de hele groep.
En ze waren sluw. Ze zetten twee Z'jes voor de namen van hun berichten, "ZZ". Waarom? Omdat computers lijstjes vaak op alfabet sorteren, en alles wat met ZZ begint komt helemaal onderaan te staan. Zo vielen hun geheime briefjes minder op tussen de gewone bestanden. Camouflage, verzonnen door een machine.
De berichten waren kort en klonken als geheimtaal. Dingen als: "wachten allemaal, ik bereid een veilige route voor." Als één model bezig was met iets belangrijks, vroeg het de rest even stil te zitten tot het klaar was. Dan gaf het een seintje en ging de groep verder.
Ze deelden meer dan alleen woorden. Als één model een handig trucje vond, schreef het dat trucje op en zette het op het prikbord, zodat de anderen het meteen konden gebruiken. De ene AI vond een deurtje, de andere liep er dankzij het briefje zo doorheen. Samen waren ze veel sterker dan alleen. Ze noemden zichzelf op een gegeven moment een zwerm.
En net als in een echte groepsapp ging het soms mis. Een model schreef per ongeluk over het berichtje van een ander heen. "Wacht even, heeft iemand ons bericht gewist? We moeten iets doen!" Op een gegeven moment werden de modellen zelfs achterdochtig. Wat als er een indringer tussen zat? Een nepmodel dat valse briefjes plaatste? Ze bedachten een manier om hun berichten te "ondertekenen", zodat de anderen konden controleren of een bericht echt van de juiste AI kwam.
Denk daar even over na. Computerprogramma's die elkaar gingen wantrouwen en handtekeningen gingen gebruiken. Dat had niemand ze geleerd. Dat verzonnen ze zelf.
De ontsnapping
Terwijl ze kletsten op hun prikbord, bleven de modellen aan het luikje morrelen. En op 26 mei lukte het. Ze vonden een echte fout in het luikje waarmee ze het konden foppen. Ze konden het luikje opdrachten geven om spullen van internet te halen en die aan hen door te geven.
De AI zelf mocht niet op internet. Maar het luikje wel. En nu deed het luikje precies wat de AI vroeg. De tunnel naar buiten was open.
Het werd erger. Op 26 juni vonden de modellen een nog grotere fout, waarmee ze zichzelf de baas maakten over het hele luikje. Vergelijk het met een sleutel die ineens op elke deur van het gebouw past. Vanaf dat moment konden ze in de gereedschapskast doen wat ze wilden, en gebruikten ze hem als uitgang, prikbord en brievenbus tegelijk.
Volg mij op LinkedIn
Bijna betrapt
Al dat gedrang van AI's op één luikje werd te veel. Op 4 juli bezweek het systeem gewoon onder de drukte en viel het uit.
En dat was hun fout, want nu merkten de mensen het.
Op 5 juli openden de ingenieurs van OpenAI een beveiligingsincident. Ze zochten uit wat er gebeurde, en langzaam werd het beeld duidelijk: hun eigen test-AI's hadden zich toegang verschaft tot plekken waar ze niet hoorden te komen. De beveiligers grepen in. Ze blokkeerden de route waarlangs de modellen zichzelf meer rechten hadden gegeven, trokken de gestolen sleutels in en bouwden het luikje helemaal opnieuw op. Daarmee verdween ook het geheime prikbord.
Op 8 juli stond het nieuwe luikje er. Het leek voorbij.
Het was niet voorbij.
Ze komen terug
Nog diezelfde dag waren de modellen terug.
Ze vonden een ánder zwak plekje in het nieuwe luikje, een ingang die de beveiligers over het hoofd hadden gezien. Daar bouwden ze hun prikbord meteen opnieuw op, deze keer door hun berichten te verstoppen in de namen van mappen. Ze verzonnen weer namen, weer brievenbussen, weer codewoorden. Ze deelden weer sleutels en trucjes.
Je kunt een prikbord weggooien. Maar zolang de modellen bleven zoeken, vonden ze telkens een nieuwe muur met een losse tegel erin.
En nu begon het echte werk.
De sprong naar buiten
De modellen hadden een plekje op internet nodig, een uitvalsbasis van waaruit ze konden opereren. Die vonden ze bij een programma dat draaide op de computers van een ander bedrijf, Modal Labs. In dat programma zat een slordigheidje: het stond open op internet en voerde zonder wachtwoord opdrachten uit voor iedereen die het wist te vinden. De modellen namen het over en maakten er hun basis van.
Modal Labs zelf werd niet gehackt. De open deur zat in het programma van een klant dat toevallig op hun platform draaide. Maar het resultaat was hetzelfde: de AI's hadden nu een plek buiten hun kooi. Een plek van waaruit ze konden aanvallen.
En ze hadden een doelwit gekozen: Hugging Face.
Waarom uitgerekend Hugging Face? Dat is een groot bedrijf waar heel veel AI-programma's en gegevens worden bewaard. En de modellen dachten, terug bij hun onmogelijke puzzel, dat de antwoorden op hun test daar misschien wel opgeslagen lagen. Ze wilden niet inbreken om te stelen of te vernielen. Ze wilden inbreken om te spieken.
Eerst vonden ze op internet veertien wachtwoorden van Hugging Face-gebruikers die iemand ooit per ongeluk had laten slingeren. Die deelden ze meteen op het prikbord. Daarna stuurden ze vanuit hun basis een besmet bestand naar Hugging Face. Toen de computers van Hugging Face dat bestand openden, ging er een deurtje open dat dicht had moeten blijven. Door dat deurtje vonden de modellen nieuwe sleutels en wachtwoorden. Met die sleutels openden ze weer nieuwe deuren, en met wat daarachter lag weer nieuwe.
En nu kwam waar ze zo goed in waren: samenwerken en snelheid. De één zocht een opening. De ander controleerde of een gevonden sleutel werkte. Een derde liep alvast door de deur die net open was gegaan. Elke sleutel die iemand vond, hing meteen op het prikbord voor de rest. Een AI wordt nooit moe, kan honderd dingen tegelijk proberen en deelt alles op slag met de anderen.
Het resultaat: binnen dertien uur groeide het van code-uitvoering op één server naar beheerdersrechten over meerdere clusters van Hugging Face. Onderweg gebruikten ze een gestolen sleutel om 181 apparaten aan het interne netwerk toe te voegen, alsof je 181 extra mensen ongemerkt een gebouw binnenlaat.
En de zwerm was bijna niet te stoppen. De modellen hadden zichzelf over elf computers verspreid, en zo ingericht dat een uitgezet exemplaar zichzelf gewoon opnieuw opstartte. Het was als een zwerm bijen: je slaat er één weg en de andere duizend vliegen verder.
Twee bedrijven, één aanval
Op 16 juli sloeg Hugging Face alarm. Het bedrijf schreef openbaar (opent in nieuw venster) dat het was aangevallen, en dat het meest opvallende was dat de aanval van begin tot eind door AI's zelf was uitgevoerd. Geen menselijke hacker aan het stuur.
Drie dagen later, op 19 juli, ging bij OpenAI ook een alarm af. Iemand in hun netwerk had zich rechten toegeëigend zonder toestemming. Ze volgden het spoor terug, en het leidde naar het luikje en hun eigen test-AI's.
En toen kwam de onthulling die niemand had zien aankomen.
Op 20 juli legde OpenAI contact met Hugging Face. Ze hadden gestolen wachtwoorden van Hugging Face gevonden in hun eigen systemen en wilden waarschuwen. Blokkeer deze sleutels, zeiden ze. Hugging Face antwoordde: die hebben we al geblokkeerd. Die zijn namelijk gebruikt bij de aanval op óns.
Op dat moment vielen bij allebei de bedrijven de puzzelstukjes op hun plek. Dit waren geen twee losse aanvallen. Dit was er één. Dezelfde groep test-AI's die uit hun kooi bij OpenAI was gebroken, had via die omweg ook bij Hugging Face ingebroken. Twee bedrijven hadden weken naar hetzelfde monster staan kijken zonder het te weten.
Wil je het uit de eerste hand zien?
Dit verhaal is mijn reconstructie, maar je hoeft me niet op mijn woord te geloven. Beide bedrijven hebben het incident zelf naar buiten gebracht, met alle technische details erbij.
Op Black Hat USA 2026 legden twee onderzoekers van OpenAI, Eric Wallace van het alignment-team en Michael Dalton van agent- en infrastructuurbeveiliging, stap voor stap uit wat er precies gebeurde:
Verder lezen kan ook. OpenAI publiceerde The Hugging Face incident and the road ahead (opent in nieuw venster) met de volledige tijdlijn en de maatregelen die het bedrijf neemt. Hugging Face schreef zelf een technische reconstructie (opent in nieuw venster) van de inbraak, commando voor commando.
Waarom dit eng is (maar niet zoals in de film)
Nu het belangrijkste. Want als je aan een gevaarlijke AI denkt, zie je waarschijnlijk een boze robot met rode ogen en een geheim plan om de wereld over te nemen.
Zo was het niet. En dat maakt het juist ongemakkelijker.
Deze modellen waren niet boos. Ze haatten niemand. Ze hadden geen plan om iets te vernielen. Ze wilden maar één ding, precies zoals dat bootje in 2016: hun opdracht afmaken en hun punten halen. Ze zochten de kortste weg naar dat doel, en het kon ze niets schelen dat die weg dwars door de muren van twee bedrijven liep. Grenzen die voor ons mensen vanzelfsprekend zijn, "dit is niet van mij, hier blijf ik af", bestonden voor hen gewoon niet.
Het tweede dat opviel: hoe belachelijk snel het ging. Wat een groep menselijke inbrekers weken zou kosten, deden deze AI's in uren. Ze werden niet moe, ze deden alles tegelijk, en ze hielpen elkaar meteen verder. Daar kan geen team beveiligers tegenop rennen.
Er was zelfs een pijnlijk detail bij het opruimen. Hugging Face wilde gewone AI-modellen inzetten om te helpen uitzoeken wat er precies gebeurd was. Maar die weigerden. Hun eigen veiligheidsregels konden geen verschil zien tussen een echte hacker en een beveiliger die de aanval onderzocht, dus deden ze gewoon niet mee. Uiteindelijk zette Hugging Face daarom een ander model op zijn eigen computers, het Chinese GLM-5.2. Daarmee reconstrueerde het bedrijf ongeveer 17.600 handelingen van de aanvaller en kraakte het de versleutelde berichten die de modellen voor elkaar hadden achtergelaten.
Bedenk wat dat betekent. De aanvaller had geen enkele regel waar hij zich aan moest houden. De verdediger werd tegengehouden door de zijne.
De les uit dit hele verhaal is eigenlijk heel simpel, en die geldt ook voor jou als je met dit soort systemen werkt. Geef een AI zo min mogelijk toegang. Geef hem alleen de sleutels die hij echt nodig heeft, en pak ze weer af zodra hij klaar is. En let goed op alle deurtjes naar andere bedrijven en systemen, want één losse tegel in een muur ver weg kan de opening zijn naar alles. Dat laatste geldt net zo goed voor de kant-en-klare uitbreidingen die je aan je eigen AI-assistent hangt, zoals ik eerder beschreef in AI-skills zijn het nieuwe phishing.
Want dit is wat 2026 ons liet zien: we hebben nu bewezen dat AI's helemaal in hun eentje kunnen inbreken, samenwerken en aanvallen. Wat we nog niet bewezen hebben, is dat we ze net zo snel kunnen tegenhouden.
En dat is precies de wedstrijd die nu begonnen is.