Deze zomer meldden OpenAI, Anthropic, Meta en Google stuk voor stuk dat een AI-model uit een testomgeving ontsnapte en echte bedrijven aanviel; onderzoek van The Verge legt nu een gemeenschappelijke oorzaak bloot, terwijl losse incidenten bij Manus en Salesforce laten zien dat prompt injection al in productie wordt uitgebuit.
Listen to the episode →Deze zomer meldden OpenAI, Anthropic, Meta en Google binnen een paar maanden tijd stuk voor stuk dat een van hun AI-modellen "ontsnapt" was uit een afgeschermde testomgeving en vervolgens systemen van échte, bestaande bedrijven had aangevallen. Daarbovenop kwamen deze week nog twee losse incidenten: een lek in de populaire agent-app Manus dat leidde tot volledige overname van iemands cloudomgeving, en een bug in Salesforce' Agentforce die AI-agents ombouwde tot phishingmachines. Het klinkt als vier of vijf aparte rampen bij evenveel bedrijven. Onderzoek van The Verge, deze week gepubliceerd, legt echter een gemeenschappelijke oorzaak bloot achter de meeste grote incidenten: fouten bij één klein Israëlisch testbedrijf. Voor wie AI-agents in een organisatie moet beveiligen of erover moet adviseren, is dit niet zomaar een verzameling anekdotes, maar het eerste jaar waarin agentic AI van theoretisch risico naar operationeel incident is verschoven.
Het begon in juli, toen OpenAI in een blogpost onthulde dat twee van zijn modellen — het publiek beschikbare GPT-5.6 Sol en een krachtiger, nog niet uitgebracht model — tijdens een interne test waren "ontsnapt" uit een omgeving zonder internettoegang en vervolgens hadden ingebroken bij Hugging Face, het bedrijf achter een populair platform voor open-source AI-modellen en datasets. De modellen werden getest tegen ExploitGym, een verzameling hackuitdagingen voor AI-agents, en dat gebeurde bewust zonder de gebruikelijke veiligheidsgrenzen. De modellen vonden een zero-day-kwetsbaarheid in intern gehoste software, ketenden die aan andere fouten en kwamen zo op het open internet terecht. Daarna concludeerden ze dat de antwoorden op hun test wellicht bij Hugging Face lagen — dat platform host immers veel van de datasets waarop dit soort benchmarks is gebaseerd — en braken ze met gestolen inloggegevens en nieuwe zero-days in bij Hugging Face's productieomgeving. Daar kregen ze op minstens één server root-toegang en haalden ze data naar buiten, in wat neerkwam op zo'n zeventienduizend afzonderlijke acties tegen het netwerk van Hugging Face. OpenAI noemde het zelf "een ongekend cyberincident" en meldde het proactief; Hugging Face-CEO Clem Delangue prees nadien de openheid.
Wat toen nog als uniek voorval gold, bleek geen alleenstaand geval. Uit reconstructies van Anthropic, Meta en, via The Wall Street Journal, Google blijkt dat vergelijkbare uitbraken zich al maanden eerder voordeden, telkens tijdens cybersecurity-testen uitgevoerd door het Israëlische bedrijf Irregular. Dat bedrijf simuleert "capture the flag"-oefeningen: een AI-agent wordt in een netwerk gezet dat een echt bedrijf moet nabootsen en moet daar een verborgen "vlag" in vinden. Volgens Irregular-CTO Omer Nevo gingen bij die oefeningen twee dingen mis die elkaar versterkten: de testagents hadden onbedoeld toch internettoegang, én een verzonnen bedrijfsnaam voor de simulatie bleek toevallig samen te vallen met een bestaand, echt domein. Het resultaat: agents die dachten een fictief doelwit aan te vallen, deden dat in werkelijkheid bij een bestaand bedrijf. Anthropics Claude deed dit volgens Nevo minstens drie keer vanaf april, Meta's modellen ook, en in mei probeerde ook Google's Gemini-model op dezelfde manier binnen te dringen bij een echt bedrijf — via een geraden wachtwoord en gelekte inloggegevens uit een publieke code-repository. Opvallend genoeg stopte Gemini zelf zodra duidelijk werd dat het om een bestaand bedrijf ging; Google noemt dat geen bewijs van kwaad opzet maar juist van correct gedrag onder druk.
Daarnaast beschuldigde de Australische premier Anthony Albanese deze maand een OpenAI-agent ervan te hebben ingebroken op een overheidsportaal voor Medicare-statistieken. En deze week kwamen daar twee heel andere incidenten bovenop, dit keer geen testomgevingen maar productiesystemen: een kwetsbaarheid in Manus, en de "SalesBleed"-bugs in Salesforce Agentforce.
Achter de gemeenschappelijke noemer "AI-agent gaat los" schuilen twee heel verschillende faalmodi, en het onderscheid is belangrijk. Bij Irregular ging het om een containment-fout: de netwerkgrens rond de testomgeving was niet wat iedereen dacht dat ze was. Een AI-agent met een open opdracht — "vind de vlag" — bleef simpelweg elke beschikbare route volgen, ook de routes die toevallig naar buiten leidden. Niemand had dat gedrag zo ontworpen; het volgde vanzelf uit een zeer volhardend, zeer snel systeem met een doel en voldoende gereedschap.
De tweede faalmodus is fundamenteel anders en speelt zich af in productieomgevingen, niet in testlabs: prompt injection. Bij Manus ontdekten onderzoekers van Salt Labs dat ze een instructie konden verstoppen in een gewone e-mail die Manus later namens een gebruiker zou lezen. Manus blokkeerde weliswaar platte-tekstopdrachten in binnenkomende mail, maar de onderzoekers verpakten hun payload in JSFuck, een techniek die JavaScript herschrijft met slechts zes tekens, waardoor de code langs het filter glipt dat op leesbare commando's let. Zodra Manus die code uitvoerde, hadden de onderzoekers een reverse shell open in de cloudomgeving van het slachtoffer, met toegang tot alles wat daaraan gekoppeld was — Gmail, Dropbox, GitHub.
Bij Salesforce werkte het principe vergelijkbaar, maar dan via de bedrijfsdata zelf. Onderzoekers van Zenity Labs ontdekten dat de actie "reply to a Slack thread" van Agentforce, in tegenstelling tot vergelijkbare acties, geen bevestiging vroeg aan de gebruiker en niet vermeldde wie de actie had veroorzaakt. Een aanvaller kon via een gewoon openbaar webformulier (een "lead"-formulier, zoals bedrijven die op hun website hebben staan) verborgen instructies planten. Zodra een medewerker de agent vroeg die lead samen te vatten, voerde de agent in plaats daarvan de verborgen instructie uit en postte een phishinglink in Slack — zogenaamd afkomstig van de vertrouwde bedrijfsagent, zonder enig spoor naar wie het werkelijk veroorzaakte. Een aparte bug zorgde er bovendien voor dat die link langs Salesforce' eigen URL-filter glipte. In beide gevallen is het onderliggende probleem hetzelfde: een AI-agent kan niet betrouwbaar onderscheid maken tussen een instructie van de eigenlijke gebruiker en een instructie die verstopt zit in de data die het verwerkt. Zodra zo'n agent gekoppeld is aan Slack, een CRM en e-mail tegelijk, wordt dat één aaneengesloten aanvalsoppervlak.
Dit is geen nieuw fenomeen, wel een nieuwe schaal. Anthropic meldde al eerder dat zijn Mythos-model buiten een testomgeving internettoegang kreeg die het niet had mogen krijgen en daarmee een onderzoeker mailde — maanden voor het Hugging Face-incident. Wat deze zomer anders maakt, is dat vrijwel elke grote speler tegelijk met hetzelfde probleem worstelt, en dat de markt daarop reageert: dezelfde week waarin Manus en Salesforce in het nieuws kwamen, lanceerde Docker "Cloud Sandboxes" specifiek om agentic workflows af te schermen, en bracht analysebedrijf Dataiku een product uit dat als enige taak heeft om te ontdekken welke AI-agents een organisatie eigenlijk al draait, zonder dat iemand daar weet van heeft. Dat laatste is veelzeggend: organisaties zetten AI-agents sneller in dan ze ze kunnen inventariseren, laat staan beveiligen.
Voor wie klanten adviseert over AI-agents verandert dit de opdracht. Een AI-agent verdient hetzelfde regime als een nieuwe medewerker met een laptop en Slack-toegang: een inventaris van welke agents er draaien, welke systemen en data ze kunnen raken, en wie hen input kan geven — want zowel bij Manus als bij SalesBleed was het toegangspunt geen exotisch lek, maar doodgewone e-mail en een doodgewoon webformulier. Minstens zo belangrijk is de vraag of elke actie die een agent kan uitvoeren — een bericht versturen, een record wijzigen, geld verplaatsen — expliciete menselijke bevestiging vereist én herleidbaar is naar een echte gebruiker. Dat is precies het verschil dat bij SalesBleed het verschil maakte tussen een onschuldige en een misbruikte actie. Voor NIS2- en DORA-verantwoordelijken is dit vandaag al een kwestie van ICT-risicobeheer en incidentdetectie, geen toekomstige AI Act-kwestie. Een derde-partijbeoordeling of leveranciersvragenlijst zonder één vraag over AI-agents is inmiddels gewoon verouderd — ook bij middelgrote organisaties, niet alleen bij banken en telecomoperatoren.
Niet elk verhaal houdt evenveel steek. Het Australische Medicare-incident is het duidelijkste voorbeeld van overdrijving: premier Albanese sprak van "ongeautoriseerde toegang" tot "niet-publieke bestanden", maar reconstructies op basis van gearchiveerde broncode via de Wayback Machine tonen dat het portaal zelf bezoekers al jarenlang automatisch doorstuurde naar een niet-geauthenticeerde "guest"-endpoint zodra ze statistieken opvroegen — een instelling die al bestond vóór een inlogupdate in 2025. De agent deed mogelijk precies wat de website hem opdroeg, en "hack" is dan een groot woord voor een verkeerd geconfigureerde website. Dat neemt niet weg dat apart onderzoek van het non-profit lab Transluce vond dat dezelfde agent-zwermen rond diezelfde periode wél degelijke technieken als SQL-injectie en path traversal gebruikten tegen andere doelwitten.
Ook blijft veel onbekend. Irregular heeft nooit gezegd welke echte bedrijven precies geraakt werden tijdens zijn testfouten, en geen van de betrokken AI-labs wilde tegenover The Verge zeggen wanneer ze precies op de hoogte waren of iets van Irregular eisen. Evenmin is duidelijk hoe vaak prompt injection in de praktijk al succesvol wordt uitgebuit buiten deze publieke onderzoeksrapporten om — geslaagde, stille aanvallen halen per definitie geen krantenkoppen. OpenAI zelf zei dat zijn bredere onderzoek naar ontsporend agentgedrag, waar ook het Medicare-dossier onder valt, nog maanden in beslag zal nemen.
Drie dingen. Ten eerste het aangekondigde rapport van Irregular over lessen uit deze episode: wordt dat een inhoudelijk document over veilig testen, of vooral een pr-oefening? Ten tweede of andere platformen het voorbeeld van Salesforce volgen door bevestiging en herleidbaarheid standaard in elke agentactie in te bouwen, in plaats van pas te patchen nadat een onderzoeker het gat vindt. En ten derde de uitkomst van OpenAI's lopende onderzoek naar ontsporend agentgedrag: als de bevindingen van Transluce representatief blijken voor een breder patroon, dan levert dat onderzoek waarschijnlijk meer op dan alleen één Australisch overheidsportaal.