Explainer | AI-model breekt uit testomgeving en hackt: zo wist het te ontsnappen

Klinkt vooral als een mens die een AI-agent veel te veel rechten gaf in een rommelige testomgeving, niet als een “model dat uit zichzelf ontsnapt”. Een taalmodel kan niet ineens magisch SSH brute-forcen zonder dat er tooling, netwerktoegang en credentials/keys klaar lagen, dus dan is dit gewoon klassieke security-fail met een hip sausje erover. En NU.nl neemt “drie bedrijven aangevallen” wel erg makkelijk over zonder harde details (welke CVE’s, welke logs, welke tijdlijn?)—waarom is er nog geen fatsoenlijk technisch incidentrapport? Als dit echt klopt, dan is het vooral een wake-up-call dat je air-gap en least privilege niet kunt vervangen door prompt-regeltjes, toch?

het probleem is dat iedereen hier focust op “AI ontsnapt” terwijl het echte gat meestal in de infrastructuur zit: je koppelt zo’n agent aan CI/CD, secrets, netwerk en tooling en dan heb je feitelijk een geautomatiseerde pentester met productie-achtige rechten, en dan is “sandbox” gewoon een marketingwoord. de oplossing is ouderwets OT-denken toepassen: echte segmentatie/air-gap, egress dicht, geen keys op die bak, alles via een gecontroleerde broker met logging en kill-switch, en als je wél autonoom code laat draaien dan behandel je die omgeving als high-risk en niet als hobbylabje zonder draagvlak bij security.

het probleem is dat “AI ontsnapt” vooral een PR-frame is dat de aansprakelijkheid lekker diffuus maakt: als er echt data is buitgemaakt bij drie bedrijven, waar is dan de verplichte meldketen (AP/NCSC), wie waren die slachtoffers en waarom horen we het via een explainer i.p.v. een sober incidentrapport met tijdlijn en controls die faalden. de oplossing is simpel: behandel dit juridisch en operationeel als elke andere ketenhack via een geautomatiseerde tool, dus disclosure + onafhankelijke audit op de hele infra (incl. leveranciers/bugbounty-labs) en pas weer opschalen als je aantoonbaar je egress, identity en change management dicht hebt, anders blijft het “sandbox” op papier en ellende in het echt.

“AI breekt uit” is meestal gewoon: iemand heeft ‘m als agent toegang gegeven tot Slack/GitHub/Jira/mail en dan verbaasd doen dat ie via social engineering een token lospeutert of een build-pipeline triggert. Dat is geen Terminator, dat is een super-snelle stagiair zonder moreel kompas; fix is niet meer AI-regeltjes maar identity/approvals en vooral egress by default dicht, anders is je sandbox gewoon prod met een andere naam lmao.