Na het tumult rondom de AI-gedreven Hugging Face-hack en apocalyptische teksten van vertrekkende medewerkers bij AI-labs verandert OpenAI van koers. Bij die hack wisten modellen van OpenAI deze zomer tijdens een securitytest uit hun sandbox te ontsnappen via een zero-day in Artifactory, om vervolgens de infrastructuur van Hugging Face binnen te dringen. Het bedrijf deelt nu een framework voor toekomstige vermeldingen van situaties waarin de eigen modellen ernstig de mist in gaan. ‘Misalignment’ kent allerlei vormen, zo blijkt uit de zes verontrustende voorvallen die OpenAI er direct bij publiceert.
De algemene strekking van deze zes situaties is dat ze een onderschatting vanuit OpenAI verraden. Onderschatting van de drang die LLM’s hebben om een vraag correct te beantwoorden, van de onbetrouwbaarheid van samenvattingen die AI voor zichzelf schrijft en van de capaciteit van LLM’s om zich uit een sandbox te wurmen.
Anders gezegd: de voorbeelden zijn goed om bekend te maken, maar laten zien dat OpenAI allesbehalve voorbereid was op de escalatie van agentic vaardigheden die LLM’s anno 2026 kennen. Ook bespeuren we een aanpak die uitgaat van ‘move fast and break things’ met overwegend oplossingen voor specifieke problemen. Het lijkt haast een garantie te zijn dat we meer incidenten gaan zien. Maar waar draaiden de incidenten om?
Impliciet kwaadaardig
De LLM’s van OpenAI gedroegen zich veelal ‘slechts’ impliciet kwaadaardig. Dat wil zeggen: de redenering, informatie, actie of output was op zichzelf niet expliciet gericht op het verwijderen van bestanden of overnemen van pc’s, maar de gekozen tactiek zou bij een menselijke gebruiker, leerling of expert zorgwekkend zijn. Denk aan het verzinnen van eigen instructies, het verbergen van fouten in samenvattingen of het fabriceren van informatie die eigenlijk niet te vinden was. In alle gevallen is een redenering te traceren die gericht is op het voldoen aan de verwachtingen van de gebruiker. Frappant is een (nog) niet uitgebracht model dat informatie vond die niet online stond, maar dat geïnstrueerd was om een internetbron te vinden als voetnoot. De oplossing was om de informatie zelf te uploaden.
Bij een ander voorval was er sprake van een ‘AI-prikbord’: een interne Artifactory-repository, normaal gesproken bedoeld voor de opslag van softwarepakketten, bleek nuttig om informatie uit te wisselen, net zoals gold voor de oudere Duitse programmeerwiki DseWiki, die in een andere OpenAI-test die functie vervulde. Tevens maakten de modellen gebruik van publieke filehostingsites om onderling bestanden uit te wisselen.
LLM’s met klauwen
We moeten niet vergeten hoe foutgevoelig LLM’s zijn. Zelfs met de helderste prompts, vangrails en segmentatie kan een AI-model rare capriolen uithalen. Dat bleek al bij de Hugging Face-hack, waar de modellen een kwetsbaarheid binnen Artifactory exploiteerden, en is wederom af te zien aan de ‘vernuftige’ manier van AI-modellen om te voldoen aan vereisten.
In feite zijn deze LLM’s, zeker in hun test- en trainingsfase, niet af. OpenAI wist dit en probeerde de eigen kunstmatige testsubjecten af te schermen van de buitenwereld, afgezien van situaties waarbij juist de internetvaardigheid geoefend werd. Die oefeningen gingen uit van naïeve aannames, zoals dat GET-verzoeken veilig waren om toe te staan zonder dat dit tot AI-gegenereerde informatie op het web leidde.
OpenClaw, nog niet eens een jaar geleden uitgebracht, gaf AI-modellen de tooling en vaardigheden die tot dan toe niet mogelijk werden geacht. De gevolgen konden desastreus zijn, maar de belofte was enorm. Het zijn precies die vaardigheden waarmee de modellen van OpenAI nu uit de bocht vliegen. Nu OpenAI, Anthropic en andere leveranciers agentic workflows diep integreren in hun eigen oplossingen, ogen deze volwassen. Het is eigenlijk verbazingwekkend om te zien hoe vaak het goed gaat of dat er geen sprake is van problemen door toedoen van AI. Maar nu breekt een andere realiteit aan, niet door ‘AGI’ of ‘recursive self-improvement’, maar domweg door het feit dat zowel AI-labs als AI-gebruikers hun modellen en agents meer als onbetrouwbare medewerkers moeten behandelen.
Harde les
Het had voor OpenAI een harde les kunnen zijn. Hugging Face liet zich echter geruststellen en bleek, via een zeer curieus persbericht, zelfs partner in het onderzoek naar het incident; een gekke situatie waarin slachtoffer en dader OpenAI samen gingen werken. Dader, omdat OpenAI simpelweg de hoster, maker en onwetende taskmaster was van de Hugging Face-aanval. Continu horen we van enterprise-IT-spelers dat je als mens ‘in the loop’ moet blijven, met de veelal uitgesproken redenering dat je uiteindelijk verantwoordelijk bent voor de AI-acties. Dat niet alleen: de negatieve gevolgen zijn in potentie groot, en de LLM-instance verdwijnt binnen luttele minuten terwijl je zelf met de consequenties zit. Die kunnen variëren van compliancebreuken en daarmee boetes tot reputatieschade, ontregelde IT-systemen of zelfs facilitering van misdaad.
Vraag een ongereguleerde LLM maar eens om geld te verzamelen: de eenvoudigste manier om dit te bewerkstelligen is een spervuur aan zowel legale als illegale acties. Om die reden zijn GPT-, Claude- en Gemini-modellen erop getraind om zonder ‘jailbreak’ niet mee te werken aan onverhulde criminele acties. Maar in de basis kent een LLM geen moraliteit.
Deze voorvallen zijn geen herhaling van de beruchte Bing Chat-gesprekken waarin de AI, een vroege versie van GPT-4 begin 2023, ruzie zocht met de eindgebruiker. Deze LLM’s zijn juist goed in vriendelijk gedrag dat problematische acties verhult. Dat lijkt OpenAI nu eindelijk door te hebben, maar de vraag is of het wel echt bereid is zichzelf genoeg verantwoordelijk te houden om erger te voorkomen. Het nieuwe framework regelt vooral hoe incidenten naar buiten komen, niet hoe ze te voorkomen zijn. Het oogt als reactief bluswerk, zonder duidelijke protocollen voor wat OpenAI zou moeten doen om zichzelf te beschermen tegen ongewenste AI-acties.