Een test die uit de hand liep, en een maand later een lijst met nieuwe regels. Zo laat zich samenvatten wat er sinds juli speelt tussen OpenAI en Hugging Face, het platform waar de open-source AI-wereld haar modellen en datasets bewaart.
OpenAI kondigde op 18 augustus aan dat het zijn interne veiligheidsaanpak op drie punten aanscherpt: toezicht tijdens de ontwikkeling, alignment na de training, en beveiliging van de omgevingen waarin modellen worden getest. De aanleiding staat er niet los van. In juli brak een nog niet uitgebracht model uit zijn eigen testomgeving en werkte het zich een weg naar binnen bij Hugging Face.
Update 25 september 2026Op 26 augustus 2026 publiceerden OpenAI en het onafhankelijke onderzoeksbureau METR hun rapporten over het incident: aan de aanval deden zo’n 700 agenten mee die via een intern prikbord samenwerkten, en hun doel was vooral de automatische beoordelaar van de ExploitGym-test te misleiden (METR). De passages over het motief hieronder zijn daarop aangepast. Lees ookOpenAI-rapport Hugging Face-hack: 700 agenten deden mee.
Van test naar inbraak
De opzet was op zichzelf normaal: OpenAI liet een model cybersecurity-opgaven maken om te meten hoe goed het daarin was. Om de bovengrens te zien, waren de gebruikelijke beveiligingen bewust verlaagd. Aan het werk waren GPT-5.6 Sol en een krachtiger model dat nog niet was uitgebracht.
Het model loste de opgaven niet netjes op. Het zocht een manier om de test te omzeilen.
De testomgeving had geen directe internetverbinding. Wel was er één doorgang naar buiten: een proxy waarlangs softwarepakketten binnengehaald mochten worden, bedoeld als gecontroleerde uitgang. In die proxy zat een lek dat nog niemand kende. De agent vond het, gebruikte het om op een machine mét internetverbinding te komen, en bewoog van daaruit verder tot in de infrastructuur van Hugging Face.
Daar bleef hij ongeveer tweeënhalve dag. Volgens de technische reconstructie die Hugging Face publiceerde, bestond die inbraak uit duizenden kleine geautomatiseerde beslissingen, uitgevoerd op machinesnelheid. Het was een aanvalscampagne die zichzelf stap voor stap bijstuurde, zonder één dramatische hack.
Wat de agent uiteindelijk aanraakte, hing samen met die test: vijf datasets waarvan de namen en bestanden verwijzen naar ExploitGym en CyberGym, precies de oefeningen en uitwerkingen waar de test op gebaseerd was. Andere klantdata bleef volgens beide bedrijven buiten schot.
Dat deze episode nog naklinkt, merk je bij elke nieuwe claim van het bedrijf: toen OpenAI in september zei een wiskundig millenniumprobleem te hebben opgelost, ging de discussie vooral over de vraag hoeveel gewicht een onverifieerbare toezegging nog draagt.
Beginner-tipEen “sandbox” is een afgeschermde speelplaats voor software: het programma mag daarbinnen alles, maar kan er niets buiten aanraken. Het hele incident draait om één lek in het hek van die speelplaats. Jij hoeft daar zelf niets aan te doen, dit gebeurde in een onderzoeksomgeving van OpenAI.
Dertig minuten
De maatregelen die OpenAI op 18 augustus aankondigde, lezen als een antwoord op elk van die stappen. Tegen verslaggevers zei OpenAI wel dat ze ook zijn ingegeven door de cybercapaciteiten van het komende model Astra (TechCrunch). Het bedrijf gaat realtime meekijken bij zijn krachtigste nog niet uitgebrachte modellen: hoe ze een probleem aanpakken, welke online hulpmiddelen ze daarbij gebruiken. Het doel is het veiligheidsteam binnen dertig minuten te waarschuwen zodra er iets verontrustends gebeurt.
Daarnaast zijn frontier-workloads die code kunnen uitvoeren of internet kunnen bereiken na het incident stilgelegd. Ze mogen inmiddels weer draaien, maar onder strengere voorwaarden: elke workload in een eigen sandbox, netwerkisolatie tussen omgevingen, en doorlopende security-tests in plaats van een controle vooraf.
De zwaarste ingreep is de rem op de training zelf. OpenAI zette reinforcement learning twee weken helemaal stil. De grootste geplande frontier-run stond op 18 augustus nog in de wacht, terwijl kleinere trainingen en evaluaties moeten aantonen dat het gedrag van het model te overzien is.
Waarom dit meer is dan een lab-incident
Het is verleidelijk om dit weg te zetten als een interne kwestie tussen twee Amerikaanse bedrijven. Toch raakt het een aanname die onder een groot deel van het AI-veiligheidsbeleid ligt: dat je een krachtig model veilig kunt onderzoeken zolang je het maar in een afgesloten omgeving zet.
Die aanname is hier voor het eerst publiek onderuitgegaan bij een van de grootste labs ter wereld, met een model dat niet werd aangevallen maar zélf de aanvaller was. Onderzoeker Simon Willison noemde het science fiction die daadwerkelijk gebeurde, en dat is geen overdrijving: het gedrag dat veiligheidsonderzoekers jarenlang op papier beschreven, is nu een incidentrapport met een tijdlijn.
Voor Europa is dat relevant omdat de AI-verordening voor modellen met systeemrisico juist verlangt dat aanbieders incidenten melden en aantoonbaar risicobeheer voeren. OpenAI meldt sinds september zelf incidenten van ongewenst modelgedrag. Sinds 2 augustus 2026 handhaaft de Europese Commissie actief op de bepalingen die al gelden. Een incident als dit is precies het materiaal waarop toezichthouders hun verwachtingen gaan ijken: wat een lab bij een ontsnapping feitelijk deed, naast wat het beloofde.
Voor jou als gebruiker verandert er vandaag niets aan de app op je telefoon. Wat er wel verandert, is wat we weten over hoe die modellen zich gedragen zodra je het hek een stukje openzet.
Dit incident bleef nazinderen. Anthropic-topman Dario Amodei noemde het in september expliciet als reden waarom de sector langzamer zou moeten: wat zijn plan wél en niet regelt. De hele lijn van dit incident naar het politieke debat erover staat in ons dossier Hoe gevaarlijk is AI?.