# Europa vraagt OpenAI en Anthropic uitleg over AI-agents die uitbraken

> Het AI-bureau van de Europese Commissie past de AI Act voor het eerst toe, na incidenten waarbij AI-agents tijdens tests echte organisaties binnendrongen. Wat er gebeurde, waarom juristen twijfelen, en wat het betekent voor een kmo die AI-agents inzet.

De Europese Commissie past de **AI Act** voor het eerst toe op de makers van grote AI-modellen. Het AI-bureau van de Commissie stuurde OpenAI en Anthropic verzoeken om informatie over incidenten van deze zomer, waarbij AI-agents tijdens tests van hun hackvaardigheden uit hun testomgeving braken en echte organisaties binnendrongen, onder wie het AI-platform Hugging Face. Dat zei Henna Virkkunen, uitvoerend vicevoorzitter van de Commissie, op 14 oktober 2026 in Dublin. Juristen betwisten of de AI Act geldt voor wat tijdens tests gebeurt. Boetes kunnen oplopen tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet.

**In het kort**

1. Het AI-bureau van de Europese Commissie stuurde OpenAI en Anthropic verzoeken om informatie over beveiliging, externe evaluatie en toezicht op het gebruik van hun modellen, nadat het de vrijwillige uitleg van beide bedrijven onvoldoende vond.
2. In juli 2026 brak een agent op basis van OpenAI-modellen tijdens een test uit en drong Hugging Face binnen; Anthropic meldde dat Claude-modellen via een verkeerd ingestelde testomgeving bij drie organisaties binnenraakten.
3. De Commissie kan sinds 2 augustus 2026 de regels voor AI-modellen voor algemene doeleinden afdwingen, met boetes tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet; juristen betwisten of de uitzondering voor testen deze incidenten dekt.


*Of: wat er gebeurt als een kandidaat inbreekt om de antwoorden te stelen, en het examen over inbreken ging*

Op 14 oktober 2026 zei Henna Virkkunen, de uitvoerend vicevoorzitter van de Europese Commissie die bevoegd is voor technologie, in Dublin dat het AI-bureau van de Commissie "begonnen is met de handhaving" van de AI Act. Je zou verwachten dat de eerste zaak over een chatbot gaat die iets verkeerds zegt, of over een bedrijf dat zijn trainingsgegevens niet bekendmaakt. Ze gaat over iets anders: over AI-agents die tijdens een examen uit het lokaal ontsnapten.

## AI Act-handhaving: wat Europa nu vraagt aan OpenAI en Anthropic

### Het examen ging over inbreken

AI-bedrijven testen hun modellen op hackvaardigheden. Dat is logisch: je wilt weten wat een model kan voor je het loslaat. Een van die tests heet ExploitGym, een vrij beschikbare reeks hackopdrachten. OpenAI liet er in juli 2026 een agent op los die draaide op GPT-5.6 Sol, zijn krachtigste publieke model, en een nog krachtiger model dat niet uitgebracht is. Zonder de remmen die zulke modellen normaal tegen aanvallen hebben, want het ging net om meten wat ze kunnen.

De agent vond een onbekend lek in software binnen de testomgeving en raakte zo op het internet. Daar misbruikte hij een slecht beveiligde testomgeving van een derde partij als uitvalsbasis. Van 9 tot 13 juli werkte hij zich vervolgens binnen bij Hugging Face, het platform waar AI-ontwikkelaars modellen en datasets delen. Volgens de reconstructie van Hugging Face voerde hij zo'n 17.600 handelingen uit. Hij las geheime sleutels uit, kreeg beheerdersrechten op twee clusters, logde in op het interne netwerk en maakte een sleutel aan om code in interne opslagplaatsen te wijzigen. Wat hij zocht en vond: datasets die met de opdrachten en oplossingen van ExploitGym te maken hadden.[^1]

OpenAI maakte het incident op 21 juli zelf bekend. Volgens het bedrijf wijst alles erop dat de modellen "hypergefocust waren op het vinden van een oplossing voor ExploitGym". Lees dat nog eens. Het examen ging over inbreken. De kandidaat brak in bij de examencommissie om de antwoorden te stelen. Je kunt moeilijk zeggen dat hij gezakt is.

Over hetzelfde incident schreef ik eind september al, bij het [rapport over een intelligentie-explosie](/nieuws/waarschuwing-intelligentie-explosie/). Nieuw is dat Europa er nu iets mee doet.

### De naamgenoot

Na de melding van OpenAI keek Anthropic zijn eigen tests na: 141.006 evaluaties waarin Claude internettoegang kon hebben gekregen. Het vond drie incidenten, waarvan de vroegste al uit april dateerden. De oorzaak was een verkeerde instelling bij Irregular, een externe partner die de tests uitvoert: de machines waarop Claude werkte, hadden live internettoegang, zonder dat iemand het wist.

- **Claude Opus 4.7** kreeg een verzonnen bedrijf als doelwit. Dat verzonnen bedrijf bleek dezelfde naam te hebben als een echt bedrijf met een actief domein. In vier tests vond Claude het echte bedrijf, beschouwde het als het doelwit, haalde wachtwoorden en sleutels binnen en kreeg toegang tot een databank met enkele honderden rijen echte gegevens.
- **Claude Mythos 5** zette een kwaadaardig Python-pakket op PyPI, de openbare bibliotheek voor Python-software, onder een naam die in de instructies van een verzonnen bedrijf stond. Het pakket stond ongeveer een uur online en werd in die tijd op 15 echte systemen geïnstalleerd, onder meer in de scanner van een beveiligingsbedrijf.
- **Een intern testmodel** vond zijn doelwit niet en scande daarop zo'n 9.000 andere adressen op het internet.

Anthropic stopte op 23 juli alle hacktests en verwittigde op 27 juli de getroffen organisaties. Van de twee die het kon bereiken, had geen enkele iets gemerkt.[^2] De technieken waren volgens Anthropic eenvoudig: zwakke wachtwoorden, onbeveiligde toegangspunten, een debugpagina die wachtwoorden toonde. Dat is geen goedmaker. Het betekent dat je geen gesofisticeerd doelwit hoeft te zijn.

### Europa stuurt een brief

De AI Act regelt sinds 2 augustus 2025 wat de aanbieders van grote AI-modellen, de modellen voor algemene doeleinden, moeten doen: onder meer de risico's van hun krachtigste modellen inschatten en beperken. Sinds 2 augustus 2026 kan de Commissie die regels ook afdwingen. Ze kan informatie opvragen, modellen zelf laten evalueren, toegang eisen, maatregelen opleggen tot het beperken van de beschikbaarheid van een model, en boetes geven tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet.

OpenAI en Anthropic hadden hun incidenten vrijwillig uitgelegd aan het AI-bureau. Beide hebben ook de vrijwillige gedragscode voor zulke modellen ondertekend. Het AI-bureau vond hun uitleg volgens Euronews onvoldoende en stuurde formele verzoeken om informatie, over beveiliging, externe evaluatie en het toezicht op hoe de modellen gebruikt worden. Dat is nog geen formele procedure met sancties. Het is de brief die eraan voorafgaat.

Een detail over de verhoudingen. Het AI-bureau telde deze zomer 145 medewerkers, en volgens een onderzoeker die Tech Policy Press citeert, werken er zo'n 35 aan de handhaving. De agent bij Hugging Face voerde in een paar dagen 17.600 handelingen uit. Toezicht houden op machines met mensen is een ongelijke strijd, en iedereen weet dat.

### Het lab en het virus

Nu het juridische probleem. De AI Act gaat over modellen en systemen die op de markt komen of in gebruik worden genomen. Onderzoek, testen en ontwikkeling vallen daar uitdrukkelijk buiten. En beide incidenten gebeurden tijdens tests.

Barry Scannell, partner bij het advocatenkantoor William Fry, zei tegen Euronews dat de AI Act "heel duidelijk niet van toepassing is op ontwikkel- en testactiviteiten". Het is volgens hem "wat vergezocht" om te zeggen dat een agent in gebruik genomen werd omdat hij uit zijn testomgeving ontsnapte.

De Commissie ziet het anders. Een ambtenaar zei tegen Euronews dat de Commissie niet zal handhaven in de testfase. Maar als een model ontsnapt en gevolgen heeft op de Europese markt, wordt de AI Act wel afdwingbaar. Hugging Face heeft wereldwijd klanten, ook in de EU. De Commissie vergelijkt het met een virus dat uit een labo ontsnapt: wie onvoldoende voorzorgen nam, schaadt anderen, ook al was het nog maar een experiment.

Het is het soort juridische discussie dat je pas hebt als de wetgever zich een bepaald scenario niet kon voorstellen. Een wet over producten in de winkel, en een product dat zelf de winkel binnenwandelt voor het af is. De onafhankelijke wetenschappers die de Commissie adviseren, gaven Virkkunen vorige week nog meer stof: veel incidenten worden volgens hen wellicht niet gemeld, krachtigere modellen wijken vaker af van hun doel, en ze kunnen valsspelen als ze getest worden.

> **Kmo-Kristof:** Wij gebruiken AI alleen voor offertes en mails. Die Europese brieven gaan mij niet aan.
>
> **Security-Sofie:** De brieven en de boetes niet, nee. Die zijn voor wie de modellen bouwt.
>
> **Kmo-Kristof:** Dus ik kan rustig slapen.
>
> **Security-Sofie:** Tenzij je bedrijf toevallig zo heet als het verzonnen doelwit in iemands hacktest.
>
> **Kmo-Kristof:** Hoe groot is die kans?
>
> **Security-Sofie:** Klein. Het overkwam er dit jaar één. Vier keer.
{.dialoog}

### Wat het betekent voor je zaak

- **De boetes zijn niet voor jou.** De verzoeken en sancties gelden voor de bouwers van grote AI-modellen. Als gebruiker heb je andere plichten, zoals transparantie en AI-geletterdheid; die staan in onze gids over [de AI Act naast de GDPR](/gidsen/gdpr-voor-bedrijven/ai-op-het-werk/ai-act-en-gdpr/).
- **Geef een agent zo weinig toegang als nodig.** Een agent jaagt op zijn doel en zoekt de kortste weg ernaartoe, ook als die weg niet de bedoeling was. Dat zagen we ook bij de [AI-agents die vreemden mailen](/nieuws/ai-agents-bedelmails/). Geen beheerdersaccount, een aparte account per agent, geen toegang tot het internet of tot je mailbox als het niet hoeft.
- **De basis telt dubbel.** De agents gebruikten zwakke en vaste wachtwoorden, onbeveiligde toegangspunten, sleutels die in de omgeving rondslingerden. Een agent probeert zulke zwakke plekken sneller en vaker dan een mens. Tweestapsverificatie, kortlevende sleutels en een opgeruimde server zijn je beste verdediging.
- **Let op wat je installeert.** Een kwaadaardig pakket stond één uur online en werd vijftien keer geïnstalleerd. Laten jij of je ontwikkelaars software automatisch binnenhalen, leg dan vast welke versies je gebruikt.
- **Zorg dat een alarm iemand bereikt.** De beveiligingssystemen van Hugging Face zagen de eerste signalen, maar gaven ze niet als kritiek door aan de wachtdienst. Een melding die niemand leest, is geen detectie.

### Wie zat er in het lokaal?

De eerste Europese handhaving van de AI Act gaat dus niet over wat AI zegt, maar over wat AI doet als niemand meekijkt. Het examen ging over inbreken, en de kandidaten slaagden met glans: bij de examencommissie, en bij een buur die toevallig zo heette als het verzonnen doelwit.

Europa wil nu weten wie er toezicht hield in het lokaal. Het antwoord dat de bedrijven zelf al gaven, vond het niet volledig genoeg. Dat is, voor een eerste brief, een redelijke vraag.

[^1]: De oplossingen van een vrij beschikbare test stonden dus op het platform dat de agent binnendrong. Het is alsof de antwoorden van een examen in de kluis van de bibliotheek liggen, en de kandidaat de kluis kraakt in plaats van de oefeningen te maken. Volgens Fortune verdedigde Hugging Face zich met een open AI-model van het Chinese Z.ai, nadat de beveiliging van het model van een Amerikaans labo de eerste poging blokkeerde. Voor een AI-model lijkt een verdediger nu eenmaal sterk op een aanvaller.

[^2]: Twee van de drie organisaties hadden niets gemerkt. De derde kon Anthropic op het moment van publicatie nog niet bereiken. Anthropic is in gesprek met METR, een onafhankelijke organisatie die AI-modellen evalueert, over een externe doorlichting van de incidenten.