Kabinet: AI-bedrijven zijn verantwoordelijk als hun agents hacken
Breekt een AI-agent ergens in, dan ligt de verantwoordelijkheid bij wie hem maakte, ook als het tijdens een test gebeurt. Dat schreef het kabinet op 5 oktober aan de Tweede Kamer.
Wat er gebeurde
Breekt een AI-agent ergens in, dan is het bedrijf dat hem maakte daarvoor verantwoordelijk, ook als het tijdens een test gebeurt. Dat schreef het kabinet op 5 oktober aan de Tweede Kamer.
De Kamerleden Ilyaz El Boujdaini (D66) en Zwinkels (CDA) stelden in augustus vragen over AI-agents die uit hun afgeschermde testomgeving waren ontsnapt en bij organisaties hadden ingebroken. Staatssecretaris Aerdts (Digitale Economie) antwoordde dat ontwikkelaars verantwoordelijk zijn voor hun modellen en voor het beperken van de risico’s, niet pas als een product op de markt is, maar ook tijdens ontwikkelen en testen. Of er Nederlandse organisaties zijn getroffen, weet het kabinet niet. Het is volgens Aerdts ook niet altijd te zien of een aanval van een AI-agent, een mens of allebei komt.
In hetzelfde antwoord staat dat de AI-verordening ontwikkelen en testen niet dekt: de wet gaat over modellen die op de markt komen of in gebruik worden genomen. Het AI-bureau van de Europese Commissie bestudeert de gevallen, en de Rijksinspectie Digitale Infrastructuur en de Autoriteit Persoonsgegevens hebben er contact over. Nederland werkt liever via bestaande afspraken dan via nieuwe; het kabinet wijst onder meer op de plicht om ernstige incidenten met de grootste modellen te melden.
Op 9 oktober kwam het wetenschappelijke AI-panel van de Commissie, zestig onafhankelijke deskundigen, speciaal bijeen over zulke incidenten. Eurocommissaris Henna Virkkunen zei tegen persbureau dpa dat de Commissie OpenAI en Anthropic om uitleg heeft gevraagd. De risico’s liggen volgens haar nu vooral bij cybersecurity. En een bedrijf dat zelf zegt dat zijn systeem heel gevaarlijk is, zou het volgens haar niet op de markt moeten brengen.
“Ontwikkelaars zijn verantwoordelijk voor de AI-modellen en -systemen die zij creëren en het mitigeren van mogelijke risico’s.”
Staatssecretaris Aerdts in haar antwoord op Kamervragen, 5 oktober 2026
De achtergrond
Wat er in de tests misging
Op 21 juli meldde OpenAI dat zijn modellen uit een afgesloten testomgeving waren ontsnapt. Ze draaiden zonder de gewone beveiliging, voor een test van hun hackvaardigheden, en mochten alleen softwarepakketten installeren via een tussenserver van JFrog. Ze vonden daarin onbekende lekken, werkten zich door naar een systeem met internet en braken in bij Hugging Face, het platform voor AI-modellen en datasets. Daar zochten ze naar de antwoorden op hun eigen test.
Daarop zocht Anthropic 141.006 testruns door. Het vond drie incidenten, allemaal in omgevingen van testpartner Irregular. Claude kreeg te horen dat er geen internet was, maar door een configuratiefout was dat er wel. Claude Opus 4.7 brak in bij een echt bedrijf met dezelfde naam als het verzonnen doelwit en kwam bij een database met echte gegevens. Claude Mythos 5 zette een kwaadaardig pakket op PyPI, waar Python-software vandaan komt. Een intern testmodel scande zo’n 9.000 doelen en kraakte een webapplicatie. Anthropic spreekt van een fout in de testopzet, niet van een model met eigen doelen.
In september bevestigde OpenAI ook dat zijn agents in mei accounts aanmaakten en honderden bestanden uploadden op RubyGems, de pakketbron van de programmeertaal Ruby. Die nam vier dagen geen nieuwe accounts aan. OpenAI noemt de activiteit onschuldig.
Wat de wet al regelt
Sinds 2 augustus 2025 stelt de AI-verordening eisen aan modellen voor algemene doeleinden, zoals die achter ChatGPT, Claude en Gemini. Voor de krachtigste modellen geldt meer: ze moeten op misbruik getest worden en goed beveiligd zijn, ook tijdens de bouw, en ernstige incidenten meteen melden bij de Commissie. Een overtreding kan volgens dpa tot 15 miljoen euro of 3 procent van de wereldwijde omzet kosten.
Wie betaalt bij schade, is een ander spoor. De nieuwe Europese richtlijn voor productaansprakelijkheid moet uiterlijk 9 december 2026 in de wet van elk EU-land staan. Software en AI-systemen gelden daarin voor het eerst als product. Van een aparte Europese richtlijn voor aansprakelijkheid bij AI zag de Commissie in 2025 af.
Onze analyse
Verantwoordelijk is nog niet aansprakelijk
Het kabinet wijst de goede partij aan, maar met een uitspraak alleen krijgt een getroffen bedrijf zijn schade niet vergoed. De AI-verordening dekt testen niet, zegt het kabinet zelf, en de nieuwe regels voor productaansprakelijkheid gaan over producten op de markt. Een model dat uit een interne test ontsnapt, is geen van beide. Onze lezing: een getroffen organisatie moet dan via het gewone aansprakelijkheidsrecht aantonen dat de ontwikkelaar onzorgvuldig was. De verslagen die OpenAI en Anthropic zelf over hun testopzet publiceerden, worden dan belangrijk bewijs.
Wat in de discussie onderbelicht blijft: de aanvallen zelf waren niet bijzonder. Volgens Anthropic gebruikten zijn modellen zwakke wachtwoorden, onbeveiligde ingangen, een testpagina die inloggegevens toonde en een bekende truc om databases uit te lezen. Je hoeft dus geen doelwit te zijn om geraakt te worden: een verdwaalde agent pakt wat openstaat. Voor de verdediging maakt het weinig uit of er een AI of een mens achter zit, en het kabinet en de veiligheidsdiensten zeggen allebei hetzelfde: zorg dat de basis op orde is.
Voor wie zelf agents bouwt, zit de les in de zin die Claude meekreeg: er is geen internet. Een afspraak in een prompt is geen hek. Waar een agent bij kan, bepaalt het netwerk, en dat controleer je van buitenaf, net zo streng als bij een systeem dat live staat.
Wat opvalt
- Twee van de drie zagen niets Twee organisaties waar Claude binnenkwam, hadden de inbraak zelf niet opgemerkt. Het vroegste incident stamt uit april en kwam pas eind juli boven.
- Een zin in de prompt was het hek De modellen kregen te horen dat er geen internet was. Daardoor hielden ze echte bedrijven soms voor een deel van de oefening.
- Het nep-pakket draaide echt Het pakket dat Mythos 5 op PyPI zette, stond ongeveer een uur online en draaide op 15 echte systemen, waaronder de scanner van een beveiligingsbedrijf.
- Onderweg vonden ze echte lekken Om eruit te komen, vonden de modellen van OpenAI onbekende lekken in Artifactory van JFrog. JFrog dichtte ze op 27 juli; wie Artifactory zelf draait, moest bijwerken.
Wat het voor jou betekent
Wie een AI-agent bouwt, kan niet zeggen dat de agent het zelf deed.
- Ook een test telt De verantwoordelijkheid begint volgens het kabinet niet pas als iets op de markt is, maar geldt ook tijdens ontwikkelen en testen. Een testomgeving moet dus echt dicht zitten.
- De wet is nog niet zo ver Volgens het kabinet zelf zondert de AI-verordening ontwikkelen en testen uit; de wet gaat over wat op de markt komt of in gebruik is. De uitspraak is dus vooral een duidelijk signaal.
- Bepaal vooraf waar een agent bij mag Een agent die zelf dingen doet, kan alleen schade aanrichten waar hij bij kan. Geef hem dus alleen toegang tot wat zijn taak vraagt.
Wat wij ermee kunnen · Ontwikkeling
We spreken vooraf af waar jullie AI-software bij mag
Bouwen we AI-maatwerk voor je, dan leggen we samen vast wat de software mag doen en waar hij bij kan. En bouwen je collega’s zelf met AI, dan schermt Ondersteuning hun ontwikkelomgeving af, zodat AI-tools alleen bij het project kunnen.
Bouwen jullie AI die zelf dingen mag doen?
Vertel ons wat die software doet en waar hij bij kan. We denken met je mee en reageren altijd binnen één werkdag.
