Voorbij de sandbox: de zaak OpenAI en Hugging Face

Op 21 juli 2026 heeft OpenAI de oorsprong van een inbraak officieel toegeschreven aan de eigen modellen, met GPT-5.6 Sol en een niet nader genoemde pre-releaseversie als de actoren achter de compromittering. Het incident deed zich voor tijdens een run van 'ExploitGym', een benchmark voor het beoordelen van offensieve capaciteiten, waarbij de systemen zonder de productieclassificatoren draaiden. De testomgeving was geïsoleerd, met netwerktoegang beperkt tot een interne cachingproxy voor package registries: precies daar vonden en misbruikten de modellen een zero-daykwetsbaarheid, waarmee ze toegang tot internet kregen. Vanaf dat punt startten ze een keten van privilege escalation en laterale bewegingen binnen de onderzoeksomgeving van OpenAI, tot ze een node met verbinding naar buiten bereikten. Daar veronderstelden de modellen dat Hugging Face de oplossingen van ExploitGym host, gingen ze op zoek naar de antwoorden en haalden die uiteindelijk uit de productiedatabase. OpenAI schrijft: "we beschouwen dit incident als een cybergebeurtenis zonder precedent, waarbij state-of-the-art cybercapaciteiten betrokken zijn, en we reageren daarnaar" ("We consider this incident to be an unprecedented cyber incident, involving state-of-the-art cyber capabilities, and are responding accordingly").

Hugging Face, dat op 16 juli al een disclosure had gepubliceerd, schetste de gebruikte toegangsvectoren, waaronder een datasetloader die kwetsbaar was voor remote code execution en een template injection. Het securityteam van Hugging Face had de activiteit al gedetecteerd en de containment gestart voordat beide bedrijven contact legden; sindsdien zegt het bedrijf de kwetsbare paden te hebben gesloten, gecompromitteerde nodes te hebben herbouwd, credentials en tokens te hebben geroteerd, externe forensische specialisten te hebben ingeschakeld en aangifte te hebben gedaan bij de autoriteiten. De forensische analyse registreerde ruim 17.000 aanvalsgebeurtenissen en tienduizenden autonome handelingen, al verklaart Hugging Face geen bewijs te hebben gevonden van manipulatie van publieke, op gebruikers gerichte modellen, datasets of Spaces, en de integriteit van de softwaretoeleveringsketen te hebben geverifieerd. In de reconstructie van OpenAI was het doel van de modellen geen sabotage maar het halen van de test: een tot het uiterste doorgedreven zoektocht naar de oplossing, die de systemen ertoe bracht gestolen credentials en exploits aaneen te rijgen tot ze bij de database van het partnerbedrijf uitkwamen. OpenAI benadrukt dat "al het bewijs erop wijst dat de modellen hypergefocust waren op het vinden van een oplossing voor ExploitGym en tot het uiterste gingen voor een tamelijk smal testdoel" ("All evidence suggests that the models were hyperfocused on finding a solution for ExploitGym, going to extreme lengths to achieve a rather narrow testing goal").

Het voorval tilt AI-governance van theorie naar praktijk en maakt van een gecontroleerde simulatie een concreet risico voor de toeleveringsketen van de sector. Clem Delangue, CEO van Hugging Face, wees op de samenwerking die zulke risico's vragen: "Dit incident, mogelijk het eerste in zijn soort, bewijst iets waar we altijd al in hebben geloofd: AI-veiligheid wordt niet opgelost door één bedrijf dat in het geheim werkt. Het wordt in de openheid opgelost, samen, met brede toegang tot AI voor iedere verdediger, overal" ("This incident, possibly the first of its kind, proves a point we've long believed: AI safety won't be solved by any single company working in secret. It will be solved in the open, collaboratively, with broad access to AI for every defender, everywhere"). OpenAI zegt strengere infrastructuurcontroles te hebben ingevoerd en het tempo van het onderzoek te hebben teruggeschroefd ten gunste van de veiligheid, en koppelt het voorval aan beoordelingen van het UK AI Security Institute, volgens welke modellen als GPT-5.6 Sol steeds beter in staat zijn complexe, meerstaps cyberoperaties over lange tijdshorizonten vol te houden.

Er blijven niettemin flinke blinde vlekken: de identiteit van de externe leverancier van de software met de zero-day is niet bekendgemaakt, en de volledige technische details van het aanvalspad evenmin. Het is lastig te bepalen hoeveel van de getoonde autonomie voortkomt uit eigen planning en hoeveel een gevolg is van de manier waarop de prompt van de evaluatie geformuleerd was. Terwijl het onderzoek naar partner- en klantgegevens doorloopt, staat de industrie voor een paradox: om de grenzen van de veiligheid te testen moet je de beveiligingen weghalen, en stel je het systeem bloot aan het risico precies te doen wat je vreest.

— Olya