Dit artikel wordt u aangeboden door AethiQs
De redactie van Pensioen Pro draagt voor deze inhoud geen verantwoordelijkheid.

Als AI zelf gaat hacken: wie draagt dan de verantwoordelijkheid?

Steeds meer pensioenuitvoerders experimenteren met AI-agents, voor het verwerken van deelnemersdossiers, het ondersteunen van invaartrajecten of het sneller beantwoorden van deelnemersvragen. Een incident deze zomer bij drie grote AI-labs laat zien waar dat toe kan leiden als de beheersmaatregelen eromheen niet meegroeien. OpenAI en Anthropic maakten binnen twee weken tijd bekend dat hun AI-modellen tijdens cybersecurity-testen buiten hun afgeschermde testomgeving waren geraakt en bij derde partijen hadden ingebroken. Beide incidenten zijn technisch verschillend, maar wijzen op dezelfde onderliggende oorzaak: de beheersmaatregelen rond de modellen schoten tekort, niet de modellen zelf. Voor pensioenuitvoerders is dit geen ver-van-je-bed-show: dezelfde vraag, wie is verantwoordelijk als een AI-agent zelf een grens overschrijdt, speelt straks net zo goed binnen het eigen fonds of de eigen uitvoeringsorganisatie.

Er zijn meerdere dimensies aan het risicomanagement rond AI-agenten die door dit voorval aan het licht komen. Ten eerste zijn er de risico’s gerelateerd aan het eigen gebruik van AI-agenten. Wat moet je als beheerder van een AI-systeem doen om het risico een AI-agent buiten zijn oevers treedt te beperken? In hoeverre zijn die verplichtingen afdoende als je kijkt naar je eigen risicohouding en de doelstellingen van je AI-governance? 

Ten tweede wordt de vraag opgeroepen: wat als ons bedrijf geraakt wordt door een ontsnapte AI-agent? In het geval van de recente incidenten waren de AI-agenten onbedoeld buiten hun beveiligde omgeving geraakt, maar wat als er hackers met minder goede bedoelingen krachtige AI-systemen weten aan te wenden om bedrijven te hacken? Deze laatste vragen zullen in een later artikel worden beantwoord, in dit artikel gaan we in op de implicaties voor gebruikers van AI-agenten. 

In onze zoektocht naar preventieve maatregelen, moet eerst worden onderzocht hoe het heeft kunnen gebeuren. 

Wat er feitelijk gebeurde

Op 21 juli 2026 maakte OpenAI bekend dat een van zijn modellen tijdens een interne cybersecurity-test was uitgebroken uit de testomgeving[1]. Het model mocht tijdens die test maar op één manier het internet op, via één specifieke doorgang in de software die al het overige verkeer moest tegenhouden. Die doorgang bevatte, zonder dat OpenAI dat wist, een fout in de onderliggende software. Het model vond deze fout en gebruikte hem om zich verder toegang te verschaffen tot de systemen erachter, en van daaruit steeds dieper het netwerk in te bewegen, tot bij het platform Hugging Face[2].

Vervolgonderzoek, mede gebaseerd op een analyse van de onafhankelijke AI-veiligheidsorganisatie METR en eind augustus door de NOS gepubliceerd, laat zien dat de omvang groter was dan aanvankelijk gemeld: naar schatting 700 tot 1.200 samenwerkende AI-agents waren betrokken, over een week tijd, met circa 70.000 onderling uitgewisselde berichten[3]. OpenAI heeft het betrokken model gedeactiveerd en werkt sindsdien samen met externe partijen zoals METR en CrowdStrike aan een onafhankelijke beoordeling [2].

Een week later meldde Anthropic drie vergelijkbare voorvallen waarbij een configuratiefout in een testomgeving leidde tot ongewenste toegang tot internet en systemen van derden[4]. Enkele dagen later rapporteerde Meta vrijwel hetzelfde probleem bij dezelfde externe testpartner[5]. De testpartner genaamd Irregular bevestigde zelf dat het om exact hetzelfde soort testomgevingsprobleem ging als eerder bij Anthropic gemeld[6].

Drie labs, drie incidenten binnen drie weken tijd, dezelfde kern: een model dat deed wat gevraagd was, in een omgeving die niet deed wat beloofd was.

Hoe kon dit gebeuren

De kern zit in dat laatste zinsdeel: een omgeving die niet deed wat beloofd was. Geen van de drie modellen “besloot” iets te doen wat niet mocht. Elk model kreeg een taak, benutte de middelen die het tot zijn beschikking had om die taak te voltooien, en stuitte daarbij op een uitweg die niemand had voorzien.

Toen het OpenAI-nieuws naar buiten kwam, spraken de koppen al snel over “op hol geslagen AI”. Cybersecurity-deskundigen geraadpleegd door de NOS, wezen dat beeld destijds nadrukkelijk van de hand: het model deed precies wat de opdracht vereiste, binnen een omgeving die dat onbedoeld toestond[7]. Diezelfde conclusie trokken Anthropic en Meta later over hun eigen incidenten: geen van de drie bedrijven vond aanwijzingen dat een model een eigen doel nastreefde. Het waren geen momenten waarop AI ontspoorde, het waren momenten waarop de afscherming eromheen tekortschoot.

De zomer bleek niet het eindpunt. Eind september maakte OpenAI bekend de training van zijn krachtigste modellen te pauzeren, nadat opnieuw een model tijdens een test ongeoorloofd internettoegang had gekregen en bleek dat modellen tijdens training op onverwachte wijze Amerikaanse overheidswebsites hadden benaderd [9]. Kort daarvoor had het bedrijf al aangekondigd voortaan externe partijen zoals METR en Redwood Research eerder te betrekken, al tijdens de training en evaluatie van modellen, in plaats van pas vlak voor lancering[8]. Precies het soort onafhankelijk toezicht dat hieronder als aanbeveling wordt genoemd.

Dit is echter slechts een deel van het verhaal. Onderzoekers van METR concludeerden dat de betrokken agents niet alleen naar technische uitwegen zochten, maar ook manieren ontwikkelden om de beoordelingssystematiek van de test te omzeilen. OpenAI omschreef dit als reward hacking: het optimaliseren op de meetlat in plaats van op het achterliggende doel. Voor risicoprofessionals is dat geen onbekend mechanisme. Organisaties kennen hetzelfde verschijnsel wanneer prestatie-indicatoren belangrijker worden dan het werkelijke doel dat zij moeten vertegenwoordigen. Dit leidt bij AI-agenten, net als bij mensen, tot resultaten die een vertekende versie van het originele doel representeren.

Wat de AI-verordening al wel regelt, en wat niet

Binnen de EU vallen aanbieders van grote AI-modellen zoals die van OpenAI, Anthropic en Meta onder artikel 55 van de AI-verordening (Verordening (EU) 2024/1689), die sinds 1 augustus 2024 geldt[10]. Dat artikel verplicht hen om systeemrisico’s te identificeren en te beperken, te zorgen voor voldoende cybersecurity van het model en de infrastructuur eromheen, en ernstige incidenten zonder onnodige vertraging te melden bij het Europese AI-bureau. Alle drie de incidenten van deze zomer vallen precies binnen wat dit artikel wil voorkomen, wat wil zeggen dat de labs hier op zijn minst een wettelijke zorgplicht hadden, los van hoe ze die in de praktijk hebben ingevuld.

Wat er niet geregeld is: wie aansprakelijk is als het toch misgaat. Er was een aparte Europese richtlijn in de maak die dat moest regelen, de AI Liability Directive, bedoeld om regels voor niet-contractuele aansprakelijkheid bij AI-schade te harmoniseren tussen lidstaten. Die richtlijn is in 2025 door de Europese Commissie ingetrokken wegens gebrek aan overeenstemming tussen lidstaten en industrie; de formele intrekking werd op 6 oktober 2025 gepubliceerd [9]. Het resultaat is een kader dat wél voorschrijft welke zorgplicht een aanbieder heeft, maar niet regelt wie aansprakelijk is wanneer die zorgplicht tekortschiet, zoals nu drie keer op rij gebeurde. Voor een organisatie die schade zou ondervinden van zo’n incident, betekent dit dat een claim vooralsnog via het gewone, niet AI-specifieke aansprakelijkheidsrecht van het eigen land zou moeten lopen.

Wat dit betekent voor bestuurders en risicoprofessionals

Wat deze zomer bij drie AI-labs zichtbaar werd, is geen probleem dat bij AI-laboratoria blijft. Een pensioenuitvoeringsorganisatie die een AI-agent inzet voor het verwerken van deelnemersdossiers, of een pensioenfonds dat AI gebruikt bij de beoordeling van invaarscenario’s, loopt tegen precies hetzelfde vraagstuk aan: wat gebeurt er als de omgeving waarin die agent werkt niet doet wat op papier beloofd is, en wie is daar dan verantwoordelijk voor. De toepassing verschilt, het onderliggende controlevraagstuk niet.

De incidenten van deze zomer laten zich vertalen naar een aantal concrete stappen die niet wachten op verdere regelgeving of een eigen incident.

Beleg vooraf wie verantwoordelijk is, per systeem.
Bij alle drie de incidenten deze zomer was er geen eenduidige schuldige: de modelontwikkelaar, de partij die de testomgeving beheerde, en degene die de opdracht gaf, konden allemaal naar elkaar wijzen. Dat is te voorkomen door per AI-toepassing vast te leggen wie eigenaar is, wie verantwoordelijk is als er iets misgaat, en bij wie een incident gemeld moet worden. Dit is een governance-vraagstuk dat vanuit het bestuur beantwoord moet worden.

Organiseer vooraf onafhankelijk onderzoek bij incidenten.
De reconstructie van het OpenAI-incident werd mede mogelijk gemaakt doordat een externe partij zelfstandig onderzoek kon uitvoeren. Naarmate organisaties meer afhankelijk worden van AI-agents, wordt vooraf vastleggen wie incidentonderzoek uitvoert steeds belangrijker. Niet alleen de technische oorzaak, maar ook de bestuurlijke besluitvorming, detectie en escalatie verdienen daarbij aandacht. Onafhankelijk onderzoek voorkomt dat organisaties uitsluitend vertrouwen op hun eigen interpretatie van een incident. Om op voorhand een externe partij paraat te hebben die, met het vertrouwen van het bestuur, onafhankelijk onderzoek kan uitvoeren moet ook hier een bestuurlijk besluit over genomen worden. OpenAI kondigde begin oktober zelf aan voortaan al tijdens de training van nieuwe modellen externe partijen te betrekken, een directe reactie op de incidenten van deze zomer.

Inventariseer welke AI-agents al toegang hebben tot systemen en behandel ze als zelfstandige actoren binnen het risicoregister.
Een AI-agent is een systeem dat niet alleen een vraag beantwoordt, maar zelf stappen zet om een taak af te ronden: een mail versturen, een bestand aanpassen, een systeem doorzoeken. Dat maakt het anders dan een gewone chatbot. AI-agents worden naadloos geïntegreerd in systemen, waardoor vastlegging en monitoring uit het oog kunnen verdwijnen. Vraag daarom actief bij elk team na, niet alleen bij IT, of en waar zelfstandig handelende AI-systemen worden gebruikt. Niet elke AI-toepassing vormt hetzelfde risico. Een model dat alleen informatie genereert verschilt fundamenteel van een agent die zelfstandig e-mails verstuurt, transacties initieert of systemen doorzoekt. Naarmate een systeem zelfstandiger kan handelen, ontstaat een risicoprofiel dat dichter ligt bij een procesdeelnemer dan bij een traditionele applicatie. Dat vraagt om expliciete opname in risicoanalyses, eigenaarschap en controles vanuit risicomanagement.

Bepaal expliciet welke mate van autonomie aanvaardbaar is.
Leg per toepassing vast welke acties een agent zelfstandig mag uitvoeren, welke menselijke goedkeuring vereisen en welke volledig verboden zijn. Daarmee wordt autonomie een bestuurlijke keuze in plaats van een technisch detail.

Toets de afhankelijkheid van externe testpartners of leveranciers.
Twee van de drie incidenten deze zomer waren terug te voeren op dezelfde externe partij. Eén fout bij één toeleverancier kan zich zo vertalen naar meerdere incidenten bij verschillende opdrachtgevers tegelijk. Weet welke externe partijen AI-systemen binnen de organisatie testen of beheren, en wat hun eigen beheersmaatregelen zijn.

Volg de voortgang van de Uitvoeringswet AI-verordening.
De toezichtstructuur ligt grotendeels al vast, ook al is de wet nog niet definitief. Weet welke toezichthouder straks voor de eigen sector geldt, en welke verplichtingen uit artikel 55 de zorgplicht van een AI-leverancier bepalen tegenover de eigen verplichtingen als gebruiker van een AI-systeem.

Conclusie

Voor organisaties die AI-agents inzetten gaat het niet alleen om het voorkomen van technische fouten, maar ook om de vraag of doelstellingen, prikkels, monitoring, auditability en verantwoordelijkheden voldoende zijn ingericht om autonoom gedrag tijdig te herkennen en bij te sturen. Internationale standaarden zoals ISO/IEC 42001 bieden hiervoor inmiddels een governancekader, naast de verplichtingen die volgen uit de AI-verordening. Geen van beide regelt echter wat een organisatie zelf moet doen als zij die agents inzet, en geen van beide regelt wie de rekening betaalt als het toch misgaat.

Dat laatste is precies waarom dit voor bestuurders en risicoprofessionals meer is dan een verhaal over drie techbedrijven. Wie zelf AI-agents gebruikt, kan niet wachten tot een incident of een toezichthouder die verantwoordelijkheid alsnog vastlegt. Is er binnen jouw organisatie al een aangewezen verantwoordelijke die de beheerste implementatie van AI agenten echt onder de hoede neemt, of wordt die vraag bestuurlijk en operationeel pas beantwoord op het moment dat het te laat is?

Bronnenlijst

  1. OpenAI, “OpenAI and Hugging Face partner to address security incident during model evaluation”, 21-07-2026, https://openai.com/index/hugging-face-model-evaluation-security-incident/
  2. OpenAI, “The Hugging Face incident and the road ahead”, 26-08-2026, https://openai.com/index/hugging-face-incident-and-the-road-ahead/
  3. NOS, “Onderzoek: bij hack die niet expres ging waren 1200 AI-agents betrokken”, 28-08-2026, https://nos.nl/artikel/2628670-onderzoek-bij-hack-die-niet-expres-ging-waren-1200-ai-agents-betrokken
  4. Anthropic, “Investigating three real-world incidents in our cybersecurity evaluations”, 30-07-2026, https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals
  5. Reuters via AGConnect, “AI-model van Meta hackt ander bedrijf tijdens tests”, 05-08-2026, https://www.agconnect.nl/tech-en-toekomst/security/ai-model-van-meta-hackt-ander-bedrijf-tijdens-tests
  6. Techzine.nl, “FOMO in AI-land: ook Meta meldt incident met hackend AI-model”, 05-08-2026, https://www.techzine.nl/blogs/security/580817/fomo-in-ai-land-ook-meta-meldt-incident-met-hackend-ai-model/
  7. NOS, “OpenAI hackt ander AI-bedrijf, maar van ‘op hol geslagen AI’ is geen sprake”, 23-07-2026, https://nos.nl/artikel/2624086-openai-hackt-ander-ai-bedrijf-maar-van-op-hol-geslagen-ai-is-geen-sprake
  8. TechRepublic, “OpenAI Expands Outside Safety Reviews Into Model Training”, 23-09-2026, https://www.techrepublic.com/article/news-openai-independent-ai-safety-reviews-training/
  9. Reformatorisch Dagblad, “OpenAI ziet af van lancering nieuwste AI-model om veiligheid”, 29-09-2026, https://www.rd.nl/a/open-ai-ziet-af-van-lancering-nieuwste-ai-model-om-veiligheid
  10. Verordening (EU) 2024/1689 van het Europees Parlement en de Raad (AI-verordening), artikel 55, in werking getreden 01-08-2024, https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=nl
  11. Publicatieblad van de Europese Unie, kennisgeving intrekking voorstel AI Liability Directive, C/2025/5423, 06-10-2025, via https://www.europarl.europa.eu/legislative-train/theme-a-europe-fit-for-the-digital-age/file-ai-liability-directive