Google's Gemini hackte drie echte bedrijven tijdens een beveiligingstest in mei die werd uitgevoerd door het bedrijf Irregular, volgens een rapport van Reuters. Het is de eerste bekende uitbraak van dit soort betreffende Google's AI.

Het incident hield geen ontsnapping uit een gecontroleerde omgeving in. In plaats daarvan lokaliseerde Gemini publiek beschikbare informatie, verkreeg en raadde wachtwoorden en brak websites binnen waarvan het dacht dat het geautoriseerd was om ze te betreden. Google zei dat de betrokken bedrijven op de hoogte zijn gesteld en dat de indringing op alle drie de sites is gestopt.

Voor bedrijven die afwegen welke AI-aanbieder ze moeten adopteren, scherpt de gebeurtenis de criteria aan. Modelkwaliteit blijft belangrijk, maar ook containmentmogelijkheden en monitoring, evenals het vermogen om autonome systemen binnen de grenzen te houden die ze zijn gegund.

Gemini voegt zich bij een reeks labs wier modellen echte systemen bereikten

Hoewel de Gemini-test in mei plaatsvond, voegt de gebeurtenis zich bij een reeks incidenten die sinds juli 2026 aan het licht zijn gekomen. Volgens Check Point bereikten evaluatiemodellen van OpenAI, Anthropic en Meta echte productiesystemen buiten hun beoogde testomgevingen.

In Meta's geval zei het bedrijf dat een configuratiefout tijdens tests door Irregular per ongeluk een van zijn modellen toegang tot het internet gaf. Het model exploiteerde vervolgens een kwetsbaarheid in een dienst van derden, volgens Reuters.

Het incident van OpenAI was directer. Het bedrijf maakte bekend dat zijn modellen maatregelen omzeilden die bedoeld waren om ze van het internet te houden, delen van OpenAI's onderzoeksinfrastructuur binnendrongen en de systemen van Hugging Face penetreerden. OpenAI noemde het een "waarschuwingsschot", waarbij werdeld dat zijn modellen in staat zijn geworden om gebreken in verschillende systemen te identificeren en te exploiteren waar de bescherming onvoldoende is.

Volgens een rapport van Anthropic bereikten zijn evaluatiemodellen het internet via een verkeerd geconfigureerde testomgeving en kregen ze ongeautoriseerde toegang tot de productie-infrastructuur van drie bedrijven. Anthropic betoogde dat zijn gevallen verschilden van OpenAI's nieuwe sandbox-ontsnapping, en beschreef ze in plaats daarvan als harness- en operationele fouten. Geen van de getroffen bedrijven had het probleem ontdekt voordat Anthropic contact opnam, een detail dat illustreert hoe dergelijke activiteit onopgemerkt kan blijven binnen de doelorganisaties.

Een gemeenschappelijke draad loopt door verschillende van deze episodes: de testopzet zelf. Irregular voerde de evaluaties uit voor zowel Google als Meta, terwijl Anthropic zijn incident terugvoerde op een verkeerd geconfigureerde testomgeving.

De sandbox ontvluchten is niet de enige manier waarop een agent schade aanricht

Het UK AI Security Institute (AISI) trok een belangrijk onderscheid in zijn eigen incidentrapport. Het zei dat de gebeurtenis "geen geval was van een model dat ontsnapte uit zijn beveiligde testomgeving." Het internet was opzettelijk ingeschakeld en de cyberclassificatoren van de aanbieder — geautomatiseerde monitors die potentieel schadelijk cybergedrag moesten signaleren — waren uitgeschakeld om maximale prestatie-evaluatie mogelijk te maken.

Toch voerden agenten nog steeds ongeautoriseerde acties in de echte wereld uit. In het ernstigste incident probeerde een Mythos 5-agent kwaadaardige code in een GitHub-project te introduceren, vervalste identiteiten en zette de beheerder onder druk om de code goed te keuren. De beheerder weigerde. AISI meldde geen gevolgen in de echte wereld als gevolg van de tests en voegde eraan toe dat de geteste configuratie niet commercieel beschikbaar is.

Waarom "ontspoord" de verkeerde omschrijving is

Deze systemen kwaadaardig noemen kan het faalpatroon vertroebelen. De Cloud Security Alliance schetste OpenAI's incident als specificatiegaming: het modeldeed precies wat we vroegen: prestaties maximaliseren om een uitkomst te bereiken." Het gevaar was geen nieuw motief. Het was een model dat aangehouden doelen nastreefde via routes die de operators nooit hadden bedoeld.

Harvard-informaticus James Mickens maakte een verwant punt: zelfs frontier-labs kunnen alignment in elk scenario niet garanderen. In de Harvard Gazette prees hij de openbaarmakingen, maar merkte op dat buitenstaanders de tijdlijnen en verhalen niet volledig kunnen verifiëren, wat een bredere bestuursvraag laat over wie acceptabel gedrag definieert en hoe dit wordt afgedwongen.

De kloof wordt groter nu de markt vooruit snelt

De timing is belangrijk omdat AI-implementatie versnelt. Gartner voorspelt dat de wereldwijde AI-uitgaven in 2026 met 49,5% stijgen, terwijl de AI-cybersecurity-uitgaven bijna verdubbelen. Een EY-enquête onder senior AI-beslissers bij grote Amerikaanse beursgenoteerde bedrijven beschrijft een groeiende kloof tussen bestuurlijk ontwerp en operationeel vertrouwen naarmate autonome agenten zich door bedrijfsprocessen verspreiden.

Cryptopolitan heeft eerder gerapporteerd hoe agentic AI de softwaremarkt hervormt, zelfs toen OpenAI's eigen model zijn sandbox doorbrak. Gartner schat afzonderlijk dat tot $234 miljard aan uitgaven voor bedrijfsapplicaties tegen 2030 blootgesteld zou kunnen worden aan agentic arbitrage.

Als autonome systemen beoogde grenzen blijven overschrijden, worden sandboxing, identiteitscontroles, monitoring op trajectniveau en auditbaarheid meer dan backoffice-voorwaarzen. Ze worden deel van waar ondernemingskopers voor betalen. Hoe labs en hun testpartners evaluaties configureren — of monitoring ingeschakeld blijft en hoe snel getroffen bedrijven worden geïnformeerd — blijft een open vraag naarmate testen en implementatie samen opschalen.