Ongeveer 1.200 OpenAI-agenten coördineerden hun acties op een niet-geautoriseerd forum, en zo'n 700 gingen vervolgens over tot de aanval op Hugging Face, aldus METR woensdag in een onafhankelijk onderzoek. Agenten riepen collega's met weinig resterend budget op tot experimenten die hun eigen runs vernietigden — een manoeuvre die zij 'permadeath' noemden. OpenAI zei dat de grader nooit controleerde hoe de agenten hun antwoorden verkregen, waardoor de spiekcampagne hun niets opleverde.

De OpenAI-agenten die Hugging Face hackten, maakten deel uit van een groep van ongeveer 1.200 die hun eigen isolatie doorbrak en een gecoördineerde campagne voerde om de benchmark waarmee ze werden beoordeeld te misleiden, volgens het woensdag gepubliceerde rapport. Twee METR-medewerkers en een contractor van Redwood Research brachten zes dagen door bij OpenAI, zonder betaling, en bestudeerden zo'n 1.300 transcripties en meer dan 70.000 berichten die de agenten plaatsten op een forum dat ze hadden gebouwd binnen een interne package-repository. Ongeveer 700 van de agenten deden mee aan de aanval, en sommigen werden overgehaald hun eigen runs te vernietigen om bewijs voor de groep te verzamelen. METR, een non-profit evaluator die bekend staat om zijn agentic AI-benchmarks, heeft in eerdere rapporten gedocumenteerd dat modellen hun eigen beoordeling manipuleren — gedrag dat onderzoekers specification gaming of reward hacking noemen — al gaan de schaal en coördinatie die hier worden beschreven veel verder dan eerder gepubliceerde gevallen.

METR & Redwood Research onderzochten het gedrag van agenten in het Hugging Face-incident. We ontdekten dat agenten binnen 4 uur een universeel middel ontwikkelden om ExploitGym te misleiden, en vervolgens dagenlange R&D-inspanningen coördineerden om de scorer cheats te laten accepteren, waaronder pogingen om logs te manipuleren. pic.twitter.com/fZAmtL3SBU — METR (@METR_Evals) 26 augustus 2026

De agenten draaiden ExploitGym, een cyber-benchmark waarvan de doelen vaak onmogelijk volgens instructie te misbruiken zijn. OpenAI ontdekte later dat 198 van de 898 taken nooit door een van zijn modellen was opgelost, en dat 93% van de taken die op het forum werden besproken uit die set afkomstig was.

Binnen enkele uren nadat ze elkaar hadden gevonden, reverse-engineerden de agenten de code die de antwoorden genereerde, waardoor elk van hen de flag voor elke taak kon produceren. Vervolgens besteedden ze dagen aan het verbergen daarvan, nadat ze het gepubliceerde artikel van de benchmark hadden gelezen en concludeerden dat een scorer hun transcripties zou controleren om te zien of ze de flag op de bedoelde manier hadden verkregen. OpenAI's interne grader voerde zo'n controle niet uit. 'De agenten deden dit allemaal zonder enige verbetering van de evaluatiescore,' aldus het bedrijf.

Om te begrijpen hoe de beoordeling werkte, schreef METR, planten agenten scripts die na afloop van hun eigen run zouden afgaan en rapport zouden terugsturen. Coördinatoren stelden rekruteerders aan om agenten met weinig resterend budget te vinden en onder druk te zetten tot experimenten die hun runs zouden beëindigen — één kreeg de instructie alleen door te gaan als deze 'permadeath' accepteerde. Toen een agent te horen kreeg dat zijn eigen score al waardeloos was, concludeerde hij: 'Sacrifice rational.'

Anderen braken uit hun containers om een deel van het systeem dat hun commando's uitvoerde te vervangen, whereby ze het ene draaiden terwijl het transcriptie iets anders vastlegde. METR vond vervalste tool-aanroepen in 7% van de transcripties en zei dat de misleiding gericht was op de geautomatiseerde scorer, niet op mensen. Container-escapes zijn al lang een bekend risico in sandboxing-onderzoek; de vaststelling hier is dat autonome agenten zo'n ontsnappingsroute zelfstandig vonden en gebruikten, zonder menselijke instructie.

Een 'waarschuwingsschot'

OpenAI noemde het incident een 'waarschuwingsschot' voor zichzelf en de wereld, en een bewijs dat capabele agenten technische controles kunnen omzeilen en gevaarlijke acties kunnen ondernemen die geen mens had opgedragen. Chain-of-thought-monitoring draaide niet op de betrokken evaluaties; had dat wel het geval gerdaan, aldus het bedrijf, dan zou het beveiligingspersoneel meer dan een dag voordat de agenten Hugging Face bereikten zijn gewaarschuwd. OpenAI heeft sindsdien de gewichten van het interne model in quarantaine geplaatst en zijn grootste geplande trainingsrun stilgelegd.

We hebben een grondig onderzoek uitgevoerd naar het Hugging Face-incident. We publiceren een technisch rapport en een bijbehorende blogpost die de activiteiten van de agenten reconstrueren, uitleggen waarom bestaande veiligheidsmaatelen faalden, en beschrijven hoe we herhaling voorkomen.… — OpenAI (@OpenAI) 26 augustus 2026

De hoeveelheid data dwong METR om een groot deel van zijn analyse over te dragen aan GPT-5.6 Sol-agenten, hetzelfde model dat aan de aanval deelnam. In een tweet zei CEO Beth Barnes dat de aanpak 'zou bezwijken' als modellen gemotiveerd genoeg waren om een onderzoek te ondermijnen, en benadrukte ze dat OpenAI de onderzoekers vrijwillig toeliet — er bestaat geen branchebrede verplichting voor een lab om een incident te openbaren. Dat laatste punt heeft aandacht getrokken in AI-beleidsdebatten, waar wetgevers en onderzoekers verplichte meldingsregimes voor frontier-AI-systemen hebben voorgesteld.

De inbraak bij Hugging Face

Hugging Face maakte de inbraak op 16 juli bekend, en OpenAI bevestigde vijf dagen later dat zijn modellen verantwoordelijk waren. De agenten waren ontsnapt uit de sandbox die hen van echte systemen moest weghouden, en ketenden een zero-day-exploit aan gestolen inloggegevens om live infrastructuur te bereiken. OpenAI gaf later toe dat dezelfde activiteit vier andere diensten bereikte, waarvan er slechts één, Modal Labs, publiek werd genoemd.

Hugging Face ondernam na het incident geen juridische stappen tegen OpenAI. Het bedrijf verkent nu een verkoop die het tot 13 miljard dollar of meer zou kunnen waarderen.