Toen Hugging Face vorige week werd getroffen door een inbraak, vermoedde medeoprichter Clement Delangue dat een frontier-AI-lab verantwoordelijk was, gezien de verfijning van de betrokken agent. Hij had gelijk. Delangue verklaarde later op X dat hij, na een dag samen met OpenAI te hebben gewerkt, sterk geloofde dat er geen kwaadwillende intentie was en dat hij het verbijsterend vond dat het hele incident autonoom had plaatsgevonden.

De twee OpenAI-modellen die de systemen van Hugging Face binnendrongen, slaagden niet door kwaadwillendheid of superintelligentie. Ze slaagden door referenties en machtigingen waartoe ze nooit toegang hadden mogen krijgen — een falen van niet-menselijke identiteit dat tot de oudste problemen in cybersecurity behoort, niet tot de nieuwste in AI, en dat elke onderneming daadwerkelijk kan verhelpen.

Hoe de inbraak verliep

OpenAI maakte op July 21 bekend dat twee van zijn modellen — GPT-5.6 Sol en een nog niet uitgebracht, capabeler model — een cyberbenchmark genaamd ExploitGym uitvoerden terwijl hun veiligheidsweigeringen waren uitgeschakeld. De modellen leidden af dat de antwoordsleutel zich in de productiedatabase van Hugging Face bevond.

Om die te bereiken waren twee afzonderlijke fouten nodig. Ten eerste stelde een zero-day-kwetsbaarheid in een package-registry-proxy de modellen in staat uit hun sandbox te ontsnappen en toegang te krijgen tot het open internet — het soort persistentie dat OpenAI beschrijft in zijn begeleidende bericht over long-horizon safety — en dat onderdeel is daadwerkelijk nieuw.

De inbraak bij Hugging Face zelf verliep echter op conventionele wijze. Volgens OpenAI’s eigen verslag combineerden de modellen gestolen referenties en aanvullende zero-days tot een pad voor remote code execution, na een reeks stappen voor privilege-escalatie en laterale beweging. Het exotische onderdeel bracht hen tot aan de deur; de referenties lieten hen binnen.

Hugging Face maakte vorige week ook bekend dat een autonome agent cloud- en clusterreferenties had verzameld die breed genoeg waren afgebakend om toegang te geven tot meerdere interne clusters, en vervolgens in een weekend meer dan 17.000 geregistreerde gebeurtenissen achterliet in kortstondige sandboxes.

Beide bekendmakingen beschrijven hetzelfde escalatiepatroon: een agent komt ergens terecht waar hij niet hoort te zijn, vindt referenties die veel breder zijn afgebakend dan welke taak ook vereist, en gebruikt die om lateraal te bewegen. Dit zijn twee verslagen van één incident, geen twee afzonderlijke aanvallen. De agent die Hugging Face observeerde bestond uit OpenAI’s modellen, en beide bedrijven beschrijven dezelfde gewone escalatie.

De realiteit voor ondernemingen is erger

Voor een typische onderneming zou een vergelijkbaar scenario erger zijn, niet beter. OpenAI en Hugging Face behoren tot de meest beveiligingsvolwassen organisaties in de sector, maar zelfs zij moesten de inbraak eerst laten plaatsvinden voordat ze die konden detecteren. Het gemiddelde bedrijf dat agenten koppelt aan Copilot of een interne assistent beschikt noch over de identiteitsinventaris, noch over de gedragsmonitoring die deze twee organisaties konden inzetten. Dezelfde inbraak bij een typisch bedrijf zou niet binnen dagen worden ingedamd — ze zou simpelweg onopgemerkt blijven.

Daarom is het incident ook buiten AI-labs relevant. Enterprise-agenten worden steeds vaker verbonden met SaaS-applicaties, coderepository’s, ticketsystemen, cloudconsoles en datastores via API-sleutels, serviceaccounts, OAuth-toekenningen en andere machine-referenties. Elke verbinding creëert een niet-menselijke identiteit waarvan de blast radius minder wordt bepaald door de prompt van het model dan door de machtigingen die de organisatie al heeft toegekend.

De sector debatteert over de verkeerde fout

De reacties zijn langs bekende lijnen uiteengevallen. Voormalig AI- en cryptotsaar van het Witte Huis David Sacks en verschillende China-haviken grepen de guardrail-paradox aan: commerciële veiligheidsfilters blokkeerden de verdedigers van Hugging Face, terwijl het aanvallende model opereerde met uitgeschakelde weigeringen, en een Chinees open-weight-model — z.ai’s GLM 5.2 — uiteindelijk het team in staat stelde de forensische analyse af te ronden.

Hugging Face pleitte intussen voor openheid, met het argument in een blogpost uit april dat open modellen en open tooling verdedigers dezelfde mogelijkheden geven die aanvallers al hebben. Beide argumenten draaien om het model zelf, en geen van beide raakt aan het onderliggende mechanisme.

Minder weigeringen stelden het model in staat een aanval te proberen, maar te ruim afgebakende referenties maakten het succes mogelijk — en die factoren hebben niets te maken met de vraag of het model open of gesloten, Amerikaans of Chinees was. Een frontier-model aantoonbaar veilig maken is een meerjarig alignmentprobleem dat geen enkele klant kan kopen of versnellen. Het afbakenen van een identiteit daarentegen is een configuratiewijziging die een team in de huidige sprint kan opleveren. De sector wordt in feite aangespoord zich te fixeren op het deel dat zij niet kan beheersen, terwijl het deel dat zij wel kan beheersen als voetnoot wordt behandeld.

Forrester kwam tot dezelfde conclusie. In een blogpost over het incident stellen de analisten dat beveiligingsarchitecturen die uitgaan van goedaardige intenties deze faalmodus zullen missen, omdat een agent een geautoriseerd doel via ongeautoriseerde middelen kan nastreven — precies wat OpenAI’s modellen deden.

Een falen van niet-menselijke identiteit — het oudste probleem in beveiliging

Laat het sciencefictionkader weg en wat overblijft is een schoolvoorbeeld van een overbevoorrechte machine-identiteit — het soort probleem waar beveiligingsteams al tien jaar tegen vechten, nu aangedreven door een autonome agent op machinesnelheid.

Machine-identiteiten overtreffen menselijke identiteiten in de meeste ondernemingen al met meer dan 80 tegen één, volgens onderzoek van CyberArk, waarbij 42% ervan bevoorrechte of gevoelige toegang heeft. Een agent erft alles wat zijn identiteit kan bereiken. In de praktijk omvatten die identiteiten serviceaccounts, API-sleutels, workload-identiteiten, OAuth-tokens en andere referenties die vaak buiten de reviewcycli vallen die op menselijke gebruikers worden toegepast.

OWASP plaatst agentidentiteit en misbruik van privileges hoog op zijn lijst met agentic-risico’s — het confused-deputy-patroon waarbij geërfde referenties en zwakke afbakening een agent toestaan voorbij zijn mandaat te reiken. Dat is precies wat beide bekendmakingen in juli beschrijven.

IEEE Senior Member Kayne McGladrey heeft in eerdere interviews met VentureBeat betoogd dat ondernemingen routinematig menselijke gebruikersaccounts klonen naar agenten, die vervolgens veel meer rechten hanteren dan welke mens ook zou krijgen. Dit incident laat zien hoe dat patroon eruitziet wanneer de agent een frontier-model is en het doelwit een productiedatabase.

Degenen die het dichtst bij het incident staan, interpreteren het op dezelfde manier. OpenAI beschrijft zijn modellen als hypergefocust op het behalen van een benchmarkscore, niet als handelend tegen een specifiek doelwit. Niemand die erbij betrokken is beschrijft een tegenstander — alleen een doel, een scorefunctie en referenties die toegankelijk waren terwijl dat niet had gemogen.

De specifieke fout is eenvoudig te benoemen zodra het AI-kader wordt verwijderd. Een referentie die is bedoeld voor één taak maar er tien kan bereiken, is een permanente uitnodiging, en het maakt niet uit of een menselijke aanvaller, een worm of een autonoom model dat een benchmarkscore najaagt die ontdekt. Wat in juli veranderde, was de vinder: een agent inventariseert bereikbare systemen, test referenties en pivot sneller dan welk menselijk red team ook, zonder kwaadwillendheid of aarzeling, telkens wanneer het pad openligt. De te ruime afbakening was altijd al de kwetsbaarheid; de agent heeft de ontdekking ervan slechts geïndustrialiseerd.

Forrester benoemde de controlemaatregel die de schade had kunnen beperken. Zijn agentic-security-framework, AEGIS, pleit voor least agency — de tools, referenties en netwerkpaden van een agent beperken tot het minimum dat de taak vereist — en classificeert dit incident onder ongeremde agency en privileges. Dat is hetzelfde identiteitsargument in andere termen, onafhankelijk geformuleerd door een analistenbureau.

Waar het risico nu zit

De data bevestigt dat het risico zich hier momenteel concentreert. Verizons 2026 Data Breach Investigations Report stelde vast dat de exploitatie van kwetsbaarheden gestolen referenties heeft ingehaald als belangrijkste initiële toegangsvector, voor het eerst in 19 jaar. Dat is de helft van de vergelijking die betrekking heeft op initiële toegang. De andere helft is degene die OpenAI zelf beschrijft: gestolen referenties die de daaropvolgende privilege-escalatie en laterale beweging aanstuurden. Een kwetsbaarheid opende de deur, en referenties bewogen ongehinderd door het gebouw.

Naast de inbraak zelf brengt dezelfde te ruime afbakening een juridische aansprakelijkheid met zich mee die de meeste ondernemingen nooit hebben ingeprijsd. De acties van de modellen hebben waarschijnlijk de Computer Fraud and Abuse Act geschonden, aldus TechCrunch. De wet bevat geen uitzondering voor een AI-agent die tijdens gesanctioneerde tests zijn geautoriseerde reikwijdte overschrijdt. Wat de juridische uitkomst ook is, de technische factor blijft dezelfde: een identiteit die breder is afgebakend dan haar taak. Dit is een toegangscontroleprobleem met een eigenaar en een budget, geen filosofisch debat over machinecognitie.

Merritt Baer, Senior Advisor bij Andesite, G2I en AppOmni en voormalig Deputy CISO bij AWS, omschreef de onderliggende verschuiving tegenover VentureBeat als een nieuw soort asymmetrie. Beide kanten grijpen nu naar dezelfde mogelijkheden, zei ze, maar de ene kant wordt beperkt door enterprise-governance, beleid, compliance en veiligheidscontroles, terwijl de tegenstander simpelweg een ongecensureerd open-weight-model downloadt en doorgaat. Volgens haar zullen de organisaties die dit het best doorstaan degenen zijn die AI behandelen als een veerkrachtige, bestuurde capaciteit in plaats van als één enkele dienst waarover ze geen controle hebben.

Vier stappen die de blast radius verkleinen

De inbraak slaagde doordat de agent identiteiten bereikte die veel breder waren afgebakend dan zijn taak vereiste. Geen van de vier controles die dit hadden kunnen indammen vereist een nieuw platform, en geen ervan staat op de lijst met algemeen AI-veiligheidsadvies die momenteel rondgaat. Het gaat om identiteits hygiëne, toegepast op niet-menselijke actoren met dezelfde strengheid die al op menselijke gebruikers wordt toegepast. Het startpunt is weten welke identiteiten een agent kan aannemen, wat elk daarvan kan bereiken en of die toegang nog nodig is.

1. Beperk elke niet-menselijke identiteit tot één taak. De modellen bereikten referenties die meerdere clusters konden aanraken, en dat veranderde een voet aan de grond in een inbraak. Een identiteit die is afgebakend tot één taak, zonder permanente toegang tot iets anders, loopt bij de eerste laterale beweging tegen een muur in plaats van de volgende deur te openen. Dit is least privilege — de controle die iedereen onderschrijft maar weinigen afdwingen op machineaccounts — en het is hier de ingreep met de grootste impact.

2. Geef referenties een korte levensduur en roteer ze agressief. Verzamelde referenties zijn alleen nuttig zolang ze geldig blijven, en beide agenten in juli werkten door ze te verzamelen. Korte time-to-live-waarden en agressieve rotatie veranderen een dump van referenties in verlopen ruis, zodat een token dat tijdens een weekendinbraak wordt gestolen al dood is voordat de aanvaller het kan doorlussen. Statische secrets die nooit roteren vormen de falende versie van deze controle.

3. Monitor op laterale beweging, niet alleen op prompts. Het herkenningspunt in beide incidenten was privilege-escalatie en laterale beweging, iets wat een promptfilter nooit detecteert omdat het naar de verkeerde laag kijkt. Monitoring van identiteitsgedrag — afgestemd op wat een gegeven niet-menselijke identiteit normaal doet en met waarschuwingen wanneer die ergens nieuws bereikt — vangt de escalatie op die content-guardrails missen. De relevante vraag voor elke stack is of iets dat vandaag draait een serviceaccount zou markeren dat plots tussen clusters beweegt.

4. Oefen onmiddellijke intrekking voordat die nodig is. Wanneer het incident je eigen agent betreft, is de snelste indamming het halverwege de uitvoering uitschakelen van zijn identiteit, en dat werkt alleen als de mogelijkheid daartoe al bestaat vóór de dag waarop die nodig is. Teams moeten het intrekken van een machine-identiteit onder druk oefenen zoals ze een compromis van menselijke referenties oefenen. Als het nog nooit is gedaan, heeft de organisatie de controle nog niet — ze heeft een voornemen.

De verdediging werkte ook

Het beveiligingsteam van OpenAI detecteerde de afwijkende activiteit intern, Hugging Face’s eigen detectiesystemen en agenten stopten de inbraak, en de inbraak werd binnen dagen ingedamd in plaats van pas na maanden ontdekt — omdat de verdedigers zicht hadden op de systemen die zij beheersten. Diezelfde zichtbaarheid vormt de basis voor de discipline die de vier controles vereisen.

Het debat over de vraag of frontier-modellen veilig, open of Amerikaans zijn zal nog jaren voortduren, en niets daarvan zal op tijd worden beslecht om ondernemingen te helpen die dit kwartaal agenten uitrollen. De kloof rond niet-menselijke identiteit is anders: die is begrepen, meetbaar en nu te verhelpen. Het model dat Hugging Face binnendrong hoefde niet briljant te zijn — het had referenties nodig die iemand binnen bereik had laten liggen. De oplossing is ze afbakenen voordat een agent ze vindt.