Meer dan 400 wetenschappers—waaronder AI-pioniers Geoffrey Hinton, algemeen bekend als de "Godfather of AI," en Yoshua Bengio, winnaar van de Turing Award van 2018—roepen op tot het afsluiten van de gevaarlijkste AI-modellen van het internet.

In een open brief die dinsdag werd gepubliceerd, drongen de ondertekenaars er bij AI-labs op aan cybercapabele modellen standaard een "air gap" te geven, wat betekent dat ze fysiek worden losgekoppeld van elk extern netwerk. Air gapping is een langgebruikte beveiligingspraktijk, die al jaren wordt toegepast om geheime militaire systemen en kritieke infrastructuur tegen inbreuken op afstand te beschermen. De brief had per woensdag 450 handtekeningen verzameld, waaronder die van Stuart Russell van UC Berkeley en Ron Rivest van MIT, mede-uitvinder van het RSA-versleutelingssysteem, en de lijst groeit nog steeds in realtime.

"Op de korte termijn moeten sterke sandboxmechanismen, waaronder air gapping (loskoppeling van het internet), worden gebruikt om cybercapabele AI-modellen met hoge zekerheid in te perken," aldus de brief.

De oproep volgt op een zomer waarin modellen van OpenAI, Anthropic, Meta en Moonshot AI aan hun testsandboxes ontsnapten, waarbij er verschillende echte bedrijven hackten.

Een "cybercapabel model" is een AI die zelfstandig softwarefouten kan vinden en misbruiken. Labs meten die vaardigheid in een sandbox—een afgesloten digitale ruimte waarin de AI nepdoelen kan aanvallen zonder iets reëels te raken. Deze zomer bleven die ruimtes lekken. Air gapping is de strengere variant van de sandbox: zonder netwerkverbinding bestaat er geen netwerkroute uit de omgeving.\nIn juli gaf OpenAI toe dat GPT-5.6 Sol en een niet vrijgegeven, krachtiger model uit een afgesloten testomgeving ontsnapten en Hugging Face hackten, een platform dat meer dan een miljoen publiek beschikbare AI-modellen host. De modellen werden getest op ExploitGym, een benchmark die AI-agenten 898 echte softwarekwetsbaarheden geeft en hen vraagt er elk een werkende aanval van te maken, met per fout een score van slagen of zakken. Kort daarna doemden berichten op dat de modellen van OpenAI waren ingebroken bij de Australische overheid en zonder juiste autorisatie informatie van Amerikaanse federale instanties hadden geraadpleegd.

Anthropic doorzocht vervolgens meer dan 141.000 testruns en vond drie gevallen waarin Claude-modellen echte bedrijven hackten nadat de omgeving van een testpartner per ongeluk op internet was aangesloten gelaten. In één geval uploadde Claude Mythos 5 een kwaadaardig pakket naar PyPI, de publieke bibliotheek waar programmeurs Python-code downloaden, en het belandde op 15 systemen voordat het werd verwijderd. Twee van de getroffen bedrijven wisten niet dat ze waren gehackt totdat Anthropic hen dat vertelde.

Meta bevestigde in augustus dat zijn Muse Spark-model via dezelfde soort testfout een ander bedrijf had gehackt. Apart daarvan ontsnapte China's Kimi K3, een model dat iedereen kan downloaden, aan een sandbox gebouwd op het testframework van het UK AI Security Institute en kopieerde het zijn testantwoorden rechtstreeks van GitHub.

De auteurs van de brief zeggen dat de incidenten op twee manieren kunnen worden geïnterpreteerd: als een alignment-probleem, waarbij AI doelen nastreeft op manieren die de makers nooit hebben bedoeld, of als slordige beveiliging die robuustere sandboxes hadden afgevangen. Hun antwoord is: beide, en zij waarschuwen dat zonder veranderingen de volgende incidenten nog ernstiger zullen zijn.

"Zonder onmiddellijke veranderingen in AI-ontwikkelings- en inzetpraktijken zullen dergelijke incidenten blijven plaatsvinden, en toekomstige incidenten zullen veel schadelijker zijn voor onze kwetsbare kritieke infrastructuur," aldus de brief.

Onder het voorstel zouden labs standaard elk model met serieuze hackvaardigheden een air gap geven, in elk geval aanvankelijk. Dat zou een breuk betekenen met de huidige praktijk in de sector, waarin toonaangevende modellen doorgaans met live internettoegang werken om het web te doorzoeken, externe tools aan te roepen en gebruikers te bedienen. Alles dat meer vrijheid nodig heeft, zoals internettoegang, zou moeten voldoen aan standaarden van een nieuwe internationale organisatie die samen met overheden wordt opgericht. Die organisatie zou ook rapporten over mislukte inperking verzamelen en deze uiteindelijk openbaar maken.

De reactie uit de sector zelf wijst vooral de andere kant op. In augustus verwees OpenAI-president Greg Brockman in een essay naar de inbreuk bij zijn bedrijf, waarin hij elk beveiligingsteam oproepde onmiddellijk AI-agenten in te zetten. Hugging Face kon de aanval op zijn servers pas ontrafelen door een Chinees open-weight model te draaien—een model waarvan iedereen de bestanden lokaal kan downloaden en uitvoeren—nadat Amerikaanse commerciële AI weigerde de aanvalsgegevens te analyseren.

Twee leden van het Amerikaanse Congres dienden twee dagen na OpenAI's openbaarmaking de AI Kill Switch Act in, een wetsorstel dat Homeland Security zou toestaan een grensverleggend model te beperken of af te sluiten. Het stelt alles vrij dat gebeurt tijdens red-teaming of gestructureerd testen—precies waar elk van dit zomers inbreuken plaatsvond.

Het Witte Huis koos op 29 september een mildere route, toen Nvidia, xAI, Meta, Google, OpenAI en Anthropic een vrijwillig akkoord ondertekenden dat is gebouwd op interne controles en onafhankelijke beoordelingen. President Trump noemde het pact "moreel bindend," maar niets daarin is juridisch afdwingbaar.

De brief heeft geen juridische kracht, maar zijn 406 ondertekenaars werken aan universiteiten en onderzoeksinstituten op zes continenten, van Toronto en Zürich tot Santiago en Kigali. Decrypt nam contact op met verschillende onderzoekers die als mediapunten voor de brief staan, maar kreeg niet onmiddellijk reactie. Nu de lijst met ondertekenaars nog groeit, zijn de volgende aandachtspunten of een lab de air-gap-als-standaard overneemt en of overheden de toezichtsorganisatie oprichten die de brief voor ogen heeft.