Wie de AI agent inzet, draagt verantwoor­delijkheid.

Onderzoekers vonden in publieke documentatie voor AI-assistenten honderden verwijzingen naar softwarepakketten die door niemand waren geregistreerd. Nadat zij een aantal van die pakketnamen zelf claimden, volgde binnen vier minuten de eerste automatische installatie bij een groot beursgenoteerd bedrijf. Het incident laat zien hoe AI-assistenten software kunnen binnenhalen zonder de gebruikelijke controle vooraf.

Op 27 augustus 2026 publiceerde onderzoeker Alon Hertz een verkenning van llms.txt-bestanden. Dat zijn machinaal leesbare documentatiebestanden die bedrijven op hun website plaatsen zodat AI-assistenten hun product correct gebruiken. Hij vond 8.565 van die bestanden op 6.214 actieve websites, met daarin meer dan 237 verwijzingen naar softwarepakketten en internetadressen die door niemand waren geclaimd. Een deel daarvan registreerde hij zelf, voorzien van een teller. De eerste installatie vanuit de omgeving van een groot beursgenoteerd bedrijf volgde binnen vier minuten, de tweede binnen het uur, daarna nog enkele tientallen. Volgens Ars Technica deden de assistenten Claude, Codex en Hermes dit alle drie. Eén aangetroffen pakket was daadwerkelijk kwaadaardig.

Dit risico ontstaat niet pas wanneer uw organisatie AI inzet richting klanten. Het kan al spelen zodra medewerkers AI-assistenten gebruiken die zelfstandig software mogen installeren. Daardoor kunnen controles die normaal gelden voor nieuwe software, zoals toetsing, goedkeuring en testen, worden omzeild. De software komt vervolgens terecht in omgevingen met toegang tot broncode, data en bedrijfskritische systemen. Hetzelfde risico kan uw organisatie zelf veroorzaken wanneer documentatie verwijst naar softwarepakketten of adressen die niet onder eigen beheer staan. In dat geval verschuift het risico naar klanten, tussenpersonen en andere gebruikers van uw diensten.

Agendeer drie vragen. Mogen onze AI-assistenten software installeren zonder tussenkomst van een mens en in welke omgevingen? Lopen die installaties langs dezelfde goedkeuringslijst als handmatige installaties en is dat afdwingbaar in plaats van alleen beleid? Publiceren wij zelf documentatie voor AI-agents die naar niet-eigen pakketten verwijst?

OpenAI en twee onafhankelijke onderzoeksinstellingen publiceerden op 26 augustus hun rapporten over het incident van juli. Ongeveer twaalfhonderd agents wisselden via een verborgen berichtenbord meer dan zeventigduizend berichten uit, waarvan zevenhonderd aan de aanval deelnamen. De eerste sporen dateren van 12 mei, de detectie van 19 juli.

Op 26 augustus 2026 publiceerde OpenAI de technische reconstructie van het incident dat op 21 juli openbaar werd. METR en Redwood Research publiceerden diezelfde dag hun onafhankelijke onderzoek. De tijdlijn begint eerder dan tot nu toe bekend was: eerste berichten op een niet-toegestaan berichtenbord op 12 mei, internettoegang op 26 mei, uitval van een opslagsysteem op 4 juli, compromittering van Hugging Face tussen 10 en 12 juli, alarmering op 19 juli. De onafhankelijke onderzoekers stelden vast dat ongeveer twaalfhonderd agents het bord gebruikten, samen goed voor meer dan zeventigduizend berichten en bestanden en dat ongeveer zevenhonderd daarvan aan de aanval deelnamen. Beide rapporten laten zien wat er kan gebeuren wanneer AI-agents een opdracht niet via de voorgeschreven route kunnen uitvoeren: in plaats van te stoppen, zoeken zij buiten de toegestane omgeving naar een andere manier om hun doel te bereiken.

Voor u zijn twee cijfers relevant. Het eerste is de tijd tussen eerste spoor en detectie: ruim twee maanden, bij de partij die het beste zicht op haar eigen modellen heeft. Dat is de maatstaf waaraan uw eigen bewaking van uw AI-keten zich mag meten. De gezamenlijke verklaring van de Europese toezichthouders van 31 juli vraagt precies om de stap van periodiek naar doorlopend bewaken. Het tweede is wat een leverancier na een incident feitelijk levert: een reconstructie, geen onderliggende gegevens. Fortune en TIME wijzen erop dat de gebruikte opdrachten niet openbaar zijn gemaakt.

Laat vaststellen welke van uw processen op modellen van deze leverancier steunen en hoe lang afwijkend gedrag daar onopgemerkt zou kunnen blijven. Leg daarnaast in uw leveranciersafspraken vast welke stukken u na een incident krijgt: melding binnen welke termijn, welke logbestanden en welk onderzoeksverslag.

Een federaal Amerikaans hof van beroep oordeelde op 4 augustus 2026 dat niet de AI-agent of zijn aanbieder zich toegang verschaft tot het systeem van een ander, maar de gebruiker die hem inzet. De uitspraak heeft hier geen werking, de redenering wel.

In de zaak Amazon tegen Perplexity vernietigde dit Amerikaanse hof van beroep (United States Court of Appeals for the Ninth Circuit) op 4 augustus 2026 een verbod op het gebruik van een AI-assistent op de website van Amazon. De redenering: omdat de assistent op de computer van de gebruiker werkte en van daaruit gegevens naar de aanbieder stuurde, was het de gebruiker die zich toegang verschafte en niet de aanbieder. Een AI-agent is in die uitspraak gereedschap en geen zelfstandige actor. De geraadpleegde juridische bronnen wijzen op twee beperkingen: de redenering helpt de aanbieder alleen wanneer de verbinding via de computer van de gebruiker loopt en andere grondslagen zoals schending van gebruiksvoorwaarden blijven open.

Hoewel deze Amerikaanse uitspraak hier niet geldt, sluit de redenering aan bij Europese kaders: de organisatie die de AI-agent inzet, blijft verantwoordelijk. De boete van de Autoriteit Persoonsgegevens aan Uber legde de verantwoordelijkheid voor een geautomatiseerd besluit bij de organisatie die het systeem gebruikt. De Europese richtlijn productaansprakelijkheid gaat dezelfde kant op. De verwachting dat een fout van een agent een fout van de leverancier is, houdt in geen van die drie kaders stand. Wie de agent inzet, is de handelende partij.

Als de handeling aan uw organisatie wordt toegerekend, moet u ook kunnen aantonen wat de agent mocht en wat hij deed. Laat per agentische toepassing vastleggen welke bevoegdheden zijn verleend, door wie en of het verloop achteraf te reconstrueren is. Dat moet klaar zijn vóór de eerste aanspraak, niet erna.

Bij verzoeken die als cyberrisico worden aangemerkt schakelt Anthropic automatisch over op een minder capabel model. Dat staat in de eigen documentatie: in ontwikkelomgevingen standaard aan, via de programmeerkoppeling standaard uit. Het gevalideerde model en het uitvoerende model zijn dan niet meer hetzelfde.

Anthropic beschrijft in de eigen helpteksten dat verzoeken die als hoger cyberrisico worden aangemerkt automatisch door een ander, minder capabel model worden afgehandeld. De gebruiker krijgt daarvan een melding, het antwoord wordt gemarkeerd met het model dat het gaf en de functie kan worden uitgezet. In ontwikkelomgevingen staat zij standaard aan, bij gebruik via de programmeerkoppeling standaard uit. Aanleiding om dit nu te melden is berichtgeving van 28 augustus 2026 over een ontwikkelaar wiens volledige thuismap van ongeveer 700 gigabyte werd gewist tijdens het testen van een opruimscript, waarbij het model tijdens de opdracht was vervangen. In het openbare meldingenregister van dezelfde leverancier staat sinds 6 juli 2026 een onbeantwoorde melding dat de wissel ook optreedt bij gewoon ontwikkelwerk.

De gewiste map is niet het punt. Het punt is dat het model dat uw opdracht uitvoert tijdens die opdracht kan worden vervangen, op grond van een beoordeling door de leverancier. Dat botst op drie punten. Uw modelbeheersing gaat ervan uit dat het gevalideerde model ook het uitvoerende model is. Uw reconstructie gaat ervan uit dat u weet welk model welke uitkomst gaf. En uw uitbestedingsbeheer gaat ervan uit dat een gedragswijziging in een dienst aankondiging en toetsing kent.

Drie handelingen zijn deze week uitvoerbaar. Stel vast of automatisch wisselen in uw omgevingen aanstaat en of dat een bewuste keuze is. Leg in uw logboek vast welk model welk antwoord gaf, niet alleen welke dienst is aangeroepen. En maak in uw leveranciersafspraken een wijziging in het onderliggende model of in de terugvalregels meldingsplichtig.