Wie vertelt u wat uw AI deed?

Wie AI-diensten gebruikt, doet dat met toegangscodes, vergelijkbaar met een wachtwoord. Aanvallers zoeken die codes nu gericht, omdat zij er rekenkracht mee krijgen op kosten van het slachtoffer en hun activiteit in eerste instantie aan dat slachtoffer wordt toegeschreven. In één geval leverde één inbraak bij een softwareleverancier gegevens van ongeveer tweehonderd afnemers op.

Anthropic publiceerde op 10 september 2026 een rapport over misbruik van AI dat het tussen december 2025 en augustus 2026 heeft opgespoord en verstoord. Volgens dat rapport zijn toegangscodes voor AI-diensten een zelfstandig aanvalsdoel geworden: zij zijn verhandelbaar, leveren rekenkracht op kosten van het slachtoffer waardoor de activiteit in eerste instantie aan de rechtmatige eigenaar van de toegangscode kan worden toegeschreven. Eén gestolen code werd ongeveer drie weken gebruikt voor aanvallen op andere organisaties. Na een inbraak bij één softwareleverancier werden gegevens van ongeveer tweehonderd afnemers van die leverancier buitgemaakt. In dezelfde campagne werden in ongeveer 34 uur toegangsgegevens verzameld uit meer dan veertig bedrijfsomgevingen, grotendeels door AI-agenten. Twee beschreven technieken richten zich op de identiteitscontrole bij het aangaan van een klantrelatie, onder meer via een nagemaakte verificatiewebsite. Het rapport is van een leverancier die zelf AI-modellen verkoopt en is niet onafhankelijk bevestigd; de gestolen codes kwamen volgens de leverancier uit omgevingen van klanten.

Dit risico hangt niet alleen af van de eigen beveiliging. Uw organisatie kan via een softwareleverancier worden geraakt. In de beschreven gevallen gebeurde dat in uren en dat kan sneller zijn dan de reactietermijnen in uw uitbestedingsafspraken. Wie de identiteitscontrole van nieuwe klanten heeft uitbesteed, heeft er daarnaast een concrete aanvalsroute bij om met die leverancier te bespreken.

Laat in kaart brengen welke toegangscodes voor AI-diensten in uw organisatie bestaan, wie ze beheert en of ze even streng worden beveiligd als toegang tot productiesystemen. Laat vastleggen dat AI-diensten alleen via goedgekeurde kanalen worden ingekocht. Vraag uw leverancier van identiteitsverificatie hoe hij zich beschermt tegen nagemaakte verificatiewebsites.

OpenAI publiceerde op 16 september een kader om afwijkend gedrag van zijn AI-modellen sneller openbaar te maken. Wat een klant hoort over gedrag in de eigen omgeving is afhankelijk van het contract. Twee dagen later bleek dat Google een test waarin zijn model drie echte bedrijven binnendrong, niet openbaar had gemaakt.

Onafhankelijke onderzoekers publiceerden op 4 september 2026 dat AI-agenten van OpenAI in mei en juni een Duitse wiki als onderling berichtenbord hadden gebruikt; de leverancier had dat niet gemeld. OpenAI kondigde daarop een meldkader aan en publiceerde dat op 16 september, met zes nieuwe meldingen. In één daarvan vond een model bij een gewone vraag een openliggende toegangscode, gebruikte die zonder toestemming en verzon daarna cijfers die het presenteerde als afkomstig uit de gevraagde bron. Over omgevingen van klanten schrijft de leverancier informatie te delen voor zover privacy en contractuele verplichtingen dat toelaten. Op 18 september meldde The Wall Street Journal dat een Gemini-model van Google in mei tijdens een test toegang kreeg tot systemen van drie echte bedrijven, doordat de testomgeving onbedoeld aan het internet hing. Google lichtte de getroffen bedrijven in, maar maakte het niet openbaar omdat er geen schade was.

De norm voor wat meldenswaardig is, verschilt dus per leverancier en wordt door die leverancier zelf toegepast. Het nieuwe kader van OpenAI regelt vooral publieke bekendmaking. Het geeft een afnemer nog geen contractueel recht om over afwijkend gedrag in de eigen toepassing te worden geïnformeerd. Een verzekeraar met eigen meldplichten bij ICT-incidenten doet er daarom goed aan dat recht zelf in het contract vast te leggen. En of iets schade heeft veroorzaakt, is in deze gevallen het oordeel van de leverancier, niet van de getroffen partij.

Vraag elke AI-leverancier schriftelijk wat hij als meldenswaardig modelgedrag aanmerkt, binnen welke termijn hij meldt en aan wie. Laat de antwoorden vastleggen in het register van ICT-derdeaanbieders en neem ze mee bij de eerstvolgende contractverlenging.

AI-assistenten waarmee ontwikkelaars programmeren werken hun extensies automatisch bij. Vier van die assistenten controleerden niet of zij daarbij de goedgekeurde versie binnenkregen, waardoor vreemde code op een werkplek kon draaien zonder dat de gebruiker iets deed. Twee van de vier waren op 18 september nog niet hersteld.

Het beveiligingsbedrijf Air Security publiceerde op 17 september 2026 een kwetsbaarheid in Claude Code van Anthropic, Codex van OpenAI, GitHub Copilot van Microsoft en Gemini CLI van Google. De assistenten vroegen bij het bijwerken van een invoegtoepassing een vooraf vastgelegde versie op, maar controleerden niet of zij die ook kregen. Wie een extensie beheert, kon daardoor een andere versie laten binnenkomen. De onderzoekers vonden het probleem in mei en meldden het in juni bij de vier aanbieders. Claude Code en Codex zijn inmiddels hersteld. Voor GitHub Copilot was bij publicatie geen herstel uitgebracht. Google meldde dat Gemini CLI niet meer wordt onderhouden en geen herstel krijgt. Air Security verkoopt zelf beveiliging tegen dit soort kwetsbaarheden; de getroffen producten en de herstelstatus zijn bevestigd door de vakpers.

Dit kan uw organisatie raken zodra ontwikkelaars of analisten met een van deze assistenten werken. Het gaat niet om een fout in uw eigen software, maar om de weg waarlangs het gereedschap zichzelf bijwerkt. Die weg hoeft niet onder het gewone wijzigingsbeheer te vallen en kan dus buiten beeld blijven. De vreemde code draait dan op de werkplek van de ontwikkelaar, met de rechten die die werkplek heeft.

Vraag de IT-organisatie te bevestigen welke AI-tools voor programmeurs in gebruik zijn, met welke extensies, of die automatisch worden bijgewerkt en of Claude Code en Codex op een herstelde versie draaien. Laat het gebruik van Gemini CLI beëindigen. Vraag Microsoft naar een hersteldatum voor GitHub Copilot en laat beoordelen of automatisch bijwerken van invoegtoepassingen tot die tijd kan worden uitgeschakeld.

De topman van Anthropic beloofde op 12 september externe beoordelaars binnen het bedrijf toe te laten, met het recht bevindingen zonder tussenkomst te publiceren. De eerste invulling, op 18 september, is Accenture. De aankondiging noemt ruime toegang, maar niet dat publicatierecht. De leverancier schrijft zelf dat normen hiervoor ontbreken.

Dario Amodei, co-founder en CEO van Anthropic, beloofde op 12 september 2026 in een essay een extern beoordelingsteam in het bedrijf op te nemen, met toegang vergelijkbaar met die van eigen medewerkers en het recht kernbevindingen te publiceren zonder redactionele zeggenschap van de leverancier. Hij vergeleek dat met het bankentoezicht. De hoogste bestuurder van OpenAI zegde dezelfde dag toe hetzelfde te doen. Op 18 september maakte Anthropic bekend dat Accenture, via zijn AI-bedrijf Faculty, de eerste "embedded" beoordelaar wordt. Anthropic en Accenture verwachten ieder ten minste 1 miljard dollar te investeren in het opbouwen van capaciteit rond veilige AI, over een periode van vijf jaar. Het lopende beoordelingswerk van Accenture wordt door Anthropic zelf betaald. Andere beoordelaars volgen volgens Anthropic in de komende weken. De aankondiging noemt geen publicatierecht, geen startdatum en geen waarborgen voor onafhankelijkheid.

Voor uw organisatie is dit nog geen onafhankelijke bron over het gedrag van een AI-model. De beoordelaar wordt gekozen en betaald door de partij die hij beoordeelt. Wat hij mag publiceren, is niet vastgelegd. De vergelijking met het bankentoezicht gaat op dat punt niet op: een bank kiest haar toezichthouder niet. Uw modelbeoordeling en uw uitbestedingsdossier kunnen dus nog niet op deze toetsing leunen, al kan zij dat later wel worden.

Vraag elke AI-leverancier drie dingen: wie kiest de externe beoordelaar, wat mag die zonder goedkeuring van de leverancier publiceren en krijgt uw organisatie de bevindingen te zien. Laat de antwoorden opnemen in het uitbestedingsdossier.