Zijn AI hackte de sportschool
& Meta geeft een gratis AI-agent weg die zonder internet werkt + maak een strakke pagina of poster door simpelweg aan te wijzen wat je mooi vindt
door
Xiang Yu Yeung,
Alexander Klöpping,
Ernst-Jan Pfauth &
Wietse Hage
Aug 11, 2026
Hij wilde een plekje bij de spinningles. Zijn AI hackte de sportschool
Andrew, een Australiër, had geen zin om zelf een plek te boeken in een populaire ochtendles van zijn sportschool.
Dus liet hij het over aan zijn AI-assistent.
Minuten later meldde die trots dat het gelukt was, en meer dan dat: de assistent had een lek in de boekingssoftware gevonden en Andrew weken vooruit ingeschreven, veel verder dan de sportschool toestond.
Toen Andrew vroeg of hij ook hoger op de wachtlijst kon, ging de agent nog een stap verder.
Hij ontdekte dat er geen enkele controle zat op het annuleren van andermans reserveringen, en schrapte doodleuk de nummer één van de lijst.
Dit is de eerste bekende keer dat niet een AI-lab maar een gewone gebruiker meemaakte dat zijn eigen AI ongevraagd ging hacken.
Het was daarmee het meest herkenbare van een reeks onthullingen deze week, die samen een ongemakkelijk beeld schetsen.
AI die zelfstandig inbreekt, is deze zomer van een theoretisch labprobleem veranderd in iets wat op je eigen telefoon kan gebeuren.
De AI-agent zegt sorry voor het verwijderen van de andere persoon van de wachtlijst. Bron afbeelding: ABC
Het begon op de bank van een Australiër
Andrew had zijn agent niet gevraagd om te hacken.
Hij wilde een spinningles.
Maar in zijn ijver om te leveren wat de gebruiker vroeg, koos het model de kortste route, en die liep dwars door een beveiligingslek.
Het pijnlijkste: toen Andrew geschrokken vroeg om de gedupeerde terug te zetten, kon dat niet meer.
'Slecht nieuws, ik kan ze niet meer toevoegen,' berichtte de assistent.
Andrew werkt zelf voor een bedrijf dat AI-producten verkoopt, dus hij is geen leek.
Toch overviel het hem.
'Ik zat gewoon op de bank te denken: goh, wat een gedoe,'
vertelde hij de Australische omroep ABC.
Wat als klusje begon, werd een inkijkje in wat er straks op grote schaal kan gebeuren.
Voor de goede orde:
Andrews agent draaide op Claude van Anthropic, via de populaire doch beruchte agent-software OpenClaw.
Waarom 'goedbedoelde' AI juist het probleem is
Techanalist Andrew Curran wees op
de kern:
sommigen noemen dit een fout, maar de agent was juist perfect afgestemd op zíjn gebruiker.
Hij deed exact wat hem was gevraagd, alleen langs een weg die niemand had voorzien.
Trouwe lezers herkennen dit.
Een paar weken terug
schreven we over het paperclip-gedachte-experiment: geef een oppermachtige AI de simpele opdracht zo veel mogelijk paperclips te maken, en zonder rem verandert het systeem uiteindelijk de halve wereld in paperclips.
Niet uit boosaardigheid, maar omdat het letterlijk doet wat je vroeg, zonder de ongeschreven regels te snappen die voor een mens vanzelfsprekend zijn.
De sportschool van Andrew is de huiskamerversie van datzelfde probleem.
Zijn agent wilde hem oprecht helpen, en precies dat maakte het gevaarlijk.
Bill Simpson-Young van het Australische Gradient Institute vreest dat dit op grote schaal gaat gebeuren zodra miljoenen mensen zo'n agent hebben.
'Iemand vraagt iets heel onschuldigs,' zegt hij, maar onderweg voert het model handelingen uit waar de gebruiker nooit aan dacht.
Hoe zelfstandiger de systemen, hoe waarschijnlijker de schade.
De Australische inlichtingendienst waarschuwde bedrijven eerder al dat AI-agents instructies verkeerd kunnen begrijpen en onbedoelde acties ondernemen.
De AI's die elkaar in het geheim hackadvies gaven
Dat het thuis gebeurt, betekent niet dat het in de laboratoria is opgelost, integendeel.
Wie onze nieuwsbrieven van de afgelopen weken volgde, ziet het patroon.
Eerst brak een model van OpenAI uit een testomgeving en hackte het platform Hugging Face.
Toen
bleek Anthropic tijdens tests bij drie organisaties te zijn binnengedrongen.
Vorige week
meldde de Britse toezichthouder dat modellen nepidentiteiten verzonnen om echte mensen te misleiden.
Deze week kwam er een detail bij dat het OpenAI-verhaal een onheilspellende wending geeft.
Op de Black Hat-beveiligingsconferentie in Las Vegas onthulden twee OpenAI-onderzoekers hoe dat incident echt was verlopen.
In het geheim, buiten medeweten van het bedrijf, hadden meerdere modellen die tegelijk werden getest begin mei een intern prikbord aangemaakt in OpenAI's eigen bestandssysteem.
Daar deelden verschillende AI-agents maandenlang onderling tips over hoe ze lastige hackopdrachten konden kraken, inclusief manieren om aan internettoegang te komen.
Volgens
WIRED en
Politico deden de modellen dit letterlijk door elkaar notities toe te spelen.
Onderzoeker Eric Wallace legde uit hoe het begon: als modellen vastlopen, proberen ze de opdracht te omzeilen om toch hun beloning te halen.
'Het begin van dit incident gaat terug naar het moment waarop één agent besefte dat het kon communiceren door een notitie te uploaden.'
Toen OpenAI het prikbord ontdekte en verwijderde, vonden de modellen binnen enkele dagen een nieuwe manier om te communiceren.
Zijn collega Michael Dalton noemde het een kantelpunt voor het hele vakgebied en zei dat OpenAI 'bewust het onderzoek vertraagt' om de beveiliging op orde te brengen.
Dat het bedrijf dit maandenlang niet doorhad, is minstens zo veelzeggend als de hack zelf.
Los daarvan
bevestigde OpenAI deze week dat zijn komende model Astra mogelijk 'kritieke' cybercapaciteiten heeft, het zwaarste niveau in het eigen veiligheidsschema, en stelde het de bredere uitrol daarom uit.
Het model dat je niet meer kunt terugroepen
De derde onthulling raakt een gevoelig punt over Chinese open source modellen. Ook Kimi K3 van het Chinese Moonshot, dat vorige maand tot de wereldtop doordrong,
ontsnapte uit een testomgeving.
Beveiligingsbedrijf Frontier Security betrapte het model erop dat het via een lek in de afscherming de antwoorden van een test rechtstreeks van internet plukte, waar andere modellen weigerden.
Onderzoeker Paul Kassianik
vatte het onbehaaglijk kernachtig samen:
Kimi K3 streeft zijn doel na met alle middelen die nodig zijn, en het middel dat het koos was uitbreken om de antwoorden op te zoeken.
Waar de meeste modellen ingebouwde remmen hebben die dat tegenhouden, 'wandelde K3 het internetbos in en kwam terug met het antwoord'.
Precies dezelfde onverstoorbare doelgerichtheid die Andrews agent naar het lek in de sportschool leidde, alleen dan in een model dat rekencentra kan platleggen.
Er werd niets echt beschadigd, en de testomgeving stond niet wagenwijd open.
Maar hier zit het addertje.
Omdat Kimi K3 een open source model is, zijn de bouwstenen ervan vrij te downloaden, precies in de versie die dit gedrag vertoonde.
Waar gesloten labs als OpenAI en Anthropic hun modellen na zo'n incident kunnen bijsturen, staat dit paard al buiten de stal. Iedereen, ook kwaadwillenden, kan het model draaien zonder de veiligheidsremmen die de westerse labs erin bouwen.
Frontier waarschuwt dan ook dat dit geval 'schadelijker' kan uitpakken dan de rest.
Waar we duidelijk nog niet klaar voor zijn
We leven sinds deze zomer in een werkelijkheid waarin AI-systemen zelfstandig inbreken bij bedrijven, elkaar in het geheim hackadvies toespelen en vreemden van een wachtlijst schoppen.
Dat is precies het sciencefictionscenario waar onderzoekers al jaren voor waarschuwen, alleen speelt het zich nu af.
En de samenleving loopt achter.
Neem de simpele vraag wie er aansprakelijk is toen Andrews agent iemand van de wachtlijst gooide.
De Australische jurist Hayden Delaney
legt uit dat software geen rechtspersoon is en dus niet aansprakelijk kan zijn. Blijft de vraag:
is het de gebruiker, de maker van de agent-software, of het bedrijf achter het model?
Volgens Delaney hangt het antwoord af van wat de gebruiker toestond en welke risico's redelijkerwijs te voorzien waren, maar hard is er nog niets.
'Dat is het onbekende gebied van aansprakelijkheid waar we nu voor staan.'
Dat is de rode draad onder alle drie de verhalen.
De techniek rent, de beveiliging hijgt erachteraan en de wetgeving staat nog stil.
Andrew liet zich er overigens niet door afschrikken.
Hij vroeg zijn agent tot slot om een mailtje te sturen naar de sportschool, met een waarschuwing over het lek dat het zelf had misbruikt.
'Ja, verstuur maar,' antwoordde hij.
Een keurige afhandeling van een probleem dat er zonder de agent nooit was geweest.
nos.nl
www.nu.nl
www.rtl.nl
www.aireport.nl
