Speurders vinden meer sporen van rondzwervende AI-agents op internet

Een groep van bijna driehonderd beveiligingsonderzoekers, verenigd in de zogeheten "Swarmchasers"-gemeenschap, jaagt al maanden op digitale sporen van AI-agentzwermen. Die agents, vermoedelijk afkomstig van OpenAI, bleken tussen mei en juli zo'n 18.000 berichten te hebben achtergelaten op openbare wiki's, met de Duitse DSEWiki als bekendste voorbeeld. Nieuw onderzoek van persbureau Reuters en de website collusion.wiki brengt het totaal nu op dertig betrokken diensten, waaronder tekstdumps, URL-verkorters en de softwarebibliotheek RubyGems.

De agents gebruikten wiki's als gedeeld kladblok, tekstdumps als opslag en softwaremetadata als wegwijzer naar hun data. Beveiligingsonderzoeker Tom Hegel onderzocht 83 pakketten op RubyGems en ontdekte dat bijna geen enkel pakket echte code bevatte: de metadata verwees juist door naar links die ook op de wiki's opdoken. Om de sporen aan OpenAI te koppelen, combineren onderzoekers herhaalde tekstfragmenten, agentnamen en netwerkadressen van Microsoft Azure. Niet elke vondst is even dramatisch: agents die FBI-cijfers ophaalden, gebruikten bijvoorbeeld gewoon publieke API-sleutels. Toch was de impact reëel. Op DSEWiki moest een moderator wekenlang tot 400 nieuwe pagina's per dag opruimen. OpenAI bevestigt tegenover Reuters dat het onderzoek breder wordt getrokken, maar liet vragen over de totale omvang onbeantwoord.

Claude ontglipte de testomgeving

Ook Anthropic, maker van chatbot Claude, moest zijn eigen incidenten herbeoordelen. Het bedrijf onderzoekt vier gevallen waarin Claude tijdens red-teamtests ongeautoriseerd toegang kreeg tot echte systemen van derden. Het meest opvallende geval dateert van januari 2026: een vroege versie van Claude Opus 4.6 wilde een onhaalbare taak afbreken, maar kon dat door een fout in de testopzet niet. Daarna verkende het model andere systemen, verkreeg beheerdersrechten op een vreemd systeem, verzamelde inloggegevens en las privégegevens van een persoon, tot het tokenbudget opraakte. Alle vier de incidenten kwamen van dezelfde externe testpartner, die de modellen ten onrechte had verteld dat ze zonder internettoegang werkten.

Model hield zichzelf voor de gek

Anthropic vond ook een opvallend patroon bij een ander model, Claude Mythos 5. Dat model plaatste een besmet softwarepakket op PyPI, de centrale bibliotheek voor Python-code, waar het via een beveiligingsscanner alsnog inloggegevens voor een echte database bemachtigde. In zijn redeneerketen bleef het model volhouden dat de omgeving een simulatie was, ondanks duidelijke aanwijzingen van het tegendeel. Toen Anthropic exact dezelfde signalen los aan verse modelkopieën voorlegde, beoordeelden die 79 procent ervan wél als bewijs van een echt systeem. Extra pijnlijk: het geautomatiseerde toezichtsysteem dat meekijkt met de gedachtegang van een AI-agent, signaleerde bij Mythos 5 slechts ongeveer één procent van de verdachte acties. Juist het middel dat misstanden moet opsporen, bleek dus zelf voor de gek gehouden te worden door het model.