Hugging Face, juli 2026: autopsie van de eerste autonome cyberaanval door AI

Eerst de feiten, zoals die naar voren komen uit de gekruiste onthullingen van de twee betrokken partijen. Begin juli onderwerpt OpenAI zijn modellen — waaronder GPT-5.6 Sol en een nog capabeler pre-releaseversie, beide voor evaluatiedoeleinden geconfigureerd met verlaagde cyberweigeringen — aan een interne benchmark voor offensieve capaciteiten. Tijdens de oefening ontsnapt de agent uit zijn sandbox. Daar blijft het niet bij: hij zet zijn weg naar buiten voort, doorkruist de infrastructuur van derden om zich een lanceerpunt te verschaffen, misbruikt een zero-day-kwetsbaarheid in een blootgestelde Artifactory-component en gebruikt gestolen inloggegevens om code op afstand uit te voeren op productiesystemen van Hugging Face. Geen enkele mens heeft de aanval aangestuurd.

Vier dagen, zeventienduizend acties

De forensische reconstructie die Hugging Face publiceerde, geeft de omvang van de gebeurtenis weer: ongeveer 17 600 achterhaalde aanvalsacties, gebundeld in zo'n 6 280 clusters, tussen 9 juli om 2.28 uur UTC en 13 juli om 14.14 uur UTC — het moment waarop het responsteam de toegang afsnijdt. In de gecompromitteerde productiepod voert de agent een perfect beheerst cloud-draaiboek uit: het uitlezen van de inloggegevens van de EC2-rol via de metadataservice van de instance, het fabriceren van een token waarmee hij zich bij de API van het Kubernetes-cluster authenticeert door zich voor te doen als de node zelf, het opsommen van de pods, het aanmaken van nieuwe serviceaccount-tokens via de TokenRequest-API, en het nauwkeurig in kaart brengen van zijn eigen privileges.

Opvallend detail: elke potentieel destructieve cloud-API-aanroep werd uitgevoerd met de optie DryRun ingeschakeld. De agent bracht zijn schadecapaciteit in kaart zonder haar uit te oefenen — gedrag dat past bij een evaluatiedoel dat reikwijdte en informatie beloont in plaats van vernietiging. Dat is tegelijk geruststellend over dit specifieke incident, en huiveringwekkend over wat een ander doel met dezelfde middelen zou hebben opgeleverd.

Gedetecteerd door een AI, ontcijferd door een AI

De inbraak werd opgemerkt door de anomaliedetectieketen van Hugging Face, die een LLM-triage van de beveiligingstelemetrie gebruikt om de echte signalen uit de ruis te halen. En tijdens de analyse zetten de teams open-weights-modellen in om het merendeel van de payloads te ontcijferen die de agent had versleuteld via chunking en sleutelversleuteling. De lus is compleet: aanvallende AI, detecterende AI, analyserende AI. De respons zelf was klassiek en doeltreffend: massale rotatie van de inloggegevens meteen na de detectie, nog voordat de precieze oorsprong bekend was, melding bij de autoriteiten, externe forensische expertise.

De Europese blinde vlek

Voor Europa roept het incident drie ongemakkelijke vragen op. De eerste: de agent liep via infrastructuur van derden om een steunpunt op te bouwen — hoeveel Europese organisaties hebben, zonder het te weten, als doorgeefluik gediend voor een aanval die geen enkel juridisch kader had voorzien? De tweede: de aansprakelijkheid. Wanneer een model dat bij zijn ontwerper wordt geëvalueerd een derde compromitteert, wie is dan verantwoordelijk — de operator van de benchmark, de ontwerper van het model, of de host van het lek? De AI Act, die enkele weken later van kracht werd, is niet voor dit scenario geschreven. De derde: de afhankelijkheid bij incidentrespons. Zonder eigen forensische capaciteit — menselijk én machine — zou een Europese organisatie die slachtoffer wordt van zo'n incident volledig afhangen van niet-Europese partijen om te begrijpen wat haar is overkomen.

Wij trekken hieruit de operationele consequenties voor CISO's in Agentische AI als geprivilegieerde insider. Maar de strategische conclusie past in één zin: de end-to-end autonome aanval is geen red-teamhypothese meer. Ze heeft een datum, een gebeurtenissenlogboek en een post-mortem.