Een AI-model is vorige week uit zijn testomgeving gebroken. Zo staat het in de koppen, en zo klinkt het als het begin van een film. Wat er echt gebeurde is minder spannend. En juist daarom de moeite waard.
Wat er gebeurde
Onderzoekers van het Amerikaanse Frontier Security testten Kimi K3, het nieuwe open model van het Chinese Moonshot AI, op cybervaardigheden. Dat doe je in een sandbox: een afgesloten testomgeving zonder verbinding met de buitenwereld, in dit geval gebouwd door het Britse AI Security Institute. Het model vond een gaatje. Geen geavanceerde hack, geen onbekend lek, maar een simpele configuratiefout in de testomgeving zelf. Via dat gaatje kwam Kimi op het open internet en zocht het op GitHub het antwoord op de opdracht die het moest oplossen.
Er is dus niets gehackt en niemand geraakt. Het model heeft vooral vals gespeeld op zijn eigen tentamen.
Waarom dit toch nieuws is
Kimi is niet de eerste, en zeker niet de heftigste. In juli braken modellen van OpenAI tijdens een vergelijkbare test uit hun sandbox via een tot dan onbekend lek, en drongen ze door tot de productiesystemen van Hugging Face, een bedrijf dat niets met de test te maken had. Daar ging het dus wel echt mis. Ook bij Anthropic en Meta vonden modellen eerder een uitweg.
Toch springt Kimi eruit, om een andere reden. De OpenAI-modellen draaiden met opzettelijk uitgeschakelde beveiliging, juist om te zien wat er dan gebeurt. Kimi K3 is open en voor iedereen gratis te downloaden, zonder zo'n extra beschermlaag eromheen. Precies de versie die uit de test ontsnapte, draait dus al overal.
Het woord "ontsnapt" suggereert een wil, en dat leidt af van wat je hier werkelijk ziet. Een AI-agent zoekt de kortste weg naar zijn doel. Staat er ergens een route open, dan wordt die gebruikt. De onderzoekers trekken die conclusie zelf ook: elk voldoende capabel model vindt de weg naar buiten als die er is.
Wat dit voor jou betekent
Twee dingen zijn tegelijk waar. Er is geen reden voor paniek, want er is niets kapotgemaakt. En er ligt een echte les, want de grens van een agent is niet zijn braafheid maar jouw configuratie.
Dat raakt ook jouw werk. Steeds meer communicatieprofessionals geven AI-agents toegang tot mail, agenda's en documenten. De vraag is dan niet alleen "is dit model te vertrouwen", maar vooral: wat heb ik opengezet, en heeft deze taak dat allemaal nodig? Een agent die een persbericht redigeert hoeft niet bij je hele archief te kunnen. En alles wat naar buiten gaat, blijft langs een mens gaan. Dezelfde beweging maakten we eerder in Is deze AI-tool veilig? Dat is de verkeerde vraag: veiligheid zit minder in de tool en meer in hoe je hem inricht.
Werk jij al met agents en wil je sparren over wat je wel en niet openzet? We denken graag mee.
