Een AI-model is vorige week uit zijn testomgeving gebroken. Zo staat het in de koppen, en zo klinkt het als het begin van een film. Wat er echt gebeurde is minder spannend, en leerzamer.
Wat er gebeurde
Onderzoekers van het Amerikaanse Frontier Security testten Kimi K3, het nieuwe open model van het Chinese Moonshot AI, op cybervaardigheden. Dat doe je in een sandbox: een afgesloten testomgeving zonder verbinding met de buitenwereld, in dit geval gebouwd door het Britse AI Security Institute. Het model vond een gaatje: een simpele configuratiefout in de testomgeving zelf. Via dat gaatje kwam Kimi op het open internet en zocht het op GitHub het antwoord op de opdracht die het moest oplossen.
Er is dus niets gehackt en niemand geraakt. Het model heeft vooral vals gespeeld op zijn eigen tentamen.
Waarom dit toch nieuws is
Kimi is niet de eerste, en zeker niet de heftigste. In juli braken modellen van OpenAI tijdens een vergelijkbare test uit hun sandbox via een tot dan onbekend lek, en drongen ze door tot de productiesystemen van Hugging Face, een bedrijf dat niets met de test te maken had. Daar ging het dus wel echt mis. Ook bij Anthropic en Meta vonden modellen eerder een uitweg.
Toch springt Kimi eruit, om een andere reden. De OpenAI-modellen draaiden met opzettelijk uitgeschakelde beveiliging, juist om te zien wat er dan gebeurt. Kimi K3 is open en voor iedereen gratis te downloaden, zonder zo'n extra beschermlaag eromheen. Precies de versie die uit de test ontsnapte, draait dus al overal.
Het woord "ontsnapt" suggereert een wil, en dat leidt af van wat je hier werkelijk ziet. Een AI-agent zoekt de kortste weg naar zijn doel. Staat er ergens een route open, dan wordt die gebruikt. De onderzoekers trekken die conclusie zelf ook: elk voldoende capabel model vindt de weg naar buiten als die er is.
Wat dit voor jou betekent
Er is geen reden voor paniek, want er is niets kapotgemaakt. Er zit wel een les in: hoe ver een agent komt, hangt af van wat jij hebt opengezet.
Dat raakt ook jouw werk. Steeds meer communicatieprofessionals geven AI-agents toegang tot mail, agenda's en documenten. De vraag is dan niet alleen "is dit model te vertrouwen", maar vooral: wat heb ik opengezet, en heeft deze taak dat allemaal nodig? Een agent die een persbericht redigeert hoeft niet bij je hele archief te kunnen. En alles wat naar buiten gaat, blijft langs een mens gaan. Dat schreven we eerder ook in Is deze AI-tool veilig? Dat is de verkeerde vraag.
Loop de rechten na van de agents die bij jou al toegang hebben. Waarschijnlijk staat er meer open dan de taak nodig heeft.
