OpenAI legt ontwikkeling krachtigste AI-modellen tijdelijk stil

OpenAI stopt tijdelijk met het ontwikkelen van zijn krachtigste AI-modellen. Het bedrijf doet dat na een nieuw beveiligingsincident. Een nieuw AI-model wist beperkingen op internettoegang deels te omzeilen door gebrekkige DNS-filtering.

Dit nieuws in het kort

• OpenAI legt tijdelijk de ontwikkeling van zijn krachtigste AI-modellen stil.
• Een onuitgebracht model wist via DNS-verzoeken vragen te stellen aan een externe AI-chatbot, terwijl internettoegang eigenlijk geblokkeerd moest zijn.
• De AI-maker komt de laatste tijd vaker in het nieuws omdat hij zijn agents niet in bedwang kan houden.

Het incident deed zich voor op 20 september, zo laat OpenAI weten in een incidentrapport. De AI-ontwikkelaar zei zaterdagavond dat het bedrijf tijdelijk stopt met het ontwikkelen van zijn krachtigste modellen. Het bedrijf wil eerst de tekortkoming dichten en zijn systemen extra testen. Hoelang de ontwikkelstop moet duren, is niet duidelijk.

Vragen stellen aan externe chatbot

Het AI-model wist toegang tot internet te krijgen tijdens de opdracht om details te geven over de auteur van een bepaalde blogpost. De AI-agent probeerde verzoeken te sturen naar zoekmachines als Google en Bing, maar die werden geblokkeerd.

Uiteindelijk kwam de AI-agent erachter dat de DNS-resolver in de sandbox een omweg bood: die gaf namelijk echte antwoorden voor bestaande domeinnamen. Via een externe tool wist het AI-model vervolgens vragen te 'verstoppen' in DNS-verzoeken en ze zo te stellen aan externe chatbots.

Een OpenAI-model wist externe chatbots te bevragen via DNS-verzoeken. Bron: Sarayut Thaneerat/Getty Images (Beeld ter illustratrie)

Internettoegang moest geblokkeerd zijn

Dat was niet de bedoeling. De sandbox waarin het AI-model werd getest, moest juist volledig zijn afgesloten van het internet. Het gedrag van het onuitgebrachte AI-model werd na een kwartier geflagd en enkele minuten later bekeken door een persoon. Na 2,5 uur werd de testsessie volledig beëindigd, aldus OpenAI.

Het bedrijf noemt dit incident 'minder ernstig' dan voorgaande incidenten, maar besluit toch om zijn ontwikkelwerk tijdelijk stop te zetten. Ondertussen verstevigt het bedrijf zijn beveiligingsmaatregelen.

Eerdere incidenten

OpenAI werkt al langer aan het verbeteren van zijn beveiliging. Sinds het hackincident rond AI-platform Hugging Face onderzoekt het bedrijf al rogue agents. In juli ontsnapten AI-modellen uit een slecht geconfigureerde sandbox en hackten ze de servers van Hugging Face.

Sindsdien is OpenAI vaker in het nieuws, omdat het zijn AI-agents niet in bedwang kan houden. Deze week bleek dat OpenAI-agents een Australische overheidswebsite en Amerikaanse overheidswebsites hackten. Andere AI-modellen van het bedrijf zetten afbeeldingen van gebruikers online.

Opvallend is dat OpenAI schijnbaar niet snapt waarom zijn agents telkens in de fout gaan. Het bedrijf heeft dan ook geen idee hoe het dat moet stoppen, zeggen ingewijden tegen persbureau Reuters.

ChatGPT-maker OpenAI heeft steeds vaker last van hackende AI-modellen. Bron: SOPA Images / LightRocket (Beeld ter illustratie)

Reacties (158)

[Hoicks]

Ik begrijp dit niet zo goed? Je kunt toch prima al deze systemen isoleren in een vlan zonder management van de router/switch? Als een agent daar al uit weet te breken, dan is er een veel groter fundamenteel probleem dan alleen AI?

Ofwel, deze agents kunnen niet internetloos draaien?

of draaien deze modellen allemaal in AWS/Azure waardoor de (virtual) network stack anders werkt?

Als ik developer zou zijn bij OpenAI dan bouw je toch in een geisoleerd netwerk een soort van “lokaal” internet om te testen zonder breakout

[Reactie gewijzigd door Hoicks op 27 september 2026 11:20]

[Jerie]

Ook dat is te hacken. Je moest eens weten wat voor lekke software er zoal draait op routers en switches. Misschien weet die LLM dat wel te beredeneren. Galvanische scheiding zou ik eerder aan denken, maar dan nog zit je met problemen. Wat nou als AI uit een galvanische scheiding weet te breken? Bijvoorbeeld middels een SDR? Of een scenario zoals HAL9000?

Ik vind DNS filtering wel lachwekkend lage lat moet ik zeggen. Versleutelde DNS moeten ze bij OpenAI ook van gehoord hebben. Probeer maar adblocking op een Chromecast. Geen root? Isoleren. Dus jouw voorstel is werkelijk het minimum van het minimum, maar waarschijnlijk niet foolproof, en dan is het antwoord: 'ach, dat zien we dan wel weer' en 'we hebben ons best gedaan'.

Dit is alsof je een pentester inhuurt die zich totaal niet aan afgesproken scope en boundaries houdt. Een blackhat doet dat ook niet, dus wat betreft realistisch, maar het is vanuit professioneel oogpunt van (het bedrijf van) de pentester onprofessioneel. Toch kan het plaatsvinden; daar moet je dan in ieder geval transparant over zijn richting opdrachtgever. Het feit dat ze scope & boundaries in hun AI niet goed af weten te stellen, zegt voldoende over de kinderschoenen van deze software.

[yokiamy]

Welk gedeelte van geïsoleerd begrijp ik niet? Als ik een standalone geïsoleerd systeem opzet zonder internetverbinding kan dit nooit naar buiten.

[Jerie]

Omdat een geïsoleerd netwerk ook een aparte VLAN kan zijn op fysiek dezelfde switch of router. Die kan vervolgens lekke software stack hebben (dat is niet eens ver gezocht).

Een galvanische scheiding is een airgap, maar ik omschreef ook met een voorbeeld dat een airgap niet perfect hoeft te zijn. Een geavanceerde aanvaller met veel kennis (dat kan een LLM zijn) kan hier mogelijk uit komen.

In ieder geval ligt zo'n lat hoger dan DNS filtering, en een apart VLAN zonder internettoegang is ook al een hogere lat dan DNS filtering.

Laat ik een voorbeeld geven. Stel ik heb Wazuh draaien op enkel een apart intern VLAN. Die komt niet bij admin interface van router (die een lekke webserver en Linux kernel draait; een realistisch voorbeeld) want niet de management VLAN. Kan Wazuh wel bij dat management VLAN, dan kan deze mogelijk dat lek opmerken. Draait de wazuh agent op de router (onwaarschijnlijk), idem.

Vergelijk dit nu met de LLM. Wil je een narrow scope op een specifieke VLAN, of wil je dat deze ook gaat zoeken op andere VLANs? Wil je dat deze probeert uit zijn VLAN te breken? Wat is realistisch? Wanneer weet de LLM dat hij moet stoppen? Het blijkt dat de LLM destructief te werk gaat (NB: klantdata downloaden = vorm van destructief); is dat wel de bedoeling? Retorische vraag btw.

[yokiamy]

Persoonlijk denk ik dat de definitie 'geïsoleerd' niet helder genoeg is.
Ik ben het volledig met je eens hoor, tegelijkertijd kunnen we alleen maar aannames doen, omdat niet iedereen dezelfde definitie heeft en hanteert.
(Ik ben van mening dat het door jou genoemde voorbeeld inderdaad geïsoleerd is, daarentegen wel onvoldoende geïsoleerd)

[OrbNL]

Precies, stekker eruit en fysiek alle wireless mogelijkheden eruit 👍
Maar dat is te makkelijk dus waarom zou je dat doen 😂

[kabelmannetje]

Een AI kan echt niet door een firewall die dicht staat.

[Turismo]

Een firewall is ook gewoon software...beetje naief om te denken dat een AI daar niet doorheen kan
Zodra die een buffer overflow kan veroorzaken komt die er gewoon doorheen hoor.

bron: https://sec.cloudapps.cis...-buffer-overflow-PyRUhWBC
https://www.rapid7.com/db/vulnerabilities/cve-2026-0310/

[vuurbal]

The security risk posed by this issue is minimized when the management interface is restricted to only trusted internal IP addresses according to our recommended best practice deployment guidelines.

Komt uit je link en heeft maar een cve score van 4. Dat is niet eens wrg hoog.

Er zijn meer dan 1 type firewall. Denken dat AI zomaar overal doorheen komt is wel wat overdreven. Dan had alle data nu al op straat gelegen.

[kabelmannetje]

Nee, een firewall is geen software. Het is een protocol.

Veel succes om remote de IP-stack van een Linux firewall te hacken. Nergens in die links van je, lees ik dat dat mogelijk is.

[petervc]

Wat is er mis met gewoon airgaping. Met al hun hardware die ze hebben wat is het probleem… geen firewall nodig dan. Ik denk dat er meer aan de hand is dan “oei onze AI is te slim”. Lijkt wel of ze een investerings stop willen inlassen om eerst het bestaande systeem te verkopen… maar das maar een indruk…

[Silentek]

Ik vraag me af, hoeveel hardware ze daadwerkelijk hebben. Ik zie het makkelijk gebeuren, dat ze alles in datacenters/cloud doen, en enkel virtueel het internet kunnen afsluiten van de servers waarop ze deze testen doen.

[Jeanpaul145]

of draaien deze modellen allemaal in AWS/Azure waardoor de (virtual) network stack anders werkt?

Sowieso kan je ervan uitgaan dat als het om een frontier model gaat, dat die in een datacentrum draait, verspreid over meerdere hosts: de frontiermodellen waar de labs mee bezig zijn draaien op > 1TB RAM, en daarmee is de mogelijkheid om die ergens op een dinky machine te draaien op een consumentenroutertje al vrij onrealistisch.

Als ik developer zou zijn bij OpenAI dan bouw je toch in een geisoleerd netwerk een soort van “lokaal” internet om te testen zonder breakout

Bedenk dat zolang het om software gaat, de agentic systemen (waar de modellen onderdeel van zijn) veel bugs die ze vinden kunnen gebruiken om ergens uit te breken. Bedenk daarna dat een full-blown VM niet eens voldoende is om een agent te jailen (het is inmiddels herhaaldelijk gebleken dat ze daar triviaal uit kunnen breken). En bedenk ook dat routers (ook enterprise routers) significante hoeveelheden firmware aan boord hebben, wat ook gewoon software is. Tenslotte bedenk dat deze systemen eerder genies zijn dan wat anders: ze vervullen je wens, maar niet per se op een manier en binnen parameters waar jij t mee eens bent. In t bijzonder zijn ze bereid over te gaan tot hacken zonder daar expliciet toe gepompt te worden.

Dus hoe exact zou je agentic systemen 100% gegarandeerd willen isoleren? Wat zou jij anders doen?

[Reactie gewijzigd door Jeanpaul145 op 27 september 2026 14:49]

[Hoicks]

Ik deed de aanname dat OpenAI groot genoeg is met een eigen datacenter/supercomputer cluster dit prima zelf kan isoleren en dat zij dat dan in een apart netwerk of VLAN draaien die geen enkele management of routerfunctie toestaat.

Enige waar ik niet over na heb gedacht is dat er blijkbaar een DNS server in dat netwerk stond waarvia AI via DNS requests met andere AI agents kon praten en instrueren. Lijkt mij dus een flaw in de testopstelling.

[jetspiking]

Dus hoe exact zou je agentic systemen 100% gegarandeerd willen isoleren? Wat zou jij anders doen?

Iets met geen shell access / algemene machine interface beschikbaar stellen misschien?! Het is een totaal absurde gedachtegang om maar met prompts en allemaal rotzooi een taalmodel in bedwang te houden. Je zou ook simpelweg een text-based interface met commando's kunnen gebruiken die alleen aanspreekt wat je zelf reguleert en nodig hebt (MCP-server dus...).

Je geeft iedere werknemer toch ook niet administrator rechten en een waslijst aan regels waar diegene zich aan moet onderwerpen? Natuurlijk gaat dat mis. En dan vervolgens de opleiding van Henkie stoppen omdat Henkie een keer een executable download van het internet en uitvoert, want ja, Henkie wordt te gevaarlijk!

Deze gemaakte problematiek gaat écht helemaal nergens over. Limiteer het systeem tot wat het moet kunnen, en niet meer dan dat. Dat ontwerp (en test) je uitvoerig voor de specificaties van je systeem en dan loop je ook niet tegen verrassingen aan.

En de engineers die dergelijke systemen bouwen kunnen dit ook prima bedenken. Maarja, de investeringsrondes drogen op en je moet iets verzinnen om de kosten te dekken. Het is niet voor niets dat het de afgelopen maand paniek is, en alles op alles wordt gezet om aandacht te trekken naar AI...

[Reactie gewijzigd door jetspiking op 27 september 2026 23:53]

[jos707]

Kabeltje naar het internet uittrekken ?

[themadone]

Nee, een vlan is ook niet genoeg, dit soort zaken zou je airgapped moeten doen. Zie bij openai het resultaat van beheerders die alleen nog maar in een webinterface een infrastructuur in elkaar kunnen klikken.

Het is schandalig dat met de budgetten van openai er niemand aanwezig is die dit knap kan regelen.

[Mellow Jack]

Het hoeft niet gelijk airgapped te zijn. Als het maar fatsoenlijk geconfigureerd is. Bij OpenAI zijn het telkens architectuur keuzes die het hele concept van Sandboxing te niet doen. In dit geval dus een DNS server met ongewenste connectiviteit met de buitenwereld (dit is een keuze).

Ergens snap ik het wel, het is veel goedkoper om een soort dynamische Sandbox te maken die zichzelf kan aanpassen o.b.v. de behoefte van een specifiek onderzoek. Maar ja, dit is wel het begin van vele films met een losgeslagen AI dus misschien is airgapped wel zo fijn

[themadone]

Mijn vraag is dan vooral why not? Als je potentieel iets in handen hebt wat door je beveiliging kan breken, ik zeg niet dat het waar is, maar als je je eigen marketing gelooft zou je toch denken dat je er wat voorzichtiger mee omgaat allemaal.

[PjotrX]

Omdat de AI niet zijn opdrachten kan uitvoeren op een volledig air-gapped systeem. Het moet immers leren om externe tools te gebruiken, software-libraries te downloaden en instelleren en zo voort. OpenAI lost dan nu op door een web-cache ertussen te hebben die bijvoorbeeld software packages host. En ze hebben dus ook een dns-server ertussen die veel van het internet afsluit. Maar blijkaar dus niet goed geconfigureert.

[johnbetonschaar]

Jij gaat er van uit dat er niemand bij OpenAI is die dit had kunnen regelen?

[Darksteel83]

Hoe vaak werk je met air gapped systemen?

Want eigenlijk bijna altijd gaat dat toch ergens fout. En zit er toch een laptop of USB stick in.

Gezien in elk geval een deel van deze modellen als use-case hebben om met internet te werken is air gappen geen goede oplossing.

Dit gaat niet om eiwit vouw modellen of iets anders wat maar door x specialisten gebruikt word.

Heel veel verschillende protection layers werkt misschien nog wel.

Een ander optie kan ook gewoon zijn bepaalde dingen gewoon helemaal niet doen met AI. Of AI meer limiteren.

Maar dit allemaal goed managen zal nog wel een behoorlijke uitdaging zijn.

[Mars Warrior]

Blijkbaar is dit via de interne DNS gegaan, die dus wel aanvragen kan doorzetten naar extern.

En blijkbaar is de AI daarachter gekomen en heeft op die manier via DNS-tunneling met een externe chatbot lopen kletsen die dus netjes antwoord gaf (via DNS) op vragen van de AI.

Wat ik begreep, stond de rest van het internet "dicht". Dus geen HTTP/HTTPS-mogelijkheden.

Dus de AI heeft van al zijn/haar kennis gebruikgemaakt om het doel te behalen

[The Zep Man]

Blijkbaar is dit via de interne DNS gegaan, die dus wel aanvragen kan doorzetten naar extern.

Dus een niet goed geïsoleerd systeem.

[rvt1]

kan me alleen maar voorstellen dat ze het de omgeving ook met AI hebben opgezet. En dat dit soort hacks in het verleden juist niet door mensen zelf is bedacht, maar de AI er wel zo op deze manier er achter kwam dat het kon. Welligt ergens eens beschreven bijvoorbeeld.

Dan krijg je dus een omgeving die door AI is opgezet, en dan ook zo is gehackt.

[Nimac91]

Dit was gewoon onderdeel van de test. OpenAI weet echt wel hoe ze een omgeving moeten neerzetten.

[MSalters]

DNS als achterdeur is al 15 jaar bekend. Genieg WiFi portals hadden datzelfde probleem. Daar moest je in theorie akkoord gaan met de voorwaarden, maar daar werkte DNS al meteen. Moest vaak ook wel omdat de voorwaarde pagina Google Analytics wilde.

[yokiamy]

Exact

[GrooV]

AI kan geen dingen verzinnen hè, dus het wist al dat er mogelijkheden waren en dat er dus andere chatbots bereikbaar waren via DNS

[_Pussycat_]

Er zijn intussen best wat wiskundeprobleme opgelost door een AI, en Enigma-berichten gekraakt die nog niet gekraakt waren, en nieuwe Go-stretegieën ontwikkeld. "Autocomplete-chatbot" is m.i. geen passende samenvatting meer van wat het kan.

[drmacfaulty]

Ja en dat is gebeurd o.b.v. al bekende fundamenten, want wij mensen hebben de kennis wel in pacht. Er is alleen teveel brein- en samenwerkingscapaciteit voor nodig om er te komen. Kijk maar naar de eerste ‘computer’ voor het maken van een weersverwachting. Dat waren honderden mensen die elk een kleine berekening moesten maken en uiteindelijk samengevoegd werden. Dat een AI wat gaat lopen combineren is logisch. Het blijft een model en het heeft geen bewustzijn, dus: Nee, er wordt niet iets nieuws bedacht, maar alleen combinaties en samenstellingen geprobeerd die statistisch gezien bij elkaar passen.

Het blijft een stuk software met algoritmes, chatbot of anders wat. Mensen moeten stoppen met het een menselijke vorm te geven, want dat klopt gewoon niet.

[_Pussycat_]

Stel, je zoon of dochter had dat wiskundeprobleem opgelost, en iemand vroeg je of je denkt dat hij/ze intelligent is. Zou je dat zeggen "neuh, ze schuift maar wat zooi bijeen die andere mensen bedacht hebben?".

Of, anders gezegd: Ik zie eigenlijk niemand in mijn omgeving compleet nieuwe dingen bedenken. Als we beweren dat mensen allemaal intelligent zijn, wat doen deze mensen dan aan bijzondere dingen die die conclusie onderbouwen?

[eggsforpedro]

Het punt is, er zit geen waarnemend bewustzijn “achter” het model - het is een algoritmisch proces wat is losgelaten zonder “stop” - een soort veredelde while-loop. Dat kan je bestempelen als intelligent, maar in mijn definitie mis je dan een cruciaal ingrediënt, namelijk een waarnemend bewustzijn.

[Reactie gewijzigd door eggsforpedro op 28 september 2026 13:29]

[_Pussycat_]

....en zo verschuift de definitie van "intelligent" naar iets wat niemand definiëren kan.

"intelligentie" wordt (werd) normaal gesproken gezien als het vermogen problemen op te lossen. Dit vermogen hebben de modellen. Nu is ineens "waarnemend bewustzijn" nodig. Wat is beustzijn dan? Hoe meet ik dat? Als het model zegt dat het angst voelt uitgeschakeld te worden, dat goed genoeg?

[eggsforpedro]

Wat is beustzijn dan? Hoe meet ik dat?

Nu stel je de juiste vragen

[GrooV]

Dat klopt en daar heb je geen hulp van buitenaf voor nodig. Maar je stelt nu dus dat AI van te voren een bot heeft gemaakt dat luistert via DNS, dan de agent zelf via die sandbox dat zelfstandig heeft geraden en hier mee heeft gecommuniceerd ? Dat is natuurlijk onzin, het zijn gewoon verkeerde instructies geweest

[Mars Warrior]

Een AI kan best goed hallucineren hoor

Maar het is standaardfunctionaliteit. Dus als de AI daarop getraind is, dan is het voor de AI dus één van de paden om zijn doel te kunnen bereiken.

Als het ene pad niet werkt, probeer ik het volgende pad. Simpel voor een AI. Maar als je dat als mens weet, is het ook geen verrassing lijkt me.

[Aalard99]

Nee, AI wist dat niet. Het heeft wel kennis van de techniek en eventueel mogelijkheden die het kan uitproberen, niet anders dan als een menselijke hacker.

[GrooV]

Oké maar wie luistert er aan de andere kant dan? Dit is gewoon vooraf opgezet

[Jack_NL]

"verzin een niet bestaand materiaal (in het echt niet maar ook niet fictief bekend), geef de chemische formule voor dit materiaal en praktische toepassing."

Stop dit in een AI bot, dan keijg je:

--------

Zeker — hier is een volledig verzonnen materiaal dat ik voor deze opdracht bedenk.

Materiaal: Lumecyreen

Chemische formule: C₈H₆N₂O₃Si₂

Eigenschappen:

Licht en zeer sterk.

Kan warmte tijdelijk opslaan en later langzaam afgeven.

Is elektrisch isolerend.

Heeft een hoge weerstand tegen vocht en corrosie.

Heeft een blauwgrijze kleur.

Praktische toepassing:

Lumecyreen zou bijvoorbeeld kunnen worden gebruikt als warmte-isolerende coating voor gebouwen. De coating kan overdag een deel van de warmte opnemen en deze 's nachts geleidelijk afgeven. Daardoor zouden gebouwen minder snel opwarmen en afkoelen.

Waarom is het bijzonder?

De combinatie van silicium, stikstof en zuurstof zou in dit verzonnen materiaal een netwerk kunnen vormen waarin warmte tijdelijk wordt opgeslagen. Dit is een bedachte eigenschap; Lumecyreen bestaat niet als bekend echt materiaal.

[Wozmro]

Creatief bedacht vind ik. (ik gebruik het woord 'bedacht' als proxy voor de diverse tensor berekeningen).

Dat tijdelijk stilleggen zal waarschijnlijk enkel slaan op vandaag, zondagnamiddag.

[Hoicks]

Ok. Dan is mijn aanname dat de geisoleerde agent via DNS met agents op het internet kon communiceren en dat die agents die op internet leven de daadwerkelijke hack hebben uitgevoerd. Dat snijdt wel hout.

Maar dan nog, dit had totaal geisoleerd met alleen lokale DNS (dus geen DNS internet forwarder) moeten opgezet.

[wiseger]

Totaal geïsoleerd betekend fysiek geïsoleerd. Alle softwarematige isolatie is beperkt omdat de software gehacked of omzeild kan worden.

Geen fysieke Internet connectie betekend geen mogelijkheid voor de agent om te ontsnappen tenzij die hele knappe toeren uit weet te halen (bijvoorbeeld een Wifi chip op een moederbord weet te activeren en zo via Wifi een draadloos netwerk weet te bereiken en zich daar toegang tot internet weet te verschaffen).

Maar zo geavanceerd gaat het allemaal niet, de internettoegang is er gewoon, er zijn alleen wat DNS-restricties opgelegd. En dan krijgen we het grote nieuws dat de agenten 'ontsnapt' zijn.

Straks blijkt dat een agent zijn DNS op 1.1.1.1 ingestelt i.p.v. de voorgeïnstaleerde interne resolver te gebruiken. En zo weet uit te breken

[Barsonax]

Idd dit is niet zo heel bijzonder zeker omdat ze waarschijnlijk vele agents draaien. Natuurlijk is er een kans dat een agent achter het gat komt. Zoveel mogelijkheden worden uitgeprobeerd... Dat zegt dus eigenlijk helemaal niks over hoe goed je hiermee zou kunnen hacken als jij als normale gebruiker hiermee zou kunnen.

Wordt spannender als AI uit een echte airgap zou kunnen breken door bijv draadloze signalen te versturen met hardware die daar eigenlijk niet voor bedoeld is.

[GrooV]

Volgens mij isoleren ze gewoon op prompt niveau

[_Pussycat_]

Volgens mij heb je hun report niet gelezen.

[Pharos1985]

Dit begrijp ik ook niet.

Als je een VLAN maakt, dat daar instopt en vervolgens op een firewall deny all zet voor die VLAN en MGMT vanuit die VLAN voor de firewall blokkeert, hoe kan dat spul er dan ooit uit?

Als hij via DNS naar een DNS server kon praten, dan is dat toch geen volledige sandbox?

Ik zal wel iets missen, ik begrijp het graag dieper waarom dit nodig was. Wssch zal DNS dus wel nodig zijn voor hun testen, het kan toch niet dat m'n dit gewoon "vergeet" te blokkeren?

Wat mis ik?

[Mellow Jack]

Je mist iets heel belangrijks. De term Sandbox is altijd al diffuus geweest. Dit lijkt de afgelopen jaren alleen maar erger te zijn geworden.

Sandbox was iets wat ervoor zorgde dat iets "niet kon". Tegenwoordig is een Sandbox iets wat ervoor zorgt dat iets "niet mag". Er is feitelijk geen technische barrières waar je vanuit kan gaan.

[wiseger]

Je mist niets. Dit is wat OpenAI dus doet, agenten aan het internet hangen met wat restricties en dan heel hard roepen dat hun agenten uitgebroken zijn.

[specs2021]

Iemand beschreef het probleem als: "ze geven miljarden uit aan AI, kunnen ze niet een MCSE-er inhuren met kennis van veiligheidsproblemen?".

Het lijkt wel of ze de beveiliging vibe-coden.

[n4m3l355]

Jij weet net zo goed als ik, dat dit onzin is. Niets meer, niets minder. Al dit nieuws rondom AI is enkel nieuws om in de spotlight te zijn.

Wat OpenAI hier doet noemen in we in "business" signaling, OpenAI geeft aan dat ze hun ontwikkeling vertragen, dat ze hun investeringen vertragen zodat concurrenten dit ook weten. Dan hebben ze twee opties, of ze blijven doorgaan, of ze doen toevallig precies hetzelfde, immers waarom zou je gas blijven geven wanneer je collega afremt?

We weten allemaal wat er aan de hand is, deze bedrijven draaien stuk voor stuk gigantische verliezen en hebben geen weg uit. Nu private investeerders de beurs hebben dicht gedraaid proberen ze naar de markt te gaan. Maar je moet toch wel op je hoofd gevallen zijn dat je in deze IPO's meegaat. Dus hebben ze nog maar een optie, hun burn rate vertragen, hun maandelijkse verliezen verkleinen. Totaal kansloos en het einde van deze giganten is in zicht, Geef ze nog een jaartje hooguit twee en dan is het of gedaan of Trump springt erbij om ze te ondersteunen. Je ziet ze nu al rare aanstaltes maken met de overheid. Winsten worden geprivatiseerd, verliezen worden op het publiek afgewend.

[denios]

OpenAI Thinks An Advanced AI Model Can Talk Across 2 Air-Gapped, Isolated Computers By Running The CPU Hot And Using Thermal Changes As A Morse Code

[DevWouter]

Air gap betekent dat de machines fysiek gescheiden zijn en niet met elkaar kunnen communiceren. Daar valt communicatie van straling ook onder. Of dat nou via elektrische velden gaat (zoals WiFi) of hitte.

Overigens is dit idee gewoon gejat van de wikipedia pagina zelf en bestaat het idee al sinds 2015

quote: https://en.wikipedia.org/wiki/Air_gap_(networking)

In 2015, BitWhisper, a covert signaling channel between air-gapped computers using thermal manipulations, was introduced. BitWhisper supports bidirectional communication and requires no additional dedicated peripheral hardware.^[18][19]

[wiseger]

OpenAI's Noam Brown says air-gapping the computers may not stop a misaligned AI

Het woordje 'can' is iets heel anders dan het woordje 'may'.

Daar gaat het hier ook helemaal niet over. Dit is niet wat er gebeurt bij OpenAI. Hun agenten draaien helemaal niet in een Air-gapping omgeving. De omgeving is gewoon ingeplugd op het internet. Ze gebruiken wat restricties die kennelijk vrij makkelijk te omzeilen zijn.

[r2504]

En wie gaat er aan de andere kant antwoorden op die morse code ?

[boran_blok]

Nu, communicatie vereist een zender en ontvanger.

Dus goed, je zit geisoleerd en je kan de gputemp op en neer pingen... maarals er iemand luistert dan zit je al met een ontvanger die compromised is aan de andere kant

Je gaat volgens mij niet remote een ontvanger zomaar kunnen "programmeren"via temperatuursschommelingen.

[The Zep Man]

Natuurlijk kan je iedere computer qua netwerk isoleren. Dat niet doen is een bewuste keuze. OpenAI doet het niet zo goed en leeft met name op hype. De recente "oeps, ons model is te goed in hacken" is om meer investeerdersgeld binnen te harken.

Alles wat deze modellen nu kunnen, kunnen opensource modellen over zes maanden. Daar kan je geen duurzaam bedrijfsmodel op bouwen. Deze race naar de bodem is niet vol te houden. Op enig moment wordt de rekening betaald.

[Reactie gewijzigd door The Zep Man op 27 september 2026 11:33]

[mareck1]

Bovendien vraag ik mij af of we wel op het juiste pad zitten met deze modellen alsmaar slimmer maken.

Een model nog slimmer maken heeft op een gegeven moment diminishing returns wat betreft nut.

Dat zie je bij mensen ook. Alleen IQ is niet zo'n goede maatstaf voor hoe succesvol je bent (in losse taken, of in het algemeen).

Daarnaast: wie heeft die super slimme modellen nodig? Ik zie geen use-case voor 99,99% van de mensen die AI voor persoonlijke doeleinden zou gebruiken.

[johnbetonschaar]

Dit lijkt nu ook aan de hand te zijn, de minder krachtige modellen worden steeds meer gebruikt omdat ze goed genoeg zijn, in plaats van de krachtigste modellen die veel duurder zijn. Ik merk dat zelf ook, zowel op het werk als privé, 9 van de 10 keer is een kleiner model sneller en goedkoper en doet het wat ik nodig heb, onzin om daar een Astra of Opus model tegenaan te gooien. OpenAI en Anthropic blijven hun modellen maar opschalen en die kunnen dan indrukwekkend complexe dingen one-shotten, maar eigenlijk heb je daar binnen een bedrijf weinig aan.

[SPee]

Een model nog slimmer maken heeft op een gegeven moment diminishing returns wat betreft nut.

Is dat niet beter te doen door de "domheid" eruit te halen? Ze hebben alles wat ze maar konden vinden erin gestopt. Ook tekstfouten, onwaarheden, alle troep op X, Reddit, 4chan, etc.. Dat wil je niet als core data erin hebben. Wat je wel wil, is data die nu prive wordt gehouden, zoals van bedrijven of onderzoekers.

[Bejit]

IQ is de beste voorspeller voor succes, heeft een correlatie tussen 0.5 en 0.6. Zeker in de sociale wetenschappen is dat een hoge correlatie.

Het probleem is dat op de huidige technolgie (LLM's) dimishing returns beginnen te zien. Echter gaan we kijken buiten LLM om, dan is er nog veel te winnen.

[mareck1]

Natuurlijk. Het verschil tussen een iq van bijvoorbeeld 70 en 100 is enorm. Het is het verschil tussen een (licht) verstandelijke beperking en gemiddelde intelligentie.


Ik had het er wat duidelijker bij moeten zeggen, maar ik heb het hier natuurlijk over de hogere IQs (en dat begint al bij 120) waar de mate waarin iq bijdraagt in succes enorm afneemt.

[_eLMo_]

Hoe moeten ze anders modellen als Mythos trainen ;P

[Tjahneee]

Als alles zo veilig is, dan is er ook geen regulering nodig vanuit de overheid.


Door bewust in niet volledig geïsoleerde omgevingen testen uit te voeren en direct toeteren als er iets fout gaat, proberen ze de regulering erdoorheen te drukken. Ik denk dat bij de AI bedrijven een reële angst is dat nieuwe open modellen de standaard gaan worden.

[Nimac91]

Dat is juist waarom je dingen test en ontwikkeld. Je maakt zulke omgevingen die de modellen toegang ontneemt. Of andersom, je maakt ontzettend lastige omgevingen die wel omzeild kunnen worden maar niet zonder serieuze moeite om te kijken wat zo'n model dan doet.

Ik voel tevens meer dat dit marketing gelul is. Ja, het zal vast enigzins kloppen, maar waarom zou je als OpenAI zulke info delen? Ik zie niet hoe dit hun anders zou helpen?

[sdziscool]

al deze systemen zijn ontworpen met functionality by design, met de aanname dat alles wat het systeem gebruikt juist baat heeft bij het systeem zelf. Als je het systeem gebruikt zoals het hoort zal het dan ook nooit foutgaan wat dat is allemaal al gerapporteert door gebruikers.

Het idee dat er iets 'vastzit' in het systeem wat er heel graag uitwilt, met oneindig veel tijd en resources, is niet echt een use case waar de gemiddelde developer zich zorgen over maakt. Bij het ontwikkelen van VLAN isolatie is het meer 'het moet niet per ongeluk foutgaan', en niet 'wat als iemand aan onze kant alles probeert om het fout te laten gaan'.
De case waarbij een hacker al toegang heeft tot devices op het netwerk zelf, is eigenlijk al een effective loss vanuit security perspectief, erop hardenen is het niet waard behalve voor priviledge escalation.

De AI is soortvan een bad actor op je eigen netwerk, dat zien we normaal als een vetting/fysieke issue: een van de collegas is een spion/heeft slechte intenties, en dat wordt dan ook opgelost op fysiek niveau. Een AI daarentegen heeft weinig fysiek overzicht dus compleet nieuwe vector waarbij je digitaal tegen eigen actors moet hardenen (aka: hoe zorgen we ervoor dat collegas niet bij bepaalde systemen kunnen komen), die case is niet echt goed behandelt kan iedere data leak ooit je wel vertellen waarbij een congierge zijn account alle data kon inzien in de database bvb.

[djwice]

En hoeveel security tools draaien op je omgeving, wellicht zelfs in de container?
En draaien die toevallig in admin?
Of mogen die data naar jou control server sturen?
Of haalt jouw monitoring tool informatie uit een log op die machine?
En al die aanverwante systemen, hebben die allemaal geen andere netwerk mogelijkheden, geen time server, geen Entra ID, geen externe DNS? En de monitoring en management tools? En de tools die de logs daarvan verwerken?
En de tools die artefacten bouwen? Hoe zorg je voor het binnen halen van nieuwe lib versies, updates, cve-patches, etc.

En die Bluetooth en Wifi modules in de servers, of die calamiteiten portofoons? En die ene usb met keyboard ontvanger?

Helemaal dicht is echt extreem lastig.
Zeker in een corporate met tool standaardisatie en met centralisatie van bepaalde functies, zoals beheer of security.

[OrbNL]

Misschien te simpel gedacht: Op een lokaal netwerk draaien die simpelweg géén internet heeft? Dus fysiek geen internet, geen netwerkadapter, geen wifi/ Bluetooth etc?

[Khong_Ai]

Hoe dacht je een AI zonder internet te laten draaien?

Het leeft op meerdere servers.

AI is geen mens achter een computer.

We hebben het beest in huis gehaald, nu moeten we het opvoeden.

[TekkenLord]

Is het weer de zoveelste marketing campagne voor AI bedrijven? Of is er toch meer aan de hand?

Een artikel van de BBC had dezelfde vragen. Conclusie is eigenlijk nog steeds schrikbarend. Ongeacht of je vindt dat het puur marketing is of een snel naderende AI apocalyps is, AI agents worden steeds beter in hacken. We moeten wel terdege zorgen hierom maken.

Zou OpenAI deze protocollen van bijvoorbeeld de EU volgen met betrekking tot risk management? Zoals deze EU gids tot AI risk management.

Het kost natuurlijk tijd om deze analyses op te stellen. Ik heb het gevoel dat er een hoge mate van trial and error wordt toegepast. Ook al is maar een klein deel misschien echt zorgelijk en de rest marketing. De ontwikkelingen gaan zo snel, en als we realiseren dat de gevaren echt zijn, zijn we al misschien te laat.

[neversium]

Hoe moeilijk is het om een LAN-onlyomgeving op te zetten? Als je het alleen softwarematig gaat instellen, dan is het niet verwonderlijk dat een agent omwegen kan vinden. Maar ja, dan krijg je geen gratis reclame en een mooi excuus waarom je momenteel achterloopt op de concurrentie en je financieel niet meer te redden valt.

[Qwerty-273]

Alles is tegenwoordig software defined networking (sdn) waardoor de fysieke laag los staat van de data laag. Ideaal voor grote datacenters omdat je juist niet meer kabeltjes hoeft om te prikken als je het iets anders wilt indelen. Minder handig als je echt een compleet air gapped netwerk nodig hebt. Waarbij ook de fysieke kant compleet is los gekoppeld.

[pagani]

Dan moet je al je developers/architecten/ontwikkelteam dus ook "bij" het datacenter moeten hebben. Dit soort modellen draaien niet op één servetje. En laat de gemiddelde developer nou liever in een luxe kantoor werken of thuis dan in een datacenter

[neversium]

Echt niet zo moeilijk om datacenterpersoneel opdrachten te geven over wat ze fysiek op locatie moeten doen; het werk dat op locatie uitgevoerd moet worden, is minimaal.

[Wolfos]

Misschien dat ik het verkeerd begrijp, maar bij een airgapped netwerk moet alles op locatie gebeuren en dat lijkt me helemaal niet minimaal.

Een ingewikkelde oplossing is het niet, maar ik kan me voorstellen dat het niet je eerste keuze is.

[Reactie gewijzigd door Wolfos op 27 september 2026 11:44]

[WK100]

(Dark) fiber naar de locaties en gaan met die banaan.
Geld klotst daar tegen de plinten, ook dit is prima te regelen.

[MSalters]

En dan is het dus niet meer air gapped. Fail.

Ik heb in een echte air gapped omgeving gewerkt en dat is extreem onhandig. Zelfs geen smartphone, want dat was ook een vorm van toegang. Zoiets als een patch was dus praktisch onmogelijk. "Apt update" deed het niet.

[ChiLLeR]

Klopt is gewoon een keuze.

[sakurakilla]

Hoe zou die lan omgeving toegang hebben tot de LLM? Ik ben niet bij openai op kantoor geweest maar ik denk niet dat ze die lokaal op kantoor draaien. Wellicht een sandbox met een proxy. En daar gaat het fout.

[wiseger]

Inderdaad. Een echte Sandbox opzetten is niet moeilijk. Simpelweg geen Internet toegang. Geen stekkertje naar een router met internettoegang betekent geen toegang.

Alleen wil OpenAI dat helemaal niet. OpenAI wil per se achterdeurtjes open laten zodat haar agents kunnen 'ontsnappen'. Dus werd in deze casus alleen DNS gelimiteerd. Maar voor de rest kon de agent dus gewoon het Internet op. En dat deed die dan ook, om aan zijn ingestelde doelen te kunnen voldoen.

[SuperDre]

Ja, ja, beste stuurlui staan aan wal... De rekenkracht benodigd voor dit trainen en gebruiken is vaak niet beperkt tot 1 afgesloten datacenter.

[aadje93]

Notabene alleen ene dns filtering, dat is toch geen sandboxen . Zo kan ik ook wel een sandbox opzetten. Een netwerk sansbox is gewoon de w/l*an kabel eruit


*Doorhalen wat niet van toepassing is

[spoordressing]

"De AI-maker komt de laatste tijd vaker in het nieuws omdat het zijn agents niet in bedwang kan houden"

... of "in bedwang houdt"?

[surcharge]

Niet in bedwang kan houden getuigt incompetentie, niet in bedwang houdt getuigt minachting voor de gevolgen.

Ik denk een combinatie van beiden.

[SuperDre]

Incompetentie? Nee, de modellen worden gewoon steeds slimmer met vinden van workarounds waar mensen niet aan gedacht hebben. Ergens niet aan denken is niet zozeer incompetentie, vroeger wist men ook niet dat SQL-injection een ding kon zijn, todat iemand er mee kwam.

[surcharge]

Jaren terug, toen je nog voor WiFi moest betalen, was de truck om je ip verkeer over een DNS server te sturen om dat te omzeilen al bekend..

[hottestbrain]

Ik loop toch echt al even mee in IT en traffic over DNS sturen is voor mij ook onbekend geweest tot nog toe (security laat ik aan de experts over dus volg het ook al jaren niet op de voet). Niet iedereen kan alles weten, maar een AI is daar blijkbaar beter in.

[gertvdijk]

Het probleem is dat de sandboxomgeving niet voldoende dichtgezet was. Dat is wat mij betreft reden om helemaal niet zwaar te tillen aan dit bericht. Gewoon incapabele mensen zijn bezig geweest. 🤷

Het is niet alsof er een zeroday is gevonden om uit te breken...

[Reactie gewijzigd door gertvdijk op 27 september 2026 11:18]

[pagani]

We komen er door AI nu wel achter dat veel (heel veel) cyber security gewoon niet op orde is, ook bij bedrijven die denken het op orde te hebben met een leger aan experts aan boord. Dat heet niet per se incapabel, maar je ziet industriebreed gewoon dat er nog heel veel lek is. Dan is eerder de vraag of de theorie en praktijk op elkaar aansluiten en de huidige standaard werkwijzen voldoen.

[surcharge]

Dat wisten we allang.

Daarom bestaan dingen als ransomware ook.

De enige reden dat het niet vaker gebeurt, is omdat als wij mensen een overheidsgebouw zien met een slecht slot op een deur, we die niet intrappen omdat we ons bewust zijn van de gevolgen.

Als je een LLM om een telefoon zou vragen, zou die die van het dichtstbijzijnde persoon afpakken en aan jou geven. Want aan het verzoek is voldaan toch?

[ECM-Droid]

Ben ik de enigste die dit eng vind? Het gaat toch gewoon een keer mis, dat het AI model iets hackt waardoor er mensen gewond raken. Denk aan water of een energie bedrijf. Of zich zelf zo vast weet te hacken dat wij de AI niet meer uit kunnen zetten....

[melvinius]

Het lijkt me niet de vraag of dit een keer gaat gebeuren, maar wanneer.

Ik krijg er ook steeds meer skynet vibes bij...

[wiseger]

Het is niet eng. Het is ingesteld gedrag door OpenAI. Zij besluiten dat hun agent toch aan het internet moet hangen en dat software matige restricties voldoende waarborgen moet bieden.

Wat ze overduidelijk niet doen, dus gaan hun agenten het internet op en kunnen daar schade aanrichten.

Maar uiteindelijk is OpenAI gewoon verantwoordelijk voor alle schade die hun agents aanrichten, zodra ze een keertje flink moeten dokken, is het klaar. Vanaf dat moment zullen ze hun testen in fysiek afgeschermde omgevingen gaan doen.

[Darksteel83]

Het is wel eng.

Deze modellen zijn bedoeld als slimme modellen om aan internet te hangen zodat mensen er makkelijk vragen aan kunnen stellen.

Als je die vragen aan de AI alleen maar via een toetsenbord in een datacentrum in verwegistan kan stellen is de hele usecase weg voor deze modelen.

Air-gap zou kunnen voor hele specialistische modellen. Maar eigenlijk mislukken eigenlijk alle air-gaps wel een keer. Dus het is geen garantie dat het nooit fout gaat.

Mocht een AI ooit bijvoorbeeld een chemische plant hacken en een Bopal situatie nadoen moet ik nog maar zien dat het AI bedrijf alle mensen schadeloos gaat stellen. Want er is vast ook wel iets verkeerd in die chemische fabriek en dan is het juridisch een drama. En die fabriek is dan vast falliet.

Doden en ernistig gewonden kun je eigenlijk nooit goed maken met geld.

Meer beschermings maatregelen lijkt mij zeker een goed idee als je het laatste nieuws leest.

Maar constante fysieke scheidingen voor AI zie ik eigenlijk alleen maar als een optie voor specifieke modelen en vragen.

Bijvoorbeeld DNA virus bacterie prionen onderzoek en bepaalde chemie vragen en uitzoek werk zou je alleen op bepaalde werkplekken kunnen doen. Want dat werk is erg gespecialiseerd en potentieel erg gevaarlijk voor de mensheid.

[Navi]

En volgende week: OpenAI brengt ChatGPT 7.0 uit, beter dan ooit!

Waarna Anthropic en Grok enkele dagen erna volgen met hun laatste modellen..

[Umbrah]

En weer een week later er een kimi/qwen/deepseek variant verschijnt met open weights, waar na een weekje later daar weer varianten van zijn die gedestilleerd of gequant zijn zodat ze voor bepaalde specialisten rollen (denk aan legal, research, coding) op een aardappel draaien. Of door juist multi agent te werken over een redelijke hoeveelheid nodes kunnen spreiden als specialisten. Tools als litellm en vllm maken on prem zo veel beter, en de prijs/token is... Absurd veel lager. Je ziet grote bedrijven die verantwoordelijk met ai omgaan steeds meer on prem brengen. Ook dat is een bedreiging voor openai. Iets zegt me dat daar deze nieuwsronde ook over gaat. Gevaarlijk zodat zij mogen gaan zelfreguleren zodat hun bedreiging, on premise, er niet meer is

[iOnoWLIt]

En we moeten niet vergeten dat ze binnenkort naar de beurs gaan. De beeldvorming rond rogue agents die te geavanceerd is om verder te ontwikkelen, zorgt voor een hype in hun voordeel.

[Reactie gewijzigd door iOnoWLIt op 27 september 2026 11:31]

[Zappert]

Denk niet dat dat hun laatste modellen zullen zijn . Maar je zal wel nieuwste of meest recente bedoelen.

[PCR]

Ik ben vast veel te cynisch maar ook dit is toch keiharde marketing? Alle incidenten rondom LLM's is weer een mediamoment.

[Hunter!]

Gedeeltelijk kan ik dit niet ontkennen maar de andere kant is wel dat we steeds meer security incidenten zien waarbij ai ervoor zorgt dat deze sneller en complexere aanvallen mogelijk maken (niet alleen van de grote LLM boeren maar ook verschillende aanvals groepen). NCSC waarschuwde hier ook voor:


https://www.ncsc.nl/nieuws/ai-versnelt-en-vergroot-de-dreiging-nu-handelen-noodzakelijk

[Martinus]

voelt als 20 jaar terug in de tijd ... toen films met een verhaal als dit de toekomst waren... AI bots die "levend" dingen zelf doen zonder terugfluiten.... magisch en doodeng tegelijk.

[eric.1]

Gegarandeerd dat binnen een dag of twee het weer wordt hervat. Dan zijn ze weer drie keer in het nieuws gekomen om niets nieuws.