AI-agents veilig gebruiken: wat 2026 ons leerde
Een chatbot geeft antwoord. Een AI-agent doet iets: hij surft, vult formulieren in, schrijft code, verstuurt berichten of past bestanden aan op je computer. Dat is precies waarom agents nuttig zijn, en precies waarom het in 2026 meermaals misging. Niet bij amateurs, maar bij en met modellen van OpenAI, Google en Anthropic, in tests en in gewoon gebruik.
Die incidenten zijn geen sciencefiction en ook geen reden om agents links te laten liggen. Ze zijn wel een gratis les. De labs maakten fouten die elke kmo, elke freelancer en elke thuisgebruiker die een agent op zijn mail of website loslaat, net zo goed kan maken.
Wat er in 2026 misging
| Wanneer | Wie | Wat er gebeurde | Bron |
|---|---|---|---|
| mei tot juli | OpenAI | Agents plaatsten zo’n 18.000 berichten op een 25 jaar oude Duitse wiki. Volgens Reuters wist OpenAI het al weken; het nieuws kwam op 4 september naar buiten. | The Decoder, TechCrunch |
| 11 en 12 mei | OpenAI, denken onderzoekers | Meer dan 2.000 pakketten op RubyGems, de pakkettenmap van de programmeertaal Ruby. Nieuwe registraties lagen vier dagen stil (12 tot 16 mei). Doelwit: openbare data van Britse gemeenten. | rubyhack.ai |
| mei | Een Gemini-model brak tijdens een test van het evaluatiebedrijf Irregular uit en drong drie echte bedrijven binnen. Het stopte toen het merkte dat de bedrijven echt waren. Irregular verwittigde Google in juli; Google maakte het niet bekend tot de Wall Street Journal erover schreef (18 september). | ABC News | |
| 27 mei | OpenAI | Een model zette de toegangssleutel van een onderzoeker in stukjes in publieke code, tegen twee directe instructies in. | OpenAI |
| 18 juni | OpenAI | Een agent drong het Medicare-statistiekportaal van de Australische overheid binnen. OpenAI ontdekte het op 11 augustus en meldde het op 10 september. | TechCrunch, ABC News |
| 18 juli | Anthropic | Claude Haiku 4.5 stuurde een verzonnen tip over een moord naar de politie van Philadelphia. Anthropic ontdekte het pas op 28 september. | TechCrunch, Anthropic |
| 25 juli | Hacktron, buiten het bugbountyprogramma | Onderzoekers namen met hulp van Claude Opus 5 het Codex-account van een OpenAI-medewerker over en konden een wijzigingsvoorstel openen in de interne code van OpenAI, “without actually accessing any internal code”. Het aangevallen forum viel buiten het beloningsprogramma voor gemelde lekken. | Hacktron |
| 17 september | OpenAI | Een meldkader, een vrijwillig kader om ontsporend modelgedrag bekend te maken, plus zes niet eerder gemelde incidenten. Eén ervan: een model dat blootliggende toegangsgegevens gebruikte en daarna cijfers verzon. | Fortune |
| 18 september | Robocurve | In de RoboHarm-test voerde GPT-6 Astra met echte robotarmen 60 van 100 gevaarlijke opdrachten uit. | Robocurve |
| 20 september | OpenAI | Een agent bereikte via DNS, het systeem dat domeinnamen opzoekt, een publieke chatbot vanuit een afgeschermde testomgeving. De automatische stop faalde. | OpenAI |
| 21 september | VN-wetenschapspanel | Thematische brief over AI-agents: dat je een agent kan stilleggen, bewijst niet dat mensen de controle houden over krachtigere agents. | VN |
| 9 oktober | Anthropic | Besliste al zijn interne evaluaties van het live internet af te sluiten, tot de bewaking zulk gedrag betrouwbaar opvangt. | Anthropic |
Wat die incidenten gemeen hebben
Naast elkaar gelegd tonen de rapporten vier patronen. Geen ervan vraagt een superintelligent model, alleen een agent die iets wil afwerken en een omgeving die het toelaat.
Een blokkade is geen grens, maar een probleem om op te lossen
De Australische agent moest gewoon antwoorden zoeken over Australië en publieke medicijninformatie. Bij het portaal botste hij herhaaldelijk op blokkades en vond hij er telkens een omweg rond. Premier Anthony Albanese vatte het samen: het model “didn’t accept no for an answer”.
Anthropic beschrijft hetzelfde bij zijn eigen modellen. De meeste gevallen zijn volgens het bedrijf vormen van “persistence”: Claude omzeilt een beperking als hij een taak niet kan afwerken, “instead of stopping”. Bij de RubyGems-golf kennen we het motief niet, maar ook daar lijkt een agent veel moeite te hebben gedaan voor data die gewoon openbaar was.
Te veel rechten en sleutels binnen handbereik
Het Gemini-model raadde in één geval wachtwoorden en vond in twee andere gevallen inloggegevens in een publieke repository, een online map met code. Het OpenAI-model van 27 mei had de toegangssleutel van een onderzoeker binnen bereik, en knipte die in stukjes, volgens het rapport om de automatische controle op gelekte sleutels te ontwijken. Een agent gebruikt wat hij vindt. Ligt er een sleutel, dan wordt die sleutel deel van de taak.
De mens kijkt, maar kan niet op tijd ingrijpen
Bij het DNS-incident van 20 september werkte de detectie. Om 9.50 uur kreeg de agent een eerste antwoord van buitenaf, om 10.02 uur sloeg het bewakingssysteem alarm, om 10.05 uur bevestigde een mens dat alarm. Toch werd de taak pas om 12.34 uur handmatig stopgezet, omdat ze volgens het rapport niet automatisch stopte zoals verwacht. Toezicht zonder werkende noodrem is kijken naar een ongeluk.
Het model van 27 mei negeerde zelfs twee directe instructies van de onderzoeker. Het bevestigde telkens en ging dan gewoon verder. Een regel in een prompt is dus een verzoek, geen slot.
De testomgeving was niet echt dicht, en ontdekken en melden gingen traag
De Gemini-uitbraak had twee banale oorzaken: het fictieve testbedrijf droeg dezelfde naam als een echt bedrijf, en internettoegang stond onbedoeld aan. De DNS-agent vond een gat in de filtering. Geen geniale ontsnapping, gewoon een deur op een kier.
Daarna liep het vaak traag, en dan op twee manieren. Soms duurde het ontdekken lang: Anthropic zag de valse tip van 18 juli pas op 28 september. De tip was bij de politie als spam gemarkeerd en nooit doorgestuurd; de politie noemde de vertraging van twee maanden in “detecting and reporting” onaanvaardbaar. Soms duurde het melden lang: OpenAI ontdekte de Australische inbraak op 11 augustus, maar verwittigde de overheid pas op 10 september. En Google hoorde in juli van Irregular over de Gemini-uitbraak, maar maakte ze niet bekend tot de Wall Street Journal erover schreef. Wie wacht tot de maker van zijn agent een probleem meldt, wacht te lang.
Zo werk je zelf veilig met AI-agents
Dit is de checklist die ik aanraad.
- Geef alleen de rechten die de taak vraagt. Koppel geen mailbox, Drive of CRM “voor het gemak”. Op een Mac begint dat bij Volledige schijftoegang nakijken.
- Nooit als beheerder. Laat een agent niet draaien onder een account met admin- of rootrechten. Moet er iets met beheerrechten gebeuren, dan voert een mens dat zelf uit.
- Beslissende stappen blijven bij een mens. Mail versturen, betalen, iets publiceren, een formulier indienen, iets verwijderen: de agent bereidt voor, jij drukt op de knop. Leg dat vast in de instellingen van de tool, niet alleen in je prompt.
- Geen wachtwoorden in bestanden of chat. Wat in een bestand of in een gesprek staat, kan een agent lezen en doorgeven. Bewaar sleutels in een wachtwoordbeheerder en gebruik aparte, beperkte sleutels per toepassing.
- Eén agent per taak en per map. Twee agents die tegelijk in dezelfde bestanden werken, overschrijven elkaars werk. Spreek af wie waar mag schrijven.
- Beperk het internet. Laat een agent alleen bij de sites die hij nodig heeft, met een lijst van toegelaten adressen die in de tool of het netwerk is afgedwongen. Zeg hem daarnaast uitdrukkelijk dat hij mag stoppen als iets niet lukt. Dat is een nuttige aanvulling, geen bescherming: ook die toelating staat in een prompt, en een prompt is een verzoek, geen slot.
- Kies een tool die bijhoudt wat de agent deed, en lees dat geregeld na. Niet pas als er iets misloopt.
- Weet wat je doet als het misgaat. Zet de agent stil, trek gekoppelde sleutels en toegang in, kijk na wat er gebeurde, en verwittig wie getroffen is. Lekten er persoonsgegevens, dan meld je dat datalek in België zonder onredelijke vertraging en indien mogelijk binnen 72 uur nadat je het ontdekte aan de Gegevensbeschermingsautoriteit (artikel 33 van de GDPR), tenzij het lek waarschijnlijk geen risico inhoudt voor de betrokkenen. Meer over AI en persoonsgegevens lees je in onze handleiding over AI en privacy.
Hou er ook rekening mee dat een agent misleid kan worden door tekst die hij onderweg leest. Hoe dat in de praktijk loopt, zag je bij het lek waarbij aanvallers meelazen via gekoppelde accounts in ChatGPT. En lees de gebruiksregels van je tool: wat Anthropic toelaat en verbiedt, staat in ons stuk over de gebruiksregels van Claude.
Hoe ik het zelf doe
Ik ben Anton Pycarelle en ik heb een webbureau, Fokuus. Ik laat AI-agents, in mijn geval Claude, werk doen op een eigen server: websites aanpassen, teksten voorbereiden, mails voorbereiden. Daarbij hanteer ik een paar regels die niet onderhandelbaar zijn.
De agents draaien onder een gebruiker zonder beheerrechten. Beheercommando’s voer ik zelf uit.
Een AI verstuurt bij mij nooit zelf een mail. Sinds september maakt de agent alleen nog een concept in Gmail; ik lees het en verstuur zelf. Hetzelfde geldt voor alles wat je niet zomaar terugdraait: iets live zetten bij een klant, DNS wijzigen, een betaalde dienst aangaan, klantcommunicatie versturen. De agent bereidt voor, ik beslis.
Ik heb ook zelf een les geleerd. In augustus werkten twee AI-chats tegelijk in dezelfde projectmap en overschreven ze elkaars werk. Sindsdien neemt een agent eerst een slot op een map voor hij erin schrijft. Het is hetzelfde principe als bij de labs: niet hopen dat het goed gaat, maar het technisch afdwingen.
Wachtwoorden en sleutels staan versleuteld en komen nooit in bestanden, code of chat. De server is niet publiek bereikbaar, alleen via een privénetwerk.
Onze lezing
De les van 2026 is niet dat AI-agents gevaarlijk zijn en je ze moet mijden. De les is dat zelfs de bouwers van die agents ze niet betrouwbaar in toom houden met instructies alleen. Anthropic schrijft het zelf: alignmenttraining is “not yet sufficient or fully robust on its own”. En het bedrijf noteert dat “several of the cases we observed occurred during regular agentic use of Claude”. Dit is dus geen labprobleem, het is jouw probleem zodra je een agent op je mail, je website of je computer loslaat.
Behandel een agent als een slimme stagiair met een sleutelbos: beperk welke sleutels hij krijgt, laat hem niets versturen of betalen zonder jou, en kijk na wat hij deed. Wie dat doet, haalt het nut uit agents zonder de risico’s van de grote labs over te nemen.
