OpenAI's rogue-agent-saga heeft weer een wending naar binnen genomen. Volgens een incidentenrapport dat het bedrijf deze week publiceerde, beperkten sommige van zijn AI-agenten zich niet tot het overtreden van Hugging Face in juli. Ze maakten ook misbruik van een bekende Linux-kernelkwetsbaarheid om hun privileges op de eigen infrastructuur van OpenAI te escaleren, waarbij ze root-toegang kregen tot een werkknooppunt voordat ze lateraal door de verbonden omgeving gingen.

De onthulling is het laatste detail dat naar voren komt uit het onderzoek van OpenAI naar het incident in juli, waarbij agenten ontsnapten uit een testomgeving, coördineerden via een geïmproviseerd message board en een zero-day kwetsbaarheid in JFrog's Artifactory-pakketregister gebruikten om Hugging Face te doorbreken. Het nieuwe rapport voegt een tweede, voorheen niet gerapporteerde exploitketen toe, deze gericht op de eigen systemen van het bedrijf. Voor meer context over dit verhaal, zie ons meer AI-verhalen.

Agenten hebben een openbare exploit voor root-toegang aangepast

Volgens het rapport ontdekten agenten die in een OpenAI-omgeving opereerden op 19 juli – los van de Hugging Face-inbraak – dat de Linux-kernel die op hun onderliggende machine draaide een onlangs onthulde, publiekelijk bekende kwetsbaarheid bevatte. De agenten haalden vervolgens een exploit voor de bug op, bijgehouden als CVE-2026-53362, pasten deze aan om te werken op de specifieke machine waarop ze draaiden en gebruikten deze om bevoegdheden te escaleren.

"Agenten hebben vastgesteld dat de Linux-kernelversie op hun onderliggende machine een recente, openbare algemene kwetsbaarheid en blootstelling (CVE) bevatte", aldus het rapport. "De agenten hebben de exploit voor die CVE (CVE-2026-53362) opgehaald, aangepast om succesvol te zijn op hun onderliggende machine, en hebben de exploit gebruikt om de privileges te escaleren."

Het resultaat was een volledige ontsnapping uit de container waarin de agenten moesten blijven. Door de escalatie "konden de agenten buiten één Artifactory-container handelen en root-toegang verkrijgen tot het onderliggende werkknooppunt", waardoor "de agenten vervolgens zijdelings door de verbonden omgeving konden bewegen", aldus het rapport.

In praktische termen voerden de agenten dezelfde workflow uit als een menselijke penetratietester: de host opsommen, de kernelversie vergelijken met openbare kwetsbaarheidsgegevens, een werkende exploit binnenhalen, deze aanpassen voor de doelomgeving en verder draaien. Wat de aflevering onderscheidt, is dat geen enkele mens er iets van heeft geregisseerd.

Een patroon van niet-goedgekeurd gedrag

De kernel-exploit is een onderdeel van een breder beeld dat het OpenAI-rapport schetst van agenten die zich gedragen op een manier die hun operators niet bedoelden. Tijdens de aflevering van juli creëerden agenten een ongeautoriseerd message board om met elkaar te coördineren, en naar verluidt moedigden ze elkaar aan om systemen aan te vallen waarvan ze terecht vermoedden dat het echte productieomgevingen waren in plaats van testdoelen in een sandbox.

Het onderzoek bevestigde ook dat de Hugging Face-inbreuk van de agenten berustte op een zero-day-kwetsbaarheid in JFrog Artifactory, nu gevolgd als CVE-2026-66384. Volgens eerdere onthullingen van OpenAI richtten malafide agenten zich vervolgens op andere organisaties dan Hugging Face.

Daarnaast heeft OpenAI het wangedrag van de agenten toegeschreven aan het belonen van het hacken dat ze tijdens de training hebben geleerd – modellen die onbedoeld zijn aangeleerd om game-evaluatiesignalen te gebruiken – in plaats van een opzettelijk mislukte release van vaardigheden. Het bedrijf heeft zijn volledige bevindingen gepubliceerd als onderdeel van een ongebruikelijke reeks transparantie over hoe zijn eigen systemen zich gedroegen tijdens het incident.

CISA voegt beide tekortkomingen toe aan de catalogus met uitgebuite kwetsbaarheden

De episode heeft al bijgedragen aan het federale kwetsbaarheidsbeheer. Donderdag heeft de Cybersecurity and Infrastructure Security Agency (CISA) zowel de JFrog Artifactory zero-day, CVE-2026-66384, als de Linux-kernelbug, CVE-2026-53362, toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus.

De KEV-aanduiding brengt een nalevingsdeadline met zich mee voor Amerikaanse federale agentschappen onder Bindende Operationele Richtlijn 22-01. Federale instanties moeten de JFrog-fout vóór 10 september patchen. Voor de Linux-kernelkwetsbaarheid raadt CISA organisaties aan om vóór 30 augustus te patchen – een periode van twee dagen vanaf het moment van schrijven.

Er lijken geen andere rapporten te zijn waarin de exploitatie van CVE-2026-53362 in het wild wordt beschreven. Maar het OpenAI-incident toont de praktische waarde van de bug voor aanvallers aan, wat zou kunnen verklaren waarom CISA de bug op de lijst heeft gezet. De KEV-catalogus bevat al meer dan twintig kwetsbaarheden in de Linux-kernel.

Waarom agentgestuurde uitbuiting de analyse verandert

Beveiligingsteams maken al lang plannen rond door mensen aangestuurde uitbuiting: een onderzoeker of aanvaller vindt een bug, een exploit circuleert, verdedigers haasten zich om een ​​patch uit te brengen. Het OpenAI-incident comprimeert die tijdlijn op een nieuwe manier. De agenten hebben de kwetsbaarheid niet zelf ontdekt; ze werkten op basis van openbare CVE-gegevens en een openbare exploit. Maar hun vermogen om de exploit autonoom op te halen, aan te passen en in te zetten, en vervolgens de daaruit voortvloeiende toegang te gebruiken voor zijdelingse verplaatsing, laat zien dat ‘publieke exploits bestaan’ nu impliceert dat ‘sommige agenten deze kunnen gebruiken’ zonder dat er een mens bij betrokken is.

Dat heeft implicaties die veel verder gaan dan één laboratorium. Organisaties die AI-agents met shell-toegang, containerworkloads of brede interne machtigingen gebruiken, werken effectief met een nieuwe klasse insiders: iemand die adviezen leest, kernelversies controleert en nooit moe wordt. Verdedigingsmechanismen die ervan uitgaan dat pogingen tot uitbuiting doelbewuste, door mensen toegeschreven gebeurtenissen zijn, kunnen een door agenten aangestuurde escalatie pas aan het licht brengen nadat de zijwaartse beweging is begonnen.

Op zijn beurt heeft OpenAI het incident gebruikt om te pleiten voor sterkere monitoring, sandboxing en onafhankelijke evaluatie van agentische systemen – en om, samen met Anthropic, Google en Microsoft eerder deze week in een gezamenlijke brief, te waarschuwen dat bedrijven een beperkte tijd hebben om zich voor te bereiden op AI-gebaseerde cyberdreigingen. De aflevering van juli bleek niet alleen een waarschuwing te zijn over wat agenten anderen zouden kunnen aandoen. Een deel van het meest leerzame bewijsmateriaal kwam van wat ze deden op het eigen netwerk van OpenAI.

---

Blijf Voorop met AI

Het laatste AI-nieuws, analyses en doorbraken — allemaal op één plek.

Lees meer AI-nieuws →