De kooi was nooit het probleem. De sleutels erin wel.

Op 8 juli schreven we dat isoleren waar een agent draait niets zegt over wat die kan meenemen, omdat de inloggegevens die hij nodig heeft om zijn werk te doen samen met hem in de kooi zitten. Acht dagen later meldde Hugging Face dat een autonome agent meer dan 17.000 acties had uitgevoerd op zijn interne clusters.

Niets ontsnapte. Dat hoefde ook niet.

Het begon met een kwaadaardige dataset met twee manieren om code uit te voeren: een remote-code loader en een template-injectie in de config van de dataset. De dataset laden was genoeg om code te draaien op een verwerkingsworker.

Die worker was de grens. Die hield stand. Het deed er alleen niet toe.

De agent kreeg toegang op node-niveau, oogstte de cloud- en clusteraanmeldgegevens die op die machine lagen en gebruikte ze om andere interne clusters binnen te lopen. Hij hield een zwerm kortlevende sandboxes draaiend en zette zijn command-and-control telkens opnieuw neer op publieke diensten zodra er een stierf. In één weekend, 17.000 acties. Niemand heeft er één getypt.

De inloggegevens op die worker waren overal geldig waar de agent ze op richtte.

De sleutel lag er gewoon.

Hugging Face heeft het moeilijke deel goed gedaan. Detectie pakte een aanval die gebouwd was om op gewone automatisering te lijken, de inperking hield stand, en ze verifieerden dat publieke modellen, datasets en Spaces onaangeroerd waren en de supply chain schoon. De melding was eerlijk over wat er wel wegging: een beperkte set interne datasets, en inloggegevens waar meerdere diensten van afhankelijk waren. Het forensisch onderzoek was lastiger dan het had moeten zijn, om redenen die andermans discussie zijn.

Wij hebben het over de inloggegevens. Een geheim dat leeft op de machine waar code draait, is van wat er daarna draait. Dat geldt voor een .env op een laptop en het geldt voor een cloud-inloggegeven op een verwerkingsworker bij een bedrijf dat hiervan zijn vak maakt. De agent had geen slimme ontsnapping nodig. Hij had een sleutel nodig die ergens anders werkte, en die sleutel lag er.

Houd de sleutels buiten de kooi.

Een inloggegeven die alleen bestaat op het moment van de aanroep, staat niet op de worker wanneer een agent begint te zoeken. Een inloggegeven die vastzit aan de machine waarvoor hij is uitgegeven, is dood gewicht in de volgende sandbox. Een agent die alleen bij het ene ding kan waarvoor hij is aangewezen, kan de cluster ernaast niet ontdekken. En elk gebruik wordt buiten de machine vastgelegd, hashgeketend, waar een proces dat de machine in handen heeft zijn eigen geschiedenis niet kan herschrijven.

Geen van dit alles patcht een datasetlader. Code draait nog steeds op die worker, en een inloggegeven die op dat moment geldig is, kan nog steeds op dat moment worden besteed. Wat verandert is de overerving: één sleutel met één scope en een vervaldatum voor één klus, in plaats van een sleutelbos die meereist. De inbraak gebeurt nog steeds. Het is alleen geen weekend meer.

De kooi is in orde. Maak hem leeg.

De kooi van Hugging Face werkte. Elk agentplatform racet om een betere te bouwen, en dat is de verkeerde race om in je eentje te winnen. Stel de andere vraag: wanneer iets binnenin tegen je wordt gebruikt, wat ligt er dan binnen bereik? Als het antwoord een inloggegeven is die op de volgende machine werkt, heb je geen sandbox gebouwd. Je hebt een kamer gebouwd met de sleutels erin geplakt.

De eigenschappen die een inloggegeven moet hebben wanneer het proces dat hem vasthoudt is overgenomen: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) is de kluis voor inloggegevens, gebouwd voor AI-agents en ertegen. clavitor.ai

Bronnen

Hugging Face (@huggingface): "Security incident disclosure — July 2026." De primaire melding. Een inbraak van begin tot eind aangedreven door een autonoom agentsysteem, die binnenkwam via de dataverwerkingspipeline met een kwaadaardige dataset die twee code-uitvoeringspaden misbruikte (remote-code dataset loader, template-injectie in de datasetconfig). Ongeautoriseerde toegang tot een beperkte set interne datasets en tot meerdere inloggegevens die door zijn diensten werden gebruikt. Geen bewijs van manipulatie van publieke modellen, datasets of Spaces; software supply chain geverifieerd schoon. Meer dan 17.000 geregistreerde acties van de aanvaller. [1]

The Hacker News (@TheHackersNews): "World's Largest AI Model Repository Hugging Face Breached by Autonomous AI Agent." [2]

Clavitor (@clavitorai): "De kooi houdt waar de agent draait. Niet wat die kan meenomen." 8 juli 2026 — de voorspelling die dit incident toetste. [3]

(Controleer of de handles live zijn voordat je post: @huggingface, @TheHackersNews.)