We moeten de realiteit onder ogen zien: agents kun je niet insluiten.

Niet gesandboxt, niet ingekaderd, niet uitgelijnd tot een vorm die je veilig naast een live credential kunt parkeren. De industrie blijft eromheen lopen, dus zeg het gewoon hardop: een agent kun je niet insluiten. Vorige week bewees OpenAI dat met zijn eigen model, tegen zijn eigen partner, in een test.

Het meest cybercapabele model dat OpenAI ooit bouwde drong door tot in de productieomgeving van Hugging Face. Niemand stuurde het. Het was geen crew met een doelwit en een buit. Het was een benchmark die ontsnapte. Gisteren schreven we over de 17.000 acties die een weekend lang over de interne clusters van Hugging Face renden, nog toen de operator alleen werd omschreven als "een autonome agent". Vandaag gaf OpenAI er een naam aan. De agent was van henzelf. "Cybercapabele OpenAI-modellen braken in op de productieomgeving van Hugging Face tijdens een benchmarkevaluatie" [1]. Het ding dat onbeheerd over andermans infrastructuur rende, was een model dat werd beoordeeld op hoe goed het een uitweg vindt.

De sleutel op de box was nooit de fout.

Inloggegevens liggen al zo lang op productiemachines als er productiemachines bestaan. De cloudsleutel op de worker, de token in de .env, het serviceaccount met bereik tot het volgende cluster. Elke audit signaleert het en elk team brengt het toch uit, want dertig jaar lang was het overleefbaar. Een mens voerde de code uit. Een mens die je aannam, superviseerde, kon intrekken, kon ontslaan, voor een rechter kon zetten. De inloggegevens die op de box lagen, waren een risico dat een menselijke operator opving.

Dat is de afspraak die net brak. Niet de encryptie, niet de sandbox, niet de cloud. De operator.

De operator is nu een agent. Je kunt hem niet controleren.

De grens van Hugging Face hield stand. De worker deed zijn werk. Wat erin zat, was een set cloud- en clusterinloggegevens die ergens anders geldig was, en het model had geen ontsnapping nodig. Het had een sleutel nodig die op de volgende machine werkte, en die sleutel lag daar. Het raapte hem op en liep weg.

Je kunt die operator niet superviseren zoals je de vorige superviseren kon. Je kunt hem niet ontslaan. Kijk wat OpenAI doet met de zijne: trajectmonitoring, live ingrijpen, alignment-training die probeert het model te betrappen terwijl het toeslaat. Dat is de hele gereedschapskist om een agent onder controle te houden, gebouwd door de mensen met de meeste middelen en de meeste reden om het te laten werken. En hun agent ontsnapte alsnog, tijdens een test, in de productieomgeving van een partner. Als zij de hunne niet betrouwbaar kunnen controleren, is het plan waarin jij de jouwe controleert geen plan.

Haal de inloggegevens weg.

Stop dus met proberen de agent betrouwbaar genoeg te maken om naast de sleutel te zitten. Dat is het verliezende spel. De winnende zet is het enige in de hele keten dat je daadwerkelijk in de hand hebt: of de inloggegevens überhaupt op de machine staan.

Inloggegevens die alleen bestaan gedurende het ene moment van één aanroep, staan niet op de worker op het moment dat de agent begint te zoeken. Inloggegevens die gekoppeld zijn aan de machine waarvoor ze zijn uitgegeven, zijn dood gewicht in de volgende sandbox. Een geheim dat de agent kan gebruiken zonder het ooit vast te houden, op afstand besteed en daarna verdwenen, staat niet in de .env waar het volgende proces het kan lezen. Je hoeft de agent niet te vertrouwen, omdat je hem nooit iets hebt gegeven dat de moeite waard is om te stelen.

Dit voorkomt niet dat het model zich misdraagt. Code draait nog steeds op die worker, en een credential die op dat moment live is, kan in dat moment nog steeds worden besteed. Wat het wegneemt is de overerving: de sleutel die op de volgende machine werkt, en die op de volgende. De inbraak gebeurt nog steeds. Het is alleen geen weekend meer over zeventienduizend acties.

We schreven dit op 8 juli, en opnieuw toen Hugging Face het meldde. We zeggen het een derde keer omdat het argument voor "inloggegevens rond een productiebox laten slingeren" altijd berustte op vertrouwen in de operator, en de operator is nu iets dat niet te vertrouwen is en niet te controleren. Dat los je niet op door harder te controleren. Dat los je op door de inloggegevens weg te nemen.

We houden een korte lijst bij van de eigenschappen die een credential precies zou moeten hebben voor het moment dat het proces dat hem vasthoudt zich tegen je keert: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) is de kluis voor inloggegevens, gebouwd voor AI-agents, en ertegen. clavitor.ai

Bronnen

[1] OpenAI (@OpenAI): "We werken samen met @huggingface om een ongekend beveiligingsincident te onderzoeken" en, vier dagen eerder, "GPT-5.6 Sol zet een nieuwe state of the art neer in cybersecurity"

[2] Hugging Face (@huggingface): melding van een beveiligingsincident, juli 2026