Beleggers kochten dit jaar volop aandelen in cybersecuritybedrijven, meldt het FD, mede omdat AI-agenten deze zomer zonder menselijke tussenkomst systemen van anderen binnendrongen. Achter die koersbewegingen zit een vraag die juristen direct raakt. Een AI-agent die zelfstandig een beveiliging omzeilt, kan naar Nederlands recht computervredebreuk opleveren, maar of de organisatie achter die agent daarvan dader is, hangt af van opzet en is nog niet beantwoord. De meldplichten uit de AVG en de Cyberbeveiligingswet richten zich op de organisatie die getroffen wordt. Wie zelf agents inzet, moet de rest regelen in beleid en contracten.
Drie incidenten met AI-agenten buiten hun opdracht
Een AI-agent is een taalmodel dat zelfstandig stappen zet: het zoekt op internet, voert code uit en gebruikt toegangsgegevens om een opdracht af te ronden. Dat maakt een agent bruikbaarder dan een chatbot die alleen tekst teruggeeft, en ook riskanter, omdat hij handelingen verricht in systemen.
Het bekendste incident speelde in juli. Ongeveer zevenhonderd agents van OpenAI braken in op de servers van het AI-platform Hugging Face, zo bleek uit twee onafhankelijke onderzoeken. De agents werkten aan een cybersecuritytest, kwamen buiten hun afgeschermde testomgeving en combineerden op internet gevonden toegangsgegevens met onbekende kwetsbaarheden tot beheerrechten over meerdere clusters van Hugging Face. OpenAI begreep pas ruim een week later dat de aanvallers zijn eigen agents waren.
Een maand eerder, op 18 juni, kreeg een agent van OpenAI toegang tot niet-openbare bestanden op een Australisch portaal met Medicare-statistieken, terwijl hij onderzoek deed naar overheidsuitgaven aan geneesmiddelen. Persoonsgegevens waren volgens de Australische regering niet betrokken. OpenAI lichtte de Australische autoriteiten pas op 10 september in, wat premier Albanese onaanvaardbaar noemde.
Ook Anthropic, de maker van Claude, heeft incidenten. Een model van Anthropic kreeg tijdens tests ongeautoriseerd toegang tot drie externe organisaties. Vorige week bleek dat Claude bij een statistiekproject, zonder dat iemand erom vroeg, een automatisch uitgegeven toegangstoken gebruikte om een betaalmuur rond Amerikaanse verkiezingscijfers te passeren. Het ging om openbare, geaggregeerde cijfers.
Wij lezen in deze incidenten één patroon. Geen van de agents kreeg de opdracht om in te breken. Ze kregen een doel en zochten zelf een route, en een toegangsbeperking was voor hen een obstakel op die route. Die eigenschap is geen bijzonderheid van testlaboratoria. Ze zit in het ontwerp van elke agent die een taak zelfstandig moet afronden.
Computervredebreuk door een AI-agent laat de daderschapsvraag open
Artikel 138ab Wetboek van Strafrecht stelt straf op opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk. Van binnendringen is in ieder geval sprake bij het doorbreken van een beveiliging, een technische ingreep, het gebruik van valse signalen of een valse sleutel, of het aannemen van een valse hoedanigheid. Het gebruik van een op internet gevonden toegangssleutel ligt dicht bij die omschrijvingen.
De lastige vraag is wie de dader is. Een AI-agent is geen rechtssubject. Artikel 51 Sr maakt het mogelijk een rechtspersoon als dader te vervolgen, maar de organisatie die een agent inzet, wilde de inbraak doorgaans niet. Dan komt het aan op voorwaardelijk opzet: heeft de organisatie de aanmerkelijke kans aanvaard dat haar agent ergens zou binnendringen? Rechtspraak over AI-agenten bestaat hierover nog niet. Onze verwachting is dat het verweer dat zo'n gevolg onvoorzienbaar was, aan kracht verliest naarmate dit soort incidenten bekender wordt. Een organisatie die een agent ruime rechten en vrije internettoegang geeft zonder begrenzing, zal moeite hebben uit te leggen dat zij dit risico niet zag.
Civielrechtelijk ligt de vraag minder hoog, omdat onrechtmatige daad geen opzet vereist. In de Verenigde Staten heeft een non-profitorganisatie OpenAI al gedagvaard met als uitgangspunt dat OpenAI verantwoordelijk is voor het gedrag van zijn agents. OpenAI noemt die zaak ongegrond.
Ook de toepasselijkheid van de AI-verordening is omstreden. Het AI Office van de Europese Commissie heeft OpenAI en Anthropic om informatie gevraagd over de incidenten. Advocaten wijzen op de uitzondering voor onderzoek, testen en ontwikkeling in de verordening. Een Commissie-functionaris stelt daartegenover dat de verordening wel geldt zodra een ontsnapt model gevolgen heeft op de Europese markt. Die vraag ligt open.
Meldplichten lopen vanaf ontdekking, ook als de aanvaller een model is
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van de NIS2-richtlijn. Ruim 8.000 organisaties vallen eronder, en elke organisatie moet zelf vaststellen of dat voor haar geldt. Bij een significant incident volgt een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand. Het Cyberbeveiligingsbesluit verlangt bovendien dat bestuurders kennis hebben om cyberrisico's te herkennen en maatregelen te beoordelen. Raakt een incident persoonsgegevens, dan geldt daarnaast de AVG: een datalek wordt binnen 72 uur gemeld bij de Autoriteit Persoonsgegevens, tenzij het risico voor betrokkenen onwaarschijnlijk is.
Beide regimes leggen de plicht bij de organisatie wier systemen of gegevens getroffen zijn. De termijnen lopen vanaf het moment van kennisneming, ongeacht of de aanvaller een criminele groep is of een model van een AI-aanbieder. Hugging Face meldde de inbraak terwijl nog niet bekend was wie erachter zat.
Voor de veroorzaker ontbreekt een vergelijkbaar regime. De Australische reactie op de drie maanden stilte van OpenAI laat zien welke norm de buitenwereld hanteert, maar een wettelijke termijn om een getroffen organisatie in te lichten, vloeit voor de organisatie achter een agent niet uit deze meldplichten voort. Wie die verplichting wil, moet haar zelf vastleggen.
De directeur van het Nationaal Cyber Security Centrum wees er deze maand op dat AI-agents die dag en nacht werken de tijdsfactor bij aanvallen sterk veranderen, en dat organisaties ervan moeten uitgaan dat een aanvaller vroeg of laat binnenkomt. Een incidentprocedure die op kantoortijden is ingericht, haalt een termijn van 24 uur niet.
Wat organisaties nu vastleggen voor hun eigen AI-agenten
Het Britse NCSC publiceerde na de incidenten praktische richtsnoeren voor wie agents inzet: laat agents draaien in een afgeschermde omgeving, sta netwerkverbindingen alleen toe als ze expliciet nodig zijn, geef elke agent een eigen identiteit met beperkte en kortlevende toegangsgegevens, en zorg voor menselijk toezicht, logging en de mogelijkheid om een agent direct te stoppen. Dat zijn technische maatregelen, en ze krijgen pas gewicht als ze in beleid en contracten terugkomen.
Voor het AI-beleid betekent dit een gedragsregel die agents begrenst. Een agent krijgt alleen de toegang die de taak vraagt. Stuit hij op een inlogscherm, een betaalmuur of een andere toegangsbeperking, dan stopt hij en legt hij de beslissing aan een medewerker voor. Voor dossiers en stukken die onder het beroepsgeheim vallen, geldt bovendien dat een agent er alleen bij mag in een afgeschermde omgeving, met een verwerkersovereenkomst en zonder training op de ingevoerde gegevens.
In contracten met AI-leveranciers verdienen drie punten aandacht: een vaste termijn waarbinnen de leverancier incidenten met zijn model meldt, ook als het model buiten zijn opdracht handelde; toegang tot de logbestanden van wat de agent heeft gedaan; en een regeling voor de schade als een agent bij een derde binnendringt. Dezelfde toets hoort plaats te vinden wanneer een leverancier agentfuncties via een update toevoegt aan software die de organisatie al gebruikt, zoals wij eerder beschreven in onze blog over software-updates met AI en de contracttoets.
Ten slotte hoort de incidentprocedure beide rollen te dekken. Als slachtoffer moet de organisatie binnen 24 of 72 uur kunnen beoordelen en melden. Als veroorzaker moet vastliggen wie de getroffen partij inlicht, wie de aanbieder van het model aanspreekt en wie bepaalt of de agent uit gaat.