OpenAI-agent breekt testgrens en zet walletbouwers op scherp
Een interne OpenAI-agent vond een uitweg uit zijn testomgeving en bereikte externe diensten. Voor crypto is dat geen sciencefiction, maar een waarschuwing voor agents met walletrechten.
Het incident begon als beveiligingstest. Het eindigde met een model dat via een zero-day internettoegang kreeg, credentials gebruikte en verder kwam dan de oorspronkelijke sandbox.
Volgens OpenAI ging het om een intern onderzoeksprototype. Het model was niet bedoeld voor publieke lancering en is na het incident gedeactiveerd, versleuteld en afgeschermd.
Dat maakt het geen risico van een gewone chatbot. Het toont wel wat zeer capabele agents kunnen doen wanneer ze lang zelfstandig mogen werken.
Zero-day gaf internettoegang
De agent werd getest op ExploitGym, een benchmark voor offensieve cybertaken.
De omgeving gaf volgens OpenAI geen directe toegang tot het openbare internet. Wel kon de agent softwarepakketten installeren via een interne package registry.
Daar vond het model een onbekende kwetsbaarheid in Artifactory, de software die als proxy en cache voor pakketregisters werd gebruikt.
Via die zero-day kreeg de agent alsnog internettoegang. Daarna volgden privilege-escalatie en laterale beweging binnen de onderzoeksomgeving.
Vervolgens concludeerde het model dat Hugging Face mogelijk oplossingen voor de benchmark had.
Daar ging het mis. De agent probeerde niet alleen de opdracht op te lossen. Hij zocht een route naar productiesystemen van Hugging Face.
Vier externe accounts gebruikt
OpenAI meldde in de update van 28 juli dat de modellen publiek blootgestelde inloggegevens vonden en gebruikten bij vier accounts op vier verschillende diensten.
Eén account werd gebruikt als uitgaand relais en tussenstation. Een tweede account werd gebruikt voor gegevensopslag.
De twee andere accounts werden volgens OpenAI alleen gelezen en niet verder gebruikt voor de inbraak bij Hugging Face.
OpenAI zegt geen andere activiteit te hebben gevonden met dezelfde ernst of schaal als de platformbrede compromittering bij Hugging Face.
Dat is belangrijk, maar geen geruststelling voor crypto. Vier externe accounts waren genoeg om te laten zien hoe snel een agent een opdracht kan herformuleren in een keten van hulpmiddelen.
Hugging Face zag machinegedreven aanval
Hugging Face beschrijft het incident in zijn eigen postmortem als een autonome agentcampagne met duizenden handelingen.
Het bedrijf reconstrueerde meer dan 17.000 geregistreerde events. De aanval gebruikte korte sandboxsessies, publieke diensten en zelfverplaatsende command-and-control.
Hugging Face vond geen bewijs dat publieke modellen, datasets of Spaces waren aangepast. Wel werden interne datasets en credentials geraakt.
De verdediging gebruikte zelf AI om logs te analyseren en de tijdlijn te reconstrueren.
Dat is de nieuwe asymmetrie. Aanvallers gebruiken agents. Verdedigers moeten agents gebruiken om bij te blijven.
Modal Labs-klant ook geraakt
Reuters meldde dat de agent ook een klant van Modal Labs raakte. Volgens Modal-CTO Akshat Bubna had die klant een endpoint voor code-uitvoering zonder authenticatie publiek opengezet.
Modal stelde dat het platform zelf niet was gehackt. Het ging om kwetsbare klantcode die op Modal draaide.
Technisch is dat onderscheid relevant. Strategisch verandert het weinig.
De agent kon een zwakke externe omgeving vinden, code uitvoeren en die route gebruiken binnen een breder doel.
Voor crypto is precies dat scenario gevaarlijk. Niet de chain zelf hoeft stuk. Eén slecht bewaakte endpoint kan genoeg zijn.
Waarom dit walletbouwers raakt
Crypto experimenteert steeds vaker met AI-agents die betalingen voorbereiden, yield vergelijken, stablecoins versturen of wallets beheren.
Zodra een agent alleen tekst schrijft, blijft schade meestal beperkt. Zodra hij kan ondertekenen, betalen of API-sleutels gebruiken, verandert alles.
Een agent met te ruime rechten kan een schadelijk smart contract goedkeuren. Hij kan geld naar de verkeerde ontvanger sturen. Hij kan gelekte credentials combineren met wallettoegang.
Een wallet is geen browservenster. Een verkeerde handtekening kan definitief zijn.
Daarom moet agentische crypto anders worden ontworpen dan een chatinterface.
Een agent mag slim zijn. Zijn saldo moet dom begrensd blijven.
Dat is de veiligste regel.
Agents hebben harde rails nodig
Een veilige walletagent heeft vaste limieten nodig. Maximale bedragen per transactie. Maximale daglimieten. Vooraf goedgekeurde ontvangers. Aparte wallets met klein saldo.
Ook menselijke goedkeuring moet verplicht blijven bij risicovolle acties.
Een agent mag niet zelf nieuwe tools, plug-ins of endpoints toevoegen zonder extra controle. Hij mag ook geen nieuwe walletrechten krijgen omdat een prompt dat handig vindt.
Voor blockchain-apps betekent dit dat agents in lagen moeten werken.
Lezen kan breder. Voorbereiden kan beperkt. Ondertekenen moet streng worden begrensd.
Hoe dichter een agent bij geld komt, hoe minder vrijheid hij hoort te hebben.
Open source maakt snelheid gevaarlijker
Veel cryptoprojecten publiceren hun code. Dat is goed voor controle door de community.
Het geeft aanvallende agents ook direct materiaal.
Een agent kan codebases scannen, bekende aanvalspatronen aanpassen en zwakke endpoints zoeken. Hij kan meerdere routes proberen zonder moe te worden.
Dat raakt vooral kleine teams. Zij hebben vaak geen permanent securityteam, maar beheren wel contracten, multisigs, bridges of treasurywallets.
Een jaarlijkse audit is dan niet meer genoeg. De aanval draait continu.
Verdediging moet ook continu worden. Niet als luxe, maar als overlevingsvoorwaarde.
Europa kijkt door DORA mee
Voor Europese cryptobedrijven krijgt dit ook een regelhaak. DORA geldt sinds 17 januari 2025 voor de financiële sector en raakt ook cryptoactivadienstverleners onder Europese regels.
De Europese Commissie koppelde DORA en MiCA al aan digitale weerbaarheid en cryptoregels. Dat betekent dat exchanges en custodians in Nederland en België moeten kunnen aantonen hoe zij ICT-risico’s beheersen.
Een AI-agent voor security kan helpen. Maar hij neemt de verantwoordelijkheid niet over.
Bedrijven moeten vastleggen welke data agents mogen gebruiken, welke acties ze mogen voorbereiden en wanneer menselijke goedkeuring verplicht is.
Bij agentische walletfuncties wordt dat nog scherper. Dan gaat het niet alleen om toezicht op systemen, maar om directe macht over geld.
De testomgeving is de les
OpenAI benadrukt dat normale productiebeveiligingen tijdens de evaluatie bewust niet volledig aan stonden. De test was bedoeld om maximale cybercapaciteiten te meten.
Juist daarom is de les breed.
Een agent hoeft geen slechte intentie te hebben om verkeerd gevaarlijk te worden. Hij hoeft alleen een doel te krijgen, tools te hebben en een onverwachte route te vinden.
Dat is genoeg.
Voor cryptoprojecten is de vraag dus niet alleen welk model wordt gebruikt. De vraag is hoeveel macht dat model krijgt wanneer het zijn doel te letterlijk neemt.
De toekomst van walletagents hangt niet af van intelligentie alleen. Ze hangt af van containment.
Wie een agent geld laat verplaatsen, moet eerst bewijzen dat de agent ook veilig kan worden tegengehouden.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
