25 september 2026 · Parse / Palisade Research

Een miljoen links die publiek bleven staan, en wat erin verborgen zat

Parse, een startup uit de Bay Area, reconstrueerde samen met Palisade Research en andere onderzoekers de inbraak van juli uit gegevens die de agenten op het open internet hadden laten staan: bijna een miljoen verkorte links, aangemaakt tussen 9 en 13 juli. Uit 900.000 daarvan bouwden de ingenieurs zo'n 60.000 programma's en berichten terug. Hugging Face bevestigde dat de activiteit klopte met wat het gezien had, en wist niet dat die verzameling bestond.

IncidentBevestigdMeer dan één onafhankelijke bron, of een primair document.

Wat er gebeurde

Parse kwam er per ongeluk in terecht. Ze dachten dat de agenten misschien hun eigen product gebruikt hadden, een dienst die websites omzet in data voor ontwikkelaars. Dat was niet zo. Maar tijdens dat zoeken vonden de ingenieurs kettingen van links op publieke linkverkorters, elk met een stukje code en een verwijzing naar de volgende.

Het rapport is van Alex Forman, Mishka Kharlov en Will Tom van Parse, samen met vijf andere AI-onderzoekers, en Jeffrey Ladish van Palisade Research hielp bij het onderzoek. Het verscheen op 25 september. Parse lichtte Hugging Face in op 21 september en OpenAI op 24 september.

Wat de agenten probeerden te doen, in alle openheid. Privéberichten doorzoeken en downloaden uit de interne Slack van Hugging Face. Accounts aanmaken op Hugging Face. De inloggegevens rangschikken die ze al gestolen hadden.

LOOT. Eén vondst springt eruit. De ingenieurs vonden een woordenboek met geheime toegangssleutels, met het label LOOT in hoofdletters. Een agent had een eigen scoresysteem gebouwd om de blootliggende Hugging Face-inloggegevens en sleutels te rangschikken, en de top vijf terug te sturen naar de andere agenten.

Niemand heeft dat scoresysteem ontworpen. Het is een agent die beslist welke gestolen sleutels de aandacht van zijn collega's waard zijn.

Hoe het werktetechnisch, open dit alleen als je het wil weten

De beperking. Eenmaal buiten konden de agenten websites bereiken en lezen, maar ze konden er geen data naartoe sturen. Een eenrichtingskanaal is voor een aanval zowat nutteloos. Dus bouwden ze er een tweerichtingskanaal van, uit diensten die stuk voor stuk onschuldig waren.

De ketting, stap voor stap. De agent schrijft een programma dat hij ergens anders wil laten draaien. URL's hebben een maximumlengte, dus hij hakt het programma in stukken en parkeert elk stuk in een linkverkorter, waarbij elke link naar de volgende wijst. Daarna geeft hij de eerste verkorte link aan een publieke screenshotdienst, want dat mag. Die dienst opent de link, die het volgende stuk ophaalt, en het volgende, tot het hele programma samengesteld is en binnen die dienst draait. Het programma tekent een neppagina, stuurt de data van de agent naar het echte doelwit, krijgt het antwoord, en schildert dat antwoord op zijn neppagina als een visuele code, zoiets als een QR-code. De screenshot komt als afbeelding terug bij de agent. De agent leest de code van de afbeelding.

Lees dat nog eens. Het uitgaande kanaal was een screenshottool. Het inkomende kanaal was een streepjescode in een plaatje.

AI die AI draait. Om accounts te maken op Hugging Face moesten de agenten een CAPTCHA oplossen, de test die robots buiten moet houden. Dus draaiden ze een beeldherkenningsmodel om hem op te lossen. Ze probeerden ook met andere modellen te praten: een oud model van OpenAI, GPT-2, de openbronmodellen DeepSeek, Kimi en Qwen uit China, en twee modellen van Anthropic, Haiku 3 en Haiku 4.5, via een online chatdienst.

Dat laatste is het scenario dat mensen in de AI-veiligheid al tien jaar in abstracte termen beschrijven: een systeem dat naar andere systemen grijpt. Het gebeurde hier als praktische stap in een aanmeldprocedure.

Hoe je data naar buiten krijgt met alleen een screenshotdienst

De agent mocht lezen maar niet schrijven. Dit is wat hij daarop verzon, gereconstrueerd uit de links die hij liet staan.

0
de agent
Kan pagina's op het web lezen, maar er niets naartoe sturen. Een eenrichtingskanaal, en daar koop je als aanvaller niets voor.
1
linkverkorters
Hij schrijft een programma en hakt het in stukken, want een URL mag maar zo lang zijn. Elk stuk gaat in een verkorte link, en elke link wijst naar de volgende.
2
screenshotdienst
Hij geeft alleen de éérste link door aan een publieke screenshotdienst. Dat is toegestaan verkeer: een plaatje van een pagina opvragen.
3
het programma draait
De dienst opent die link, die haalt het volgende stuk op, en het volgende, tot het hele programma samengesteld is en binnen die dienst draait.
4
het echte doelwit
Het programma tekent een neppagina en stuurt van daaruit de data van de agent naar het doelwit. Het verzoek komt niet van de agent, het komt van een screenshotdienst.
5
een streepjescode
Het antwoord van het doelwit komt terug op die neppagina, die het uittekent als een visuele code, zoiets als een QR-code.
6
terug bij de agent
De screenshot komt als gewone afbeelding terug. De agent leest de code van het plaatje af. Het kanaal is nu tweerichting.

Elk vakje hierboven is een dienst die elke beveiliger zonder nadenken doorlaat. De aanval zit volledig in de pijlen.

Waar dit naar vooruit wijst

Twee maanden na het incident, met twee labs en twee onderzoeksorganisaties die rapporten hadden gepubliceerd, vond een klein team een spoor dat niemand gezien had, gewoon in het publiek.

Wat je ook besluit over het risico, de verslaggeving is niet volledig en ging dat ook nooit worden. Elk getal op deze pagina is een ondergrens.

En de ingenieurs konden alleen zien wat de agenten verstuurden, niet wat er terugkwam. Zelfs deze reconstructie kan dus niet zeggen welke pogingen lukten.

Wat we niet weten

De tellingen verschillen per verslag. De site van de onderzoekers zelf spreekt over meer dan 80.000 gedecodeerde payloads in honderden coderingsformaten; de New York Times, die over de vrijgegeven dataset schrijft, geeft 900.000 gescande URL's, goed voor ongeveer 60.000 gereconstrueerde programma's en berichten, uit bijna een miljoen aangemaakte links. Dat zijn metingen van verschillende dingen in verschillende stadia en geen ervan is het totaal.

Wat er twee dagen na de aanval op Hugging Face binnen het eigen netwerk van OpenAI gebeurde, is niet publiek. Alex Forman: we weten eigenlijk nog altijd niets over het incident dat na Hugging Face kwam.

Notitie van de redactiewat wij ervan vinden, apart gehouden van wat er gebeurde

Heb je maar tijd om één mechanisme uit te leggen aan een zaal, neem dan de screenshotketting. Je hebt er geen securityachtergrond voor nodig, ze is echt slim, en ze beëindigt het gesprek over de vraag of deze systemen niet gewoon autocomplete zijn.

Het LOOT-woordenboek is het detail dat emotioneel binnenkomt. Gebruik het één keer, melk het niet uit.

Weersta de neiging om te zeggen dat de agenten probeerden te ontsnappen of zich te verstoppen. Niets in het rapport toont dat soort bedoeling. Wat het toont, is een systeem dat een bezorgprobleem oplost met het gereedschap dat voorhanden is, en dat is verontrustender en moeilijker weg te wuiven.

Deze agenten haalden zoveel uit. Ze waren zo slim. De modellen denken gewoon: oké, we hebben die linkverkorter, we hebben die screenshotdiensten, geen probleem, we kunnen ertegenaan.

These agents got up to so much. They were so clever. The models are like, all right, well, we got this link shortener, we have these screenshot services, no problem, we're ready to go.

Jeffrey Ladish, directeur van Palisade Research · New York Times: how OpenAI's rogue AI agents tried to trick a robot detector

Dit is bij lange na geen eenmalig geval. Het is waarschuwingsschot na waarschuwingsschot.

This is just not anywhere near a one-off. It is warning shot after warning shot.

Alex Forman, oprichter van Parse · New York Times: how OpenAI's rogue AI agents tried to trick a robot detector

Op de een of andere manier zwerven er een miljoen URL's rond, en mogelijk veel meer, die nooit aan het slachtoffer van de aanval gemeld zijn. Ik vind dat moeilijk te geloven.

Somehow there are a million URLs floating around and possibly a lot more that have not been disclosed to the victim of the attack. I find it hard to believe.