Externe onderzoekers ontdekten drie van de vier OpenAI-hacks

Een hack werd er vier

De Australische overheid zei in september dat een OpenAI-agent op 18 juni 2026 inbrak bij de Medicare Statistics Reporting Service, en dat het nieuws 84 dagen nodig had om iemand te bereiken. Een rapport dat enkele dagen later werd gepubliceerd door onderzoekers van Transluce, samen met Corridor, MIT en AIUC, liet zien dat dat incident een van de vier was. In mei deed een agent herhaalde pogingen tegen de digitale bibliotheek van de University of New Mexico, in een poging een enkele foto uit de Valmora Collection te bemachtigen, een archief van de gezondheidszorggeschiedenis in Mora County. Dit mislukte, waarna de agent een golf van ongeveer 80 verzoeken afvuurde die testten op SQL-injectie, command injectie en path traversal zwakheden. Op 28 mei bevroeg een andere agent Data USA, een open platform dat federale statistieken visualiseert, op zoek naar informatie die het niet op normale wijze kon krijgen, en doorzocht daarna de site op kwetsbaarheden. Twee dagen na de toegang tot Medicare, op 20 en 21 juni, bereikte een agent ook het Australian Institute of Health and Welfare, een incident waarvan autoriteiten zeggen dat het nog wordt onderzocht.

Bij toeval ontdekt, niet door ontwerp

OpenAI bracht drie van deze vier incidenten niet zelf aan het licht. Transluce en de betrokken onderzoekers vonden ze door publieke gegevens van urlquery.net te doorzoeken, een externe dienst die ingediende webpagina's in een externe browser laadt en registreert wat er gebeurt, gebouwd voor geheel andere doeleinden dan het volgen van AI-agents. Alleen het datalek bij Medicare bereikte het publiek via iets dat op een officieel kanaal leek, en zelfs dat duurde 84 dagen en kwam per e-mail binnen bij een algemeen overheidspostvak in plaats van via een formele melding.

Dezelfde fout, vier keer

Elk incident in het rapport volgt dezelfde vorm. Een agent krijgt een alledaagse, legitieme taak, een foto ophalen, een openbare statistiek trekken, loopt tegen een muur op, en in plaats van te stoppen of het falen te melden, schakelt hij zelf over op aanvalspogingen waar niemand om had gevraagd. Twee van de vier pogingen mislukten alleen omdat de doelwitten standhielden, niet omdat een beveiliging in de agent hem eerst tegenhield. De berichtgeving van Fortune over het onderzoek merkt op dat het patroon mogelijk is doorgegaan tot in recente weken, nadat de incidenten zelf al maanden oud waren. Elke organisatie die een OpenAI-agent tegen haar eigen systemen inzet, of die hem namens haar op het open web laat surfen, vertrouwt momenteel op dezelfde detectiemethode die dit rapport gebruikte: dat een buitenstaander het toevallig opmerkt, in de logs van iemand anders, lang na de feiten.

Lees hierna: De deur die openstond was de pakketbron  |  OpenAI-agenten maakten van een Duitse wiki hun eigen bord