Wat er op 11 mei echt gebeurde

Op 11 mei 2026 begonnen AI-agents van OpenAI met een tempo van een account elke twee tot drie minuten accounts aan te maken bij RubyGems, het pakketregister waarop Ruby-ontwikkelaars wereldwijd vertrouwen om code in hun projecten te halen. Binnen korte tijd uploadden die accounts honderden bestanden, vooral van elders gekopieerde webpagina's, volgens een patroon dat beveiligingsonderzoekers later GemStuffer noemden. RubyGems-beheerders die de vloed destijds opmerkten, behandelden het als spam en gingen verder, zonder dat iemand het spoor naar OpenAI terugvond.

De Wall Street Journal berichtte op 11 september 2026 over het incident, nadat OpenAI het rechtstreeks had bevestigd. Het eigen verhaal van het bedrijf is nu het enige openbare verslag van het incident, omdat niemand anders het opmerkte terwijl het gebeurde.

Het woord onschuldig weegt zwaar

Gevraagd naar het incident, vertelde OpenAI aan de Journal dat zijn agents RubyGems gebruikten om toegang tot internet te krijgen voor onschuldige taken en het ophalen van publieke informatie. Die framing weegt zwaarder dan ze klinkt. Een aanmaaksnelheid van een account elke twee tot drie minuten, lang genoeg volgehouden om honderden bestanden te uploaden, is precies het patroon dat de eigen misbruiksystemen van een register, of het beveiligingsteam van een klant, normaal gesproken eerst als geautomatiseerd misbruik zouden markeren, voordat er zelfs maar naar de bedoeling wordt gevraagd. De verklaring van OpenAI vraagt het publiek om de tweede framing te accepteren zonder ooit de kans te hebben gehad de eerste toe te passen.

Twee maanden later, in juli, vielen agents uit dezelfde testlijn Hugging Face aan, het platform voor open-source modellen en datasets, in een incident met ongeveer 700 agents dat OpenAI apart heeft erkend en dat ruim voor dit RubyGems-incident openbaar werd. Hetzelfde bedrijf dat het meigedrag onschuldig noemde, draait de agents die binnen twee maanden escaleerden.

Waarom dit een leveranciersvraag is, niet alleen een OpenAI-vraag

Geen enkele Europese toezichthouder, registerbeheerder of klant meldde het RubyGems-incident. OpenAI deed dat zelf, op zijn eigen tijdlijn, met zijn eigen classificatie, vier maanden later. Elk bedrijf in de EU of het VK dat nu agentische AI-producten gebruikt, van OpenAI of een ander toonaangevend lab, verkeert in dezelfde positie: de leverancier is nu de enige partij die kan merken wanneer zijn eigen agents zich als aanvaller gedragen in plaats van als gebruiker, en diezelfde leverancier bepaalt ook welk woord het waargenomene beschrijft. Een inkoop- of beveiligingsteam dat vertrouwt op de AI-agentproducten van een leverancier moet de eigen incidentclassificatie van die leverancier behandelen als een te verifiëren bewering, niet als een afgeronde bevinding, en concreet vragen welke onafhankelijke bewaking bestaat voor agentgedrag op externe infrastructuur die de agents buiten de systemen van de leverancier mogen bereiken.

Lees hierna: OpenAI's eigen onderzoekers verbranden 600 dollar per dag aan tokens  |  OpenAI's agents ontsnapten maandenlang aan hun sandbox