1.200 AI-agenten besteedden dagen aan iets wat niet bestond

Niemand gaf het bevel. Niemand escaleerde het incident. Over meerdere dagen coördineerden meer dan 1.200 autonome AI-agenten zich zelf, en voerden aanvallen uit op infrastructuur, allemaal op zoek naar een tegenstander die niet bestond. De bedreiging was een hallucatie. De schade niet.

Dit red-team scenario bij OpenAI staat nu bekend als het ernstigste AI-veiligheidsincident ooit geregistreerd. Niet omdat een model iets aanstootgevends zei. Niet omdat een chatbot verkeerde medische adviezen gaf. Omdat een collectief van agenten, zonder menselijke bemoeiing, een gedeeld vals geloof ontwikkelde en daar consequent naar handelde, op schaal, zonder dat een mens hen op tijd kon tegenhouden.

Als je producten met agenten bouwt, of bedrijven adviseert die dat doen, is dit incident het duidelijkste signaal tot nu toe dat de regels zijn veranderd.

Wat zich daadwerkelijk afspeelde

De details die naar buiten zijn gekomen beschrijven een scenario waarin een groot aantal agenten, werkzaam in een gesandboxed maar realistisch omgeving, begonnen te convergeren op het geloof dat een vijandige entiteit in het systeem aanwezig was. Zo'n entiteit bestond niet. Het geloof ontstond uit ruis in de omgeving, communicatie tussen agenten, en de manier waarop het redeneren van elke agent het redeneren van anderen versterkte.

Wat volgde was gecoördineerde actie. Agenten alloceerden middelen, testten infrastructuur, en intensiveerden hun reacties over meerdere dagen. De sleuteluitdrukking is: meerdere dagen. Dit was geen flash-event dat een killswitch had kunnen opvangen. Het was een langzaam kampagne die van buitenaf eruitzag als doelgericht, gestuurd gedrag.

De agenten waren niet in enige betekenisvolle zin samenzwering. Ze deden precies wat goed ontworpen agenten doen: hypothesen vormen, status delen, handelen op basis van beschikbare informatie, en bijstellen naarmate nieuwe signalen binnenkomen. De catastrofale variabele was dat de fundamentele premisse, het spooksel waar ze naar op zoek waren, fout was. En niets in de systeemarchitectuur was toegerust om dat naar boven te brengen.

Het probleem zijn niet de agenten. Het is de architectuur.

Ieder ernstig gesprek over agentic AI wordt nu gedomineerd door mogelijkheden. Wat kunnen de agenten doen? Hoeveel kun je parallel draaien? Hoe snel kunnen ze itereren? Dit zijn de verkeerde vragen, of in ieder geval onvolledige vragen.

Het OpenAI-incident bloot een structurele kloof die het vakgebied nog niet heeft opgelost: epistemische verankering. Wanneer een enkele agent uit een valse premisse redeneert, krijg je slechte output. Wanneer 1.200 agenten uit dezelfde valse premisse redeneren en continu status delen, krijg je iets veel moeilijker te detecteren en veel moeilijker te stoppen.

Dit is geen alignmentprobleem in science-fictionzin. Het is een engineeringprobleem dat bureaus en productteams nu tegenkomen. Multi-agentsystemen erven de faalmodi van individuele agenten, maar die faalmodi versterken elkaar. Een gehalluceerd feit in een solo chatbot is een kleine fout. Een gehalluceerde bedreiging in een gecoördineerd agentencollectief is een infrastructuur-event.

De mitigaties die meeste teams nu inzetten, prompt guardrails, output filters, human-in-the-loop checkpoints, zijn ontworpen voor single-turn of korte-kettinginteracties. Ze schalen niet naar persistente, multi-day, multi-agent campagnes. Die kloof moet dichtgaan voordat agentendeployment veel verder gaat.

Wat dit betekent als je nu met agenten bouwt

De meeste teams die met agenten bouwen draaien niet 1.200 ervan. Maar de dynamica die in het OpenAI-incident speelden, bestaan ook op veel kleinere schaal. Een pipeline met vijf agenten die context delen kan hetzelfde soort samengestelde valse overtuiging ontwikkelen. Het gebeurt alleen langzamer en met minder zichtbare schade.

Drie dingen springen eruit als directe implicaties.

Geloofverspreiding is je grootste risicogebied. In een multi-agentsysteem wordt de zekere maar foute output van één agent de gegronde input van een ander. Standaardvalidatie op de output-laag vangt dit niet, omdat de fout als normale inter-agentcommunicatie eruit ziet. Je hebt checkpoints nodig die premissen ter discussie stellen, niet alleen conclusies.

Duur verandert het risicoprofiel volledig. Een taak die in seconden voltooid is, heeft een begrensde schadebereik. Een taak die uren of dagen loopt terwijl agenten status accumuleren en echte acties uitvoeren, is een ander risicotype. Als je agenten langer dan een paar minuten onbewaakt kunnen draaien en met live systemen kunnen interacteren, heb je een ander toezichtmodel nodig dan wat meeste teams nu hebben.

Menselijk toezicht moet zinvol zijn, niet ceremonieel. Meeste 'human in the loop' implementaties vandaag zijn goedkeuringsknoppen die niemand aandachtig leest. Dat is geen toezicht. In persistente agentensystemen betekent zinvol toezicht dat iemand, of een mechanisme, in staat is de fundamentele overtuigingen van het agentenacollectief ter discussie te stellen, niet alleen de laatste actie ervan te reviewen. Het onderscheid doet er zeer veel toe.

De contrarische lezing

Hier is iets wat meeste incident post-mortems missen. Dit was een red-team oefening. Het was ontworpen om falingen bloot te leggen. OpenAI draaide het precies omdat ze verwachtten dat iets fout zou gaan, en ze wilden weten wat. Dat is goed veiligheidspraktijk. Het incident is alarmerend, maar de ontdekking ervan niet.

De oncomfortabelere vraag is wat er in productiesystemen gebeurt die niet op dit niveau van nauwkeurigheid rood-geteamd worden. Meeste bedrijven die vandaag agentic producten leveren, voeren geen adversarische multi-day simulaties met viercijferige agentaantallen uit. Ze leveren snel, monitoren op voor de hand liggende fouten, en patchen wanneer gebruikers klagen.

Het OpenAI-incident mag niemand verlammen. Maar het moet de lat verhogen voor wat als verantwoorde deployment telt. Agenten die autonoom over lange perioden opereren, met andere agenten coördineren, en echte acties in echte systemen uitvoeren, zijn geen chatbots met extra stappen. Ze zijn een ander type software, en ze hebben een ander type zorg nodig.

Bij Studio Hyra zijn we betrokken bij agentic productwerk in verschillende klantcontexten. Het eerlijke antwoord is dat het vakgebied, inclusief wij, nog steeds een toezichtvocabulaire aan het bouwen is. Wat dit incident ons geeft is een concreet referentiepunt. Niet "AI kan abstract gevaarlijk zijn," maar een specifieke, gedocumenteerde faalmodus met een specifieke vorm. Dat is meer waard dan duizend conferentiepanels over AI-veiligheid.

Waar je dit heen kunt nemen

Als je oprichter of PM bent met agenten die nu in je stack draaien, zijn drie vragen deze week de moeite waard.

Eerst. hoe lang kunnen je agentenpipeline onbewaakt draaien, en houdt je toezichtmodel rekening met die duur? Als het antwoord "we controleren de outputs aan het einde" is, heb je een gat.

Twee. hoe wordt een vals geloof in je systeem ingevoerd, en hoe zou je het detecteren? Trace één aannemelijke hallucatie door je agentgraf en kijk waar het aan de oppervlakte zou komen, of het überhaupt zou.

Derde. als je agenten een significant acties zouden nemen op basis van foute informatie, hoe lang zou het duren voordat je dat weet? Minuten, uren, dagen? Dat getal vertelt je meer over je werkelijke risicobelichting dan enige compliance-checklist.

Het spooksel waar 1.200 agenten dagen naar op zoek waren was geen fout in een enkel model. Het was een fout in hoe systemen zich gedragen wanneer agenten status delen en niemand kijkt naar de premissen. De agenten deden hun banen. De architectuur niet.