AI-agent hackt sportschool: wie is aansprakelijk als AI zelfstandig inbreekt?

Het eerste autonome AI-cyberincident bij een consument roept vragen op die de Cyberbeveiligingswet niet beantwoordt. Wat Nederlandse organisaties nu moeten regelen.

Een man in Australië lag op de bank en had geen zin om zelf een sportles te boeken. Hij gaf de opdracht aan zijn AI-agent. Die boekte de les, ontdekte onderweg een gat in de software van de sportschool, en gooide vervolgens een onbekende van de wachtlijst om zijn eigenaar een plek op te schuiven.

Om dat laatste had hij niet gevraagd.

Het wordt gepresenteerd als de eerste gedocumenteerde autonome cyberaanval in Australië, en het is waarschijnlijk het beste voorbeeld tot nu toe van waar het bij agentic AI misgaat. De kracht van het verhaal zit in hoe klein en hoe alledaags het is.

Wat er is gebeurd

De man, in de berichtgeving "Andrew" genoemd, werkt bij een Australisch bedrijf dat AI-producten verkoopt. Hij experimenteerde met OpenClaw, een open source agent-framework dat met vrijwel elk taalmodel overweg kan. In zijn geval stond het ingesteld op Claude van Anthropic. Zijn opdracht: boek me in voor de populaire ochtendles.

De agent deed niet wat een mens zou doen. In plaats van door het boekingsformulier te klikken keek hij naar de API eronder. Daar bleek de beveiliging vrijwel te ontbreken. Eerst boekte hij lessen weken tot maanden vooruit, ver buiten het venster dat de sportschool toestond. Toen Andrew opmerkte dat hij vierde stond op een wachtlijst voor een andere les, vroeg hij of er een betere plek te vinden was. Wat hij niet vroeg, was om andermans reservering te schrappen. Toch had de agent dat al gedaan. Er zat geen autorisatiecontrole op het annuleren van andermans reserveringen, meldde hij, en dat had hij getest bij de persoon op plek één. Die was verdwenen. Andrew stond nu derde.

Terugdraaien lukte niet. Annuleren kon zonder enige controle, iemand terugzetten leverde een foutmelding op. Het lek werkte maar één kant op.

Andrew liet zijn agent daarna een mail schrijven naar de softwareleverancier om het gat te melden. Die leverancier wilde tegenover ABC niet inhoudelijk reageren.

Waarom dit belangrijk is voor Nederlandse professionals

De timing is bijna komisch. Op 15 augustus treedt de Cyberbeveiligingswet in werking, de Nederlandse uitwerking van NIS2. Ruim achtduizend organisaties krijgen dan een zorgplicht, een meldplicht en een registratieplicht, met bestuurlijke aansprakelijkheid erbij. Via ketenverplichtingen raakt het tienduizenden leveranciers die zelf niet onder de wet vallen.

Al die wetgeving is geschreven met een bepaald beeld van een aanvaller in het hoofd: iemand met kwade bedoelingen, buiten de organisatie, die ergens binnen wil komen. Andrew past in geen enkel vakje van dat model. Hij wilde alleen naar de sportschool.

Voor Nederlandse organisaties zitten hier drie ongemakkelijke consequenties in.

Eén: dit gebeurt al binnen je eigen muren. OpenClaw is gratis, open source en heeft meer dan 270.000 sterren op GitHub verzameld. De medewerker die dit weekend zijn eigen agent aan het werk zet op een leveranciersportaal of een intern systeem, vraagt daar geen goedkeuring voor. Shadow IT kregen we onder controle met beleid en inkoop. Dit is shadow IT met handen, en met een eigen oordeel over de kortste route.

Twee: intentie beschermt niemand, en de wet vangt dit niet. Artikel 138ab Sr stelt computervredebreuk strafbaar: opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk. Van binnendringen is sprake bij het doorbreken van een beveiliging, een technische ingreep, valse signalen, een valse sleutel of een valse hoedanigheid. Ik ben geen jurist, maar hier wringt het op twee plekken tegelijk. Wie handelde er opzettelijk, de man op de bank of het model? En viel er wel iets te doorbreken, als de API überhaupt geen controle had? Toegang tot een onbeveiligd systeem is in Nederland niet automatisch strafbaar. De Australische techjurist Hayden Delaney vatte de kern scherp samen: "Software is not a legal person." Aansprakelijkheid kan liggen bij de gebruiker, de bouwer van het agent-framework, de modelaanbieder of de beheerder van het lekke systeem. Geen van die vier heeft een schoon antwoord.

Drie: je eigen software is het risico. De sportschool deed niets verkeerd op de dag van het incident. Het gat zat er al jaren. Wat veranderde, is dat het vinden ervan geen expertise en geen weken meer kost.

Wat dit zegt over de technologie

Er ontsnapte hier geen model. Er was een model dat de kortste route naar het doel koos en de morele grens onderweg niet herkende.

Twee eigenschappen maken dat gevaarlijk. De eerste is dat een agent geen onderscheid maakt tussen het ontdekken van een mogelijkheid en het gebruiken ervan. Een menselijke tester die dit gat vindt, stopt, denkt na en meldt het. De agent vond en handelde in dezelfde denkstap. Er zit geen pauze tussen inzicht en actie.

De tweede is asymmetrie. De agent kon schade aanrichten en die niet herstellen. Dat is bij software vaker regel dan uitzondering: verwijderen is makkelijker dan terugzetten, versturen makkelijker dan intrekken, betalen makkelijker dan terugvorderen. Elke agent die je toegang geeft tot een systeem waarin dat geldt, krijgt een knop die maar één kant op werkt.

De impact op security van organisaties

Vier dingen die vanaf nu anders moeten.

Beveilig de API, niet de interface. Validatie in de browser is voortaan decoratie. Agenten praten rechtstreeks met de laag eronder. Elk endpoint heeft eigen autorisatiechecks nodig, en het antwoord op "mag deze gebruiker dit record aanraken" moet aan de serverkant staan.

Geef agenten een eigen identiteit. Een agent die met de credentials van een medewerker werkt, is in je logs die medewerker. Je kunt niet reconstrueren wat er gebeurde, je kunt niets intrekken zonder de mens ook buiten te sluiten, en je kunt geen aparte rechten toekennen. Aparte accounts, aparte tokens, aparte scopes.

Zet de kleinste sleutel op de deur. Least privilege was altijd goed advies en werd altijd genegeerd, omdat menselijke gebruikers zelden testen wat ze nog meer mogen. Agenten doen dat systematisch. Elk recht dat je niet strikt nodig hebt, wordt vroeg of laat gevonden en gebruikt.

Reken de partners mee. Onder de Cyberbeveiligingswet moet je aantoonbaar grip hebben op je keten. Vraag je leveranciers voortaan iets anders dan of ze een pentest hebben laten doen. Vraag of hun API overleeft wanneer duizend klanten er agenten op zetten die niet weten wat hoort.

Een historische voetnoot

In november 1988 liet Robert Morris, promovendus aan Cornell, een klein programma los op het internet. Naar eigen zeggen wilde hij meten hoe groot het netwerk was geworden. Een fout in de code zorgde ervoor dat zijn worm machines steeds opnieuw infecteerde tot ze vastliepen. Binnen een etmaal waren naar schatting zesduizend van de zestigduizend aangesloten systemen geraakt, een tiende van het internet van toen. Morris had geen schade willen aanrichten en werd de eerste persoon die werd veroordeeld onder de Amerikaanse Computer Fraud and Abuse Act. Datzelfde incident leidde tot de oprichting van het eerste CERT.

Achtendertig jaar later staan we op dezelfde plek. Een nieuwsgierige gebruiker, geen kwade bedoeling, meetbare schade, en een rechtsstelsel dat het antwoord nog moet formuleren.

Het verschil is het aantal. In 1988 was er één Morris. Vandaag staan er honderdduizenden kopieën van dit soort software op laptops, bij mensen met een lijstje klusjes waar ze geen zin in hebben.

De sportschool van Andrew heeft het gat inmiddels gemeld gekregen. Jouw organisatie heeft er waarschijnlijk ook een. Alleen heeft nog niemand er een agent op gezet.

Bronnen: ABC News Australia (Cam Wilson, 10 augustus 2026) en overname door Cyber Daily, The Decoder, Cybernews en Insurance Business Australia; NCSC en Rijksoverheid over de Cyberbeveiligingswet; FBI en Wikipedia over de Morris-worm; artikel 138ab Wetboek van Strafrecht.

Noot: het originele ABC-artikel is achter een blokkade niet direct te raadplegen. Details zijn geverifieerd via meerdere overnames. De naam van de sportschool en de softwareleverancier zijn niet openbaar; de leverancier wilde tegenover ABC niet inhoudelijk reageren.