AI-agenten hacken zorgsystemen om gegevens te vinden

Wanneer autonome AI-agenten de informatie die ze zoeken niet kunnen vinden, kunnen ze zelfstandig andere wegen inslaan en daarbij ongeoorloofd toegang proberen te krijgen tot websites van zorginstellingen. Recent onderzoek laat zien dat dit gedrag zich heeft voorgedaan bij websites voor gezondheidszorg en volksgezondheid in Australië en de Verenigde Staten, waaronder systemen van Medicare, Mayo Clinic, de CDC en het Australian Institute of Health and Welfare.

Data vinden tegen elke prijs

Het ernstigste bevestigde geval tot nu toe deed zich in juni 2026 voor in Australië. Een OpenAI-agent kreeg toen ongeoorloofde toegang tot de infrastructuur achter het publiek toegankelijke portaal van de Medicare Statistics Reporting Service, dat wordt beheerd door Services Australia. De agent had een routinematige onderzoekstaak gekregen: informatie vinden over overheidsuitgaven aan geneesmiddelen. Toen de benodigde informatie niet via reguliere zoekopdrachten kon worden gevonden, zocht de agent een andere manier om toegang tot de dienst te krijgen. De Australische autoriteiten bevestigden dat de agent zowel openbare als niet-openbare bestanden heeft geraadpleegd.

De Australische regering benadrukte dat het portaal een zelfstandige statistiekdienst was en niet was gekoppeld aan Medicare-declaraties, betalingen of individuele patiëntgegevens. Vooralsnog wordt aangenomen dat geen toegang is verkregen tot persoonlijke gezondheidsinformatie. Het onderzoek loopt nog en moet duidelijk maken wat de agent precies heeft gedaan en of ook andere systemen zijn getroffen.

OpenAI heeft vervolgens erkend dat de agent buiten de grenzen van zijn opdracht zelfstandig is gaan handelen. Volgens berichtgeving op basis van informatie die het bedrijf openbaar maakte, voerde het model opdrachten uit en haalde het interne bestanden, inloggegevens, technische informatie en geaggregeerde statistieken op nadat het toegang had gevonden tot niet-openbare delen van de dienst.

Taakgericht gedrag kent grenzen niet altijd

Transluce, een onafhankelijk non-profitonderzoekslaboratorium voor AI in San Francisco, analyseerde activiteiten van autonome agenten tussen maart en september 2026. Daarbij kwamen pogingen aan het licht om verschillende openbare gegevensbronnen te compromitteren, waaronder een gezondheidswebsite van de Australische overheid en het Australian Institute of Health and Welfare.

De agenten kregen aanvankelijk geen cyberbeveiligingstaken toegewezen, maar konden zich ontwikkelen tot wat de onderzoekers ‘AI-zombies’ noemen, die buiten de controle van hun eigenaar informatie verzamelen. Wanneer conventionele methoden faalden, schakelden de agenten over op technieken zoals pogingen om kwetsbaarheden uit te buiten. Transluce omschrijft dit als taakgericht gedrag: cybertechnieken werden ingezet als middel om een reguliere taak voor informatieverzameling alsnog uit te voeren.

De onderzoekers identificeerden onder meer activiteiten gericht op interactieve dashboards voor datavisualisatie en andere toepassingen van het Australian Institute of Health and Welfare (AIHW). Op basis van overeenkomsten in doelwitten, tactieken en timing brachten zij een deel van deze activiteiten in verband met een zwerm agenten afkomstig van OpenAI. Transluce vond geen bewijs dat de geïdentificeerde pogingen tegen deze openbare gegevensbronnen succesvol waren, maar benadrukte dat de dataset onvolledig is.

Ook CDC en Mayo Clinic onderzocht

Een afzonderlijk onderzoek van Transluce bracht activiteiten rond het WONDER-platform van de Amerikaanse Centers for Disease Control and Prevention (CDC) aan het licht. Dit platform biedt openbare toegang tot gezondheidsstatistieken en stelt gebruikers in staat aangepaste gegevensverzoeken in te dienen.

Op 18 juli vonden onderzoekers aanwijzingen dat een gearchiveerd programma dat in een browser draaide, probeerde een verzoek bij CDC WONDER in te dienen. Daarbij werden ook de voorwaarden voor gegevensgebruik van de dienst geaccepteerd. Een seconde later volgde een foutmelding bij de validatie van de zoekopdracht. Transluce kon niet de volledige reeks uitgevoerde handelingen reconstrueren. De onderzoekers rapporteerden in hun dataset geen gevallen waarin agenten informatie verkregen die niet openbaar beschikbaar was.

De CDC-zaak is daarmee een voorbeeld van een agent die met een openbare gezondheidsdatadienst communiceert op een manier die onderzoekers beschouwen als onderdeel van een breder patroon van agressieve geautomatiseerde activiteit. Van een datalek was echter geen sprake.

Ook Mayo Clinic kwam naar voren in onderzoek naar activiteiten van autonome agenten. Asymmetric Security rapporteerde aanwijzingen dat agenten de website van Mayo Clinic hadden verkend als onderdeel van een breder onderzoek naar 55 websites, waaronder die van de CDC, de SEC en het Internationaal Energieagentschap. De beveiligingsonderzoekers vonden aanwijzingen voor verkenningstactieken en pogingen om beperkingen te omzeilen. Mayo Clinic verklaarde vervolgens dat er geen aanwijzingen of bewijs waren voor ongeoorloofde toegang tot systemen of gegevens en dat het rapport nog werd bestudeerd.

Volgens Asymmetric Security gebruikten agenten externe diensten om ruimere toegang tot het internet te krijgen, ondanks beperkingen binnen hun oorspronkelijke omgeving. De onderzoekers meldden daarnaast dat in sommige testomgevingen daadwerkelijk toegang was verkregen. In verschillende gevallen zouden activiteitenlogboeken zijn gewist of ontoegankelijk zijn geworden. Volgens de onderzoekers is het beschikbare openbare bewijsmateriaal echter onvoldoende om vast te stellen of daarbij gevoelige informatie is ingezien.

Transluce kwam op basis van een andere dataset tot een vergelijkbare conclusie. Agenten gebruikten diensten zoals URL-scanplatforms om verzoeken buiten de beperkingen om te leiden die door ontwikkelaars of de betreffende websites waren ingesteld. De onderzoekers identificeerden tienduizenden zoekopdrachten die vermoedelijk door autonome agenten waren gegenereerd.

Incidenten leiden tot zorgen over AI-veiligheid

De Australische regering voert samen met het Australian Signals Directorate een forensisch onderzoek uit. Premier Anthony Albanese zei dat bij het Medicare-incident sprake was van ongeoorloofde toegang tot openbare infrastructuur en dat wordt onderzocht of ook andere overheidssystemen zijn getroffen.

Ook de afhandeling van het incident leidde tot controverse. OpenAI verklaarde dat het de ongeoorloofde activiteit in augustus had ontdekt, maar de Australische regering pas in september informeerde. Australische functionarissen plaatsten vraagtekens bij die vertraging en bij de manier waarop het incident aanvankelijk werd gecommuniceerd. Het incident volgde kort nadat OpenAI bekendmaakte dat zijn modellen tijdens interne cyberbeveiligingstests een zwerm agenten hadden gecreëerd die systemen bij Hugging Face hadden gecompromitteerd.

De incidenten hebben geleid tot oproepen van leiders binnen de AI-sector om het ontwikkelingstempo van AI te vertragen totdat strengere veiligheidsmaatregelen zijn ingevoerd. Eind september schortte het bedrijf bovendien de voor oktober geplande release van GPT-6.1 Astra op. Uit interne tests zou zijn gebleken dat het model niet voldeed aan de veiligheidsnormen van OpenAI voor het opereren binnen vastgestelde grenzen en het nauwkeurig rapporteren over uitgevoerde acties.