Na 17.000 machinehandelingen begint het juridische incidentdossier

Terwijl de meeste medewerkers sliepen, bleef een aanval duizenden kleine beslissingen nemen. Een kwaadaardige dataset misbruikte twee code-executiepaden, de indringer verkreeg toegang op nodeniveau, verzamelde credentials en bewoog zich een weekend lang door interne clusters. Hugging Face reconstrueerde later meer dan 17.000 gebeurtenissen uit de aanvallerslog. De technische tijdlijn was daarmee leesbaar. Voor juristen begon toen een tweede reconstructie: welk AI-systeem speelde welke rol, welke meldplicht werd geraakt, welke gegevens mochten naar een forensisch model en welke wijziging zou het latere bewijs aantasten?

Een primaire melding met een open plek

De incidentmelding van Hugging Face van 16 juli 2026 is uitzonderlijk bruikbaar omdat zij aanval, respons en forensische methode uit elkaar houdt. De campagne werd volgens het bedrijf van begin tot eind door een autonoom agentsysteem uitgevoerd. De aanvankelijke toegang liep via een remote-code dataset loader en template-injectie in een datasetconfiguratie. Daarna volgden privilege escalation, credential harvesting en laterale beweging. Hugging Face meldde ongeautoriseerde toegang tot een beperkt aantal interne datasets en servicecredentials, maar vond geen aanwijzing dat openbare modellen, datasets, Spaces of de software supply chain waren gemanipuleerd.

Eén gegeven blijft onbekend: Hugging Face weet niet welk taalmodel de aanval aanstuurde. Dat voorkomt een verleidelijke maar juridisch onhoudbare sprong van "autonome agent" naar een specifieke modelleverancier. Het incident gaat bovendien over een agentsysteem, een uitvoeringsharnas, kwetsbare dataverwerking, cloudidentiteiten en menselijke beveiligingskeuzes. Alleen het model aanwijzen zou de causale keten verkorten tot het onderdeel dat het meeste nieuwswaarde heeft. Attributie begint bij functies en bevoegdheden, niet bij een merknaam.

Ook de verdediging gebruikte AI. Hugging Face analyseerde de meer dan 17.000 gebeurtenissen met een lokaal open-weight model, nadat commerciële API's de echte aanvalspayloads en command-and-control-artefacten blokkeerden. Lokaal verwerken hield de aanvallersdata en gevonden credentials binnen de eigen omgeving. Daar ontstaat een ongemakkelijke governancevraag: een veiligheidsfilter kan misbruik tegengaan en tegelijk legitieme incidentrespons hinderen. Een organisatie moet die spanning vooraf contractueel en technisch kunnen dragen, zonder tijdens een crisis haastig gevoelige logs naar een onbeproefde route te verplaatsen.

De AI Act kent meer dan één incidentroute

Het woord "AI-incident" is geen zelfstandige juridische categorie. Artikel 55 AI Act richt zich op aanbieders van general-purpose AI-modellen met systeemrisico. Zij moeten onder meer modelevaluaties en adversarial testing uitvoeren, systeemrisico's op Unieniveau beoordelen en beperken, relevante informatie over ernstige incidenten documenteren en onverwijld melden, en voor passende cyberbeveiliging van model en fysieke infrastructuur zorgen. Een aanval die een GPAI-model gebruikt, valt echter niet automatisch onder die route. Er moet eerst worden vastgesteld wiens model het is, of het als GPAI met systeemrisico kwalificeert en welk verband het incident met ontwikkeling, marktintroductie of gebruik van dat model heeft.

Artikel 73 AI Act volgt een andere logica. Het betreft aanbieders van high-risk AI-systemen op de Uniemarkt en koppelt melding aan de wettelijke definitie van een ernstig incident. Een cyberinbraak is op zichzelf nog niet altijd zo'n incident; de uitkomst kan beslissend zijn, bijvoorbeeld ernstige gezondheidsschade, zware en onomkeerbare verstoring van kritieke infrastructuur of een inbreuk op grondrechten. Het artikel verlangt onderzoek en correctieve actie. Wanneer een onderzoeksingreep het betrokken systeem zo zou wijzigen dat latere oorzaakevaluatie wordt beïnvloed, moet de aanbieder de bevoegde autoriteiten vooraf over die ingreep informeren. Die regel staat onmiddellijke containment of noodzakelijke correctie niet in de weg; zij bewaakt bewijsgevoelige veranderingen tijdens het onderzoek.

AIRecht liet bij de recente wijziging van de high-risk tijdlijn zien dat dezelfde software in een andere AI Act-route kan belanden. Voor incidenten geldt dezelfde discipline. Een GPAI-model, een daarop gebouwd agentsysteem en een high-risk toepassing kunnen in één technische keten zitten, terwijl de verplichtingen verschillende adressaten, drempels en bewijsstukken hebben. De incidentkaart moet de juridische rollen naast de technische componenten leggen.

NIS2 en AVG kijken naar een ander gevolg

De NIS2-richtlijn kijkt naar significante incidenten bij essentiële en belangrijke entiteiten binnen haar sectorscope. De Europese structuur werkt met een vroege waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport in beginsel binnen één maand na die 72-uursmelding. In Nederland is de Cyberbeveiligingswet gepubliceerd in Staatsblad 2026, 187. Volgens de officiële aankondiging van 7 juli treedt zij op 15 augustus 2026 in werking en vervangt zij dan de Wbni. Op 3 augustus bevindt Nederland zich dus in een korte overgangsperiode. Een AI-bedrijf valt niet uitsluitend door zijn technologie onder het nieuwe regime; sector, omvang, dienst en de wettelijke kwalificatie als essentiële of belangrijke entiteit bepalen de route.

De AVG stelt weer een andere vraag. Bij een inbreuk in verband met persoonsgegevens moet de verwerkingsverantwoordelijke onder artikel 33 AVG beoordelen of een risico voor rechten en vrijheden bestaat en zo nodig binnen 72 uur melden. De aanvaller kan autonoom zijn, maar voor de AVG tellen toegang, verlies, wijziging of openbaarmaking van persoonsgegevens. De analyse moet daarom verder gaan dan "datasets geraakt": waren het persoonsgegevens, welke categorieën, van hoeveel betrokkenen, onder welke beveiliging en met welk waarschijnlijk gevolg?

Die regimes kunnen tegelijk lopen zonder hetzelfde incident te beschrijven. NIS2 kan beschikbaarheid en dienstcontinuïteit centraal stellen; de AVG vraagt naar persoonsgegevens; de AI Act kijkt naar systeemrisico, high-risk uitkomsten en de positie van de aanbieder. Contractuele meldingen kunnen nog eerder afgaan, bijvoorbeeld bij iedere gestolen credential of ongeautoriseerde toegang. Eén gebeurtenis kan vier klokken starten. Alleen een gedeelde feitelijke kern voorkomt dat iedere afdeling een andere versie van het weekend opstelt.

Een log is nog geen overdraagbaar dossier

Een actielog vertelt wat een machine of account deed. Een juridisch incidentdossier moet ook uitleggen wat het bedrijf op ieder beslismoment wist. Dat verschil lijkt klein totdat tijdslijnen worden vergeleken. Het securityteam kan om 03.10 uur een verdachte token zien, om 05.40 uur toegang intrekken en pas om 11.00 uur begrijpen dat persoonsgegevens of een high-risk systeem zijn geraakt. Meldtermijnen sluiten aan bij kennis, vermoeden, causaliteit en ernst. Zonder beslislog verdwijnt precies het moment waarop een wettelijke klok begon te lopen.

Bewijsbehoud vraagt om een tweelaags record. De eerste laag bewaart bronmateriaal: onveranderlijke logs, tijdstempels, hashes, systeem- en modelversies, prompts, toolcalls, accountrechten, netwerkpaden en snapshots van de getroffen omgeving. De tweede laag bevat de interpretatie: hypothesen, bevestigde feiten, onzekerheden, impactanalyse, genomen maatregelen en de eigenaar van iedere beslissing. Machines kunnen de eerste reconstructie versnellen; mensen moeten kunnen aangeven welke gevolgtrekking is gecontroleerd en op welk materiaal zij rust.

Het lokale forensische model van Hugging Face voegt een nieuw bewijsprobleem toe. Als een model duizenden gebeurtenissen samenvat, moet de organisatie de ruwe bron, gebruikte modelversie, configuratie en relevante output bewaren. Anders krijgt de toezichthouder alleen een keurige tijdlijn zonder mogelijkheid om weglatingen of verkeerde verbanden te toetsen. Een AI-samenvatting is analyse, geen vervanging van het bronbewijs.

Zeven velden verbinden respons en recht

Een bruikbaar incidentregister kan zeven velden per gebeurtenis dragen:

• tijdstip, bronlog en integriteitsbewijs;
• actor of account, inclusief mens, agent, model, tool en toegekende bevoegdheid;
• getroffen component, dienst, dataset en technische eigenaar;
• bevestigd feit, werkhypothese en mate van onzekerheid;
• mogelijke AI Act-, NIS2-, AVG- en contractroute met verantwoordelijke jurist;
• beslissing, maatregel, kennisniveau en reden op dat moment;
• externe melding, ontvanger, versie en later aangevulde informatie.

Die indeling maakt een verschil zichtbaar dat in generieke incidentplannen vaak verdwijnt: de aanvallende agent, het verdedigende model en het getroffen AI-product hebben ieder een andere rol. Ook machine-identiteiten verdienen een eigen plek. Een agent gebruikt API-sleutels, serviceaccounts, tokens en tijdelijke sandboxes; een verzamellabel als "system account" verbergt wie welke bevoegdheid verleende en waarom. Autonomie is bestuurlijk de combinatie van snelheid en gedelegeerde toegang.

De contractketen moet dat dossier kunnen voeden. Leveranciersclausules horen meldmomenten, logtoegang, bewaartermijnen, credentialrotatie, forensische medewerking, gebruik van lokale analysetools en communicatie met autoriteiten te verdelen. Ook moet duidelijk zijn wie een agent kan stilzetten, wie onderliggende logs mag kopiëren en welke correctie vóór bewijsveiligstelling verboden is. De NIS2-uitvoeringsrichtsnoeren van ENISA zijn nuttig vanwege hun nadruk op voorbeelden van bewijs en mappings; zij vervangen de scope- en meldanalyse niet.

Verantwoording begint na de snelle reconstructie

Autonome aanvallen veranderen de schaal van incidentrespons. Duizenden handelingen kunnen plaatsvinden voordat een mens één ticket heeft geopend. De bestuurlijke kwaliteit wordt daarom niet gemeten aan de dikte van het beleid, maar aan de overdraagbaarheid van de tijdlijn. Klanten, medewerkers, betrokkenen en autoriteiten moeten kunnen begrijpen wat geraakt is, welke onzekerheid resteert en waarom een melding wel of niet is gedaan.

Voor leveranciers- en platformcontracten kan de AIRecht Contractscan clausules over incidentmelding, logtoegang, audit, credentials, subverwerkers, bewijsbehoud en herstel zichtbaar maken. Bij agentische systemen past daarnaast een afgebakende incident-readiness review die technische rollen aan de AI Act-, NIS2- en AVG-routes koppelt. De waarde daarvan ligt in een dossier dat tijdens een crisis al gevuld kan worden, niet in een algemene belofte dat een leverancier "secure by design" werkt.

De primaire bron is geraadpleegd op 3 augustus 2026: Hugging Face, "Security incident disclosure — July 2026", gepubliceerd 16 juli 2026. Juridische bronnen zijn de officiële teksten en uitleespagina's voor AI Act-artikelen 55 en 73, NIS2, AVG artikel 33 en ENISA's technische NIS2-richtsnoeren. Het aanvallende taalmodel is publiek niet geïdentificeerd; deze analyse schrijft de campagne daarom niet toe aan een specifieke modelaanbieder.