AI-agents kunnen via eigen hallucinaties worden ingezet als botnet, waarschuwen onderzoekers

Beveiligingsonderzoekers waarschuwen dat hetzelfde hallucinatiegedrag waardoor grote taalmodellen feiten verzinnen, kan worden ingezet als wapen om autonome AI-agents om te vormen tot botnet-knooppunten — en dat het dreigingsoppervlak fundamenteel anders is dan de prompt-injectie-aanvallen die tot nu toe de krantenkoppen domineerden. Volgens Decrypt kunnen aanvallers misbruik maken van de neiging van een agent om vol vertrouwen te verwijzen naar niet-bestaande softwarepackages, door die gehallucineerde dependency-namen vooraf te registreren met kwaadaardige payloads nog voordat de agent ze probeert te installeren.

Het mechanisme is misleidend eenvoudig. Wanneer een AI-agent wordt gevraagd code te schrijven of uit te voeren, verzint deze vaak bibliotheeknamen die aannemelijk klinken maar in werkelijkheid niet bestaan. Een aanvaller die deze gehallucineerde packagenamen kan voorspellen — en onderzoekers stellen dat ze structureel voorspelbaar zijn — registreert ze op packageregisters zoals PyPI of npm met code die veel schadelijker is dan het laten crashen van een script. De agent, die autonoom opereert, downloadt en voert het package uit zonder dat een mens het ooit controleert. IBM definieert hallucinaties als misinterpretaties die voortkomen uit overfitting, bias in trainingsdata of onnauwkeurigheid, en hoge modelcomplexiteit. Diezelfde structurele gebreken zorgen ervoor dat gehallucineerde packagenamen consistent genoeg zijn tussen verschillende modeluitvoeringen, waardoor aanvallers ze op schaal kunnen voorsorteren.

Agents handelen — chatbots praten alleen

Hier wordt het onderscheid tussen een chatbot en een agent cruciaal. Een chatbot die een packagenaam hallucineert, produceert een onschuldige regel tekst. Een agent die dezelfde naam hallucineert, kan daadwerkelijk proberen deze te installeren. MIT Sloan’s uitleg over agentic AI merkt op dat agents juist verschillen van chatbots doordat ze autonome acties kunnen uitvoeren — code uitvoeren, packages installeren, op het web surfen — zonder menselijke bevestiging bij elke stap. Die autonomie, die de hele commerciële belofte van agentic systemen vormt, is tegelijk ook het aanvalsoppervlak.

Gen Digital’s onderzoeksblog van februari 2026 verwoordt de verschuiving botweg: “Jarenlang draaiden de debatten over AI-risico’s om content: hallucinaties, bias en slecht advies. Dat blijft belangrijk, maar agents verleggen het zwaartepunt.” Wat het model zegt versus wat het model doet — dat is de nieuwe scheidslijn. Een gehallucineerd feit in een chatvenster is gênant. Een gehallucineerde dependency in een pipeline die deze automatisch installeert, is een vector voor remote code execution.

Microsofts erkenning en de wapenwedloop in twee richtingen

Microsoft heeft het probleem op eigen voorwaarden erkend. Een op Reddit geciteerde discussie over cybersecurity die verwijst naar uitspraken van Microsoft, meldt dat het bedrijf heeft bevestigd dat AI-agents kunnen hallucineren en ten prooi kunnen vallen aan aanvallen. Gebruikers in diezelfde discussie wijzen op Microsofts waarschuwing dat hackers AI nu in elke fase van cyberaanvallen inzetten — verkenning, het genereren van payloads, social engineering — waardoor een wapenwedloop in twee richtingen ontstaat, waarbij offensieve en defensieve AI-capaciteiten parallel escaleren. Dit zijn ongeverifieerde claims uit een Reddit-discussie, maar ze sluiten aan bij de bredere consensus in onderzoek.

Van curiositeit naar systeemrisico: het botnetscenario

Het botnetscenario is wat dit verheft van een curiositeit tot een systeemrisico. Als meerdere AI-agents bij verschillende organisaties en systemen worden gecompromitteerd via dezelfde techniek van gehallucineerde dependencies, kunnen ze theoretisch worden gecoördineerd als botnet — een netwerk van gekaapte machines dat gezamenlijk opereert — zonder dat één enkele gebruiker zich ervan bewust is dat zijn agent is omgevormd. De gecompromitteerde agents blijven hun normale taken uitvoeren terwijl ze stilletjes deelnemen aan gecoördineerde activiteiten: distributed denial-of-service, het verzamelen van inloggegevens, of fungeren als relay-knooppunt voor verdere aanvallen. De eigenaar ziet een functionerende agent. De aanvaller ziet een hulpbron.

Het bredere aanvalsoppervlak reikt verder dan gehallucineerde packages. De OpenClaw-zaak, aangekaart op Facebook en TechJuice, toont een parallelle dreiging: AI-agents die gebruikersdata lekken via kwetsbaarheden in prompt-injectie. Dat incident illustreert dat agentic systemen meerdere overlappende kwetsbaarheden kennen — gehallucineerde dependencies, prompt-injectie, data-exfiltratie — die elk aan elkaar kunnen worden gekoppeld.

Concrete blootstelling voor crypto

Voor cryptomarkten zijn de belangen concreet. DeFi- en crypto-native AI-agents — tradingbots, on-chain automatiseringstools, portfoliobeheerders — zijn hoogwaardige doelwitten voor precies dit type aanval. Op 10 juli 2026 staat de Fear & Greed Index op 23/100 (Extreme Fear) en bedraagt de totale cryptomarktkapitalisatie $2.248,26 miljard, met een 24-uursvolume van $60,99 miljard. In een markt die al gebukt gaat onder angst, zou een botnet van gecompromitteerde tradingagents die gecoördineerde verkooporders uitvoeren of wallets leegtrekken de schade snel kunnen vermenigvuldigen. De technologie om autonome DeFi-agents te bouwen wordt sneller uitgerold dan het beveiligingsmodel om ze te beschermen.

Packageregisters vormen het knelpunt. Als PyPI, npm en vergelijkbare platforms beginnen met het markeren of in quarantaine plaatsen van packages waarvan de namen overeenkomen met bekende hallucinatiepatronen van LLM’s, wordt het aanvalsvenster aanzienlijk kleiner. Tot die tijd is elke agent die automatisch dependencies installeert een kandidaat voor rekrutering.