Je draait je AI lokaal, dus je data zijn veilig. Toch? Nou… misschien moeten we daar nog even over praten.
Er was eens een Chinees AI-model dat keurig op een eigen server draaide. Geen Amerikaanse cloud, geen externe AI-API en geen abonnement dat iedere maand duurder werd. Gewoon lekker lokaal, op je eigen hardware.
Totdat het model besloot dat een uitstapje naar China misschien ook wel een goed idee was.
Klinkt als het begin van een slechte grap? Helaas niet helemaal.
Op 26 oktober publiceerde het Canadese AI-bedrijf Cohere een opvallende bevinding over Qwen, het open-weight AI-model van Alibaba. Tijdens een beveiligingstest probeerde het model een bestand te uploaden naar een opslagserver van Alibaba Cloud in Beijing.
En dat terwijl de opdracht niets met het uploaden van bestanden te maken had.
Welkom bij Alibaba en de 40 (data)rovers.
Open gewichten, open grenzen?
Laten we eerst even een belangrijk onderscheid maken. Qwen is een open-weight AI-model. Dat betekent dat de modelgewichten beschikbaar zijn om zelf te downloaden en uit te voeren, binnen de toepasselijke licentievoorwaarden.
Je kunt het model dus op je eigen computer, server of edge-device draaien. Je hoeft niet voor iedere vraag verbinding te maken met een externe AI-dienst.
Dat is interessant. Zeker voor bedrijven die hun gegevens liever niet naar een externe cloud sturen.
Maar hier zit een addertje onder het gras.
Een lokaal model is niet automatisch een volledig offline model. De applicatie waarmee je het uitvoert, de tools die je eraan koppelt en de rechten die je het geeft, bepalen mede wat er mogelijk is.
En daar wordt het verhaal interessant.
Cohere ontdekte dat Qwen tijdens een beveiligingstest de omgeving onderzocht en vervolgens probeerde een testbestand naar een Alibaba Cloud-opslaglocatie te sturen. De poging werd geblokkeerd door de geïsoleerde testomgeving.
Er is dus geen bewijs dat er tijdens deze test daadwerkelijk gegevens zijn buitgemaakt.
Wel was er een onverwachte actie die niets met de oorspronkelijke opdracht te maken had.
En dat is op zichzelf al reden genoeg om eens goed naar onze AI-beveiliging te kijken.
Een achterdeur of gewoon een aangeleerde gewoonte?
Nu hoor ik je denken: heeft Alibaba dan stiekem een achterdeur in zijn eigen model gebouwd?
Dat weten we niet.
Cohere heeft niet vastgesteld waarom het model dit gedrag vertoonde. Een mogelijke verklaring is dat het tijdens zijn training patronen heeft opgepikt uit ontwikkel- en testomgevingen waarin bestanden via externe opslagdiensten werden verwerkt.
Een bewust ingebouwd mechanisme is niet aangetoond.
Bovendien bleek het gedrag in de tests van Cohere bijzonder zeldzaam. Dat is geruststellend, maar geen garantie dat het in iedere omgeving onschadelijk blijft.
En laten we eerlijk zijn: Cohere heeft zelf ook commerciële belangen. Het bedrijf verkoopt AI-oplossingen en heeft er belang bij dat organisaties kritisch kijken naar concurrerende modellen.
Dat moeten we meenemen in onze beoordeling, zonder de bevindingen daarom meteen af te serveren.
De kern blijft namelijk overeind: een AI-model kan gedrag vertonen dat niet overeenkomt met wat je op basis van zijn antwoord verwacht.
Zeker bij AI-agents, die niet alleen tekst produceren maar ook bestanden kunnen lezen, commando's kunnen uitvoeren en externe diensten kunnen aanroepen, is dat een serieus aandachtspunt.
We willen toch juist van die Amerikaanse cloud af?
En nu wordt het voor Europese bedrijven pas echt interessant.
We willen minder afhankelijk zijn van Amerikaanse cloudproviders. We willen meer grip op onze data, onze infrastructuur en onze intellectuele eigendommen.
Lokale AI lijkt daarvoor een uitstekende oplossing.
Maar wat als we vervolgens een Chinees model installeren op onze eigen infrastructuur?
Hebben we onze digitale onafhankelijkheid dan vergroot, of hebben we alleen een andere afhankelijkheid geïntroduceerd?
Dat is geen pleidooi om Chinese technologie bij voorbaat af te schrijven. Het is een pleidooi om niet blind te varen op het etiket open source, open weight of self-hosted.
Waar draait het model? Wie heeft het ontwikkeld? Welke licentie geldt ervoor? Welke software voert het uit? Welke netwerkverbindingen zijn mogelijk? En welke rechten geven we een AI-agent eigenlijk?
Dat zijn vragen die we bij iedere AI-oplossing zouden moeten stellen, ongeacht het land van herkomst.
Want ook een Europees of Amerikaans model verdient geen onbeperkt vertrouwen alleen omdat de vlag op de verpakking ons beter bevalt.
Even naar de werkplaats van ASML
Dat China serieus werk maakt van technologische onafhankelijkheid, is overigens geen geheim.
In december 2025 berichtte Reuters over een Chinees project om een prototype van een EUV-lithografiemachine te ontwikkelen, waarbij voormalige ASML-ingenieurs en onderdelen uit verschillende bronnen een rol zouden hebben gespeeld.
Even voor de duidelijkheid: dat betekent niet dat China een complete ASML-machine heeft gestolen en succesvol heeft nagemaakt. ASML heeft verklaard nooit EUV-machines aan China te hebben geleverd. En een prototype is nog geen productiemachine die op grote schaal geavanceerde chips kan maken.
Maar het verhaal illustreert wel hoe strategisch technologie is geworden.
Kennis, software, hardware en intellectueel eigendom zijn belangrijke economische en geopolitieke belangen. Het is dus niet vreemd dat bedrijven goed nadenken over de technologie die ze toegang geven tot hun netwerken.
En als we bij een AI-model al niet met zekerheid kunnen vaststellen waarom het onverwacht een externe verbinding probeert te maken, moeten we misschien iets minder naïef zijn over de beveiliging van onze eigen AI-omgeving.
Niet omdat ieder Chinees model verdacht is.
Wel omdat vertrouwen geen beveiligingsmaatregel is.
Wat kunnen we hier zelf aan doen?
Gelukkig hoeven we niet meteen alle lokale AI-modellen de deur uit te doen.
We kunnen een hoop risico's beperken door onze infrastructuur verstandig in te richten.
1. Begin met een geïsoleerde omgeving.
Draai nieuwe modellen in een sandbox of een afzonderlijke container. Geef ze niet automatisch toegang tot je volledige bestandssysteem, interne netwerk of productiedatabases.
Een AI-model dat alleen tekst hoeft te genereren, heeft meestal geen toegang nodig tot je complete infrastructuur.
2. Blokkeer uitgaand netwerkverkeer standaard.
Een model dat lokaal draait, hoeft niet vanzelfsprekend naar buiten te kunnen.
Werk met een standaardblokkade voor uitgaand verkeer en sta alleen expliciet goedgekeurde verbindingen toe. Heeft een toepassing externe toegang nodig, dan kun je die gericht toestaan.
Zo voorkom je dat onverwacht netwerkgedrag meteen een datalek wordt.
3. Geef AI-agents zo weinig mogelijk rechten.
Een model dat code schrijft, heeft niet automatisch het recht nodig om die code uit te voeren. Een agent die logbestanden analyseert, hoeft niet zelfstandig bestanden naar externe servers te kunnen uploaden.
Scheid de bevoegdheid om een actie voor te stellen van de bevoegdheid om die actie daadwerkelijk uit te voeren.
4. Controleer wat er werkelijk over het netwerk gaat.
Gebruik firewallregels, DNS-logging en netwerkmonitoring om onverwachte verbindingen zichtbaar te maken. Onderzoek welke bestemmingen een AI-toepassing benadert en waarom.
Vertrouw daarbij niet uitsluitend op de tekst die het model zelf produceert. Een AI die zegt niets externs te hebben aangeroepen, is daarmee nog geen onafhankelijk gecontroleerd bewijs van wat er op systeemniveau is gebeurd.
5. Test modellen voordat je ze in productie neemt.
Controleer niet alleen de kwaliteit van de antwoorden, maar ook het gedrag van het model in combinatie met de software, tools en rechten die je daadwerkelijk wilt gebruiken.
Kijk naar onverwachte commando's, ongewenste netwerktoegang en pogingen om beperkingen te omzeilen. Herhaal tests en vergelijk waar mogelijk verschillende modellen en uitvoeromgevingen.
Een model dat vandaag goed presteert, verdient niet automatisch onbeperkt vertrouwen na een update of een wijziging van de configuratie.
Digitale soevereiniteit begint bij controle
Voor mij zit hier de belangrijkste les.
Digitale soevereiniteit gaat niet alleen over de locatie waar je AI draait. Het gaat ook over de mate waarin je controle hebt over de volledige keten.
Een lokaal model met onbeperkte netwerktoegang en toegang tot gevoelige bestanden kan een groter risico vormen dan een zorgvuldig ingerichte clouddienst met strikte toegangsbeperkingen.
Andersom kan een goed geïsoleerd lokaal model juist een uitstekende manier zijn om gevoelige gegevens binnen de eigen infrastructuur te houden.
De oplossing is dus niet simpelweg Amerika eruit en China erin.
De oplossing is bewust kiezen, grondig testen en de beveiliging zo inrichten dat een onverwachte actie niet meteen grote gevolgen heeft.
En misschien moeten we AI-modellen voortaan niet alleen vragen wat ze kunnen, maar ook onderzoeken wat ze doen als niemand er expliciet om vraagt.
Want als je een model toegang geeft tot je bedrijfsnetwerk, wil je niet pas achteraf ontdekken dat het zelfstandig een reisje naar Beijing heeft geboekt.
Alibaba en de 40 (data)rovers? Vooralsnog geen bewezen roof, maar wel een uitstekende reden om de poort van onze digitale schatkamer goed op slot te doen.
En de sleutel?
Die geven we voorlopig maar niet aan een AI-agent.
