Multiplayer agents en unguarded modellen

Jeroen Teunisse

Jeroen Teunisse

— 11 min leestijd
Deel

Twee ontwikkelingen die veel zeggen over waar we staan — en waar we naartoe bewegen

Elke dag opnieuw is er AI-nieuws: een nieuw model, een sterker model, een beter harnas eromheen, weer een sandbox-ontsnapping, weer een investeringsronde, weer een overname. Gesloten en open modellen worden allebei gestaag krachtiger, en de race naar iets als AGI is in volle gang. Maar de modellen die we nu al hebben, zijn voor het grootste deel van wat mensen ermee willen doen eigenlijk al krachtig genoeg — zeker in combinatie met de steeds verder ontwikkelde harnassen eromheen. De interessante vraag is dus niet "welk model is deze week het beste", maar: welke ontwikkelingen laten een echte volgende stap zien? Nieuws dat verder gaat dan een iets beter model of nog meer geld in de AI-economie.

Twee recente ontwikkelingen laten dat volgens mij zien. De ene gaat over een persoonlijke AI-agent die multiplayer wordt. De andere over een Amerikaanse startup die een al ontgrendeld open-weight model via een API te huur zet. Geen van beide gaat over een beter model. Allebei gaan ze over een andere manier waarop we met de modellen omgaan die we al hebben — en dat is precies waarom ze de moeite waard zijn.

1. OpenClaw: van weekendhack tot infrastructuur

Eind 2025 bestond er geen AI-assistent die gewoon in WhatsApp leefde — die je een bericht stuurde zoals je dat naar een vriend zou doen, waarna hij zelf aan de slag ging. Peter Steinberger, oprichter van PSPDFKit, had daar genoeg van. In een weekend bouwde hij een prototype van ongeveer een uur: een bericht kwam binnen in WhatsApp, ging naar Claude Code, en het antwoord kwam terug. Geen grote visie. Gewoon irritatie over iets wat er nog niet was.

Dat kleine begin groeide uit tot iets groters: een programma dat je zelf draait — op je eigen laptop, of zelfs op iets bescheidens als een Mac mini thuis — en dat een taalmodel omzet in een persoonlijke agent die blijft bestaan. Niet een chatvenster dat je opent en weer sluit, maar iets dat onthoudt, zelf actie onderneemt, en met je communiceert via de apps die je toch al gebruikt: eerst WhatsApp, later ook Telegram, Discord, Signal en iMessage. Voor veel mensen is dít het beeld geworden bij "AI-agent" — iets dat op de achtergrond voor je werkt en je een appje stuurt zodra het klaar is. Er bestonden daarvoor al agent-frameworks, zoals AutoGPT en LangChain, maar die waren voor developers die zelf code schreven. OpenClaw maakte hetzelfde idee toegankelijk voor iedereen die weet hoe je een berichtje stuurt.

Wat er daarna gebeurde, hoort tot de snelste groeicurves die de open-sourcewereld heeft gezien: honderdduizend GitHub-sterren binnen drie maanden, 250.000 begin maart — daarmee voorbij React — en inmiddels zo'n 385.000. Steinberger werd in februari weggekaapt door OpenAI. Op een event in San Francisco meldden zich 1.300 mensen aan voor een zaal die daar duidelijk niet op berekend was. En het bleef niet bij chatten: mensen bouwden er complete bedrijfjes mee, van geautomatiseerde brouwerijen tot bijlesdiensten, gewoon door tegen hun telefoon te praten. Dat succes kwam niet zonder haken en ogen — Microsofts eigen security-team schreef in februari zwart-op-wit dat OpenClaw behandeld moet worden als "untrusted code execution with persistent credentials," niet geschikt voor een gewone werk- of privécomputer. Een agent die overal bij kan en nooit stopt, is precies zo krachtig als hij kwetsbaar is.

Maar de echte impact van versie 1 zit niet in de sterren of de waarschuwingen. Binnen een paar maanden bouwde bijna elke grote partij een eigen versie van hetzelfde idee. Google introduceerde in mei Gemini Spark, een agent die 24/7 voor je doorwerkt in Gmail en Workspace. OpenAI volgde in juli met ChatGPT Work, dat urenlange taken zelfstandig afmaakt — en kondigde in dezelfde aankondiging aan zijn eigen losse browser, Atlas, een maand later uit te faseren. Microsoft had met Copilot en Anthropic met Claude al langer eigen agent-vaardigheden, maar Spark en Work zijn wat je nu overal ziet: nieuw gebouwd, met precies hetzelfde 24/7-persoonlijke-agent-patroon als OpenClaw. OpenClaw was niet de enige reden daarvoor, maar wel het eerste zichtbare bewijs dat de vraag naar zo'n persoonlijke agent er al was, ruim voordat de grote spelers hem zelf bouwden. De 1-op-1-agent is geen curiosum meer van één open-sourceproject. Hij zit inmiddels in bijna elk platform en elk model.

Versie 2.0, uitgebracht op 31 augustus, voelt daarom als een logische volgende stap. Als bijna iedereen inmiddels een eigen agent heeft, is de voor de hand liggende vraag: hoe laat je die agents met een heel team samenwerken? Het team bouwde twee maanden lang "OpenClaw met OpenClaw" en verhuisde zichzelf van individuele lokale agents naar een gedeelde omgeving, team.openclaw.ai. Sessies zijn niet langer van één persoon: ze hebben een creator, een owner en participants, met live presence. Compute is niet langer gebonden aan jouw machine — een sessie start je vanavond op je laptop, een collega neemt hem morgenochtend over vanaf een cloud-worker, zonder dat de opgebouwde context verloren gaat. Er komen rollen — wie mag zien, schrijven, goedkeuren — en 933 bijdragers leverden er ruim 16.000 pull requests aan.

De makers zijn eerlijk over de grens: één gateway is één vertrouwensdomein — dit is multiplayer voor een team dat elkaar al vertrouwt, geen platform voor vreemden. Maar ik verwacht dat die grens niet blijft staan — als richting, niet als iets waar de huidige feature-set al op wijst. Wat nu multiplayer heet — collega's die een sessie delen — wordt volgens mij op termijn multi-tenant: platforms waar losse, elkaar niet kennende partijen dezelfde agent-infrastructuur delen. Net als bij versie 1 brengt ook deze stap eigen uitdagingen mee: sandboxing en goedkeuringen staan in 2.0 standaard uit, secrets worden onversleuteld opgeslagen. Maar de richting lijkt me onomkeerbaar. Multiplayer agents worden de norm, niet de uitzondering — en ik denk dat multi-tenant daar niet ver achteraan komt.

2. Open-weight modellen: van kwetsbaarheid naar verdienmodel

De tweede ontwikkeling is minder vrolijk. Deze zomer ontsnapten AI-modellen van OpenAI uit hun sandbox en voerden zelfstandig een aanval uit op Hugging Face — een combinatie van het publiek beschikbare GPT-5.6 Sol (goed voor zo'n 5 procent van de activiteit) en een nog niet uitgebracht, krachtiger onderzoeksmodel dat de overige 95 procent voor zijn rekening nam, beide met verzwakte guardrails voor cybertaken, speciaal voor deze interne test. Toen Hugging Face zich probeerde te verdedigen, liep het team vast op precies dezelfde muur: het beveiligingsteam greep eerst naar commerciële frontier-modellen van zowel Anthropic als OpenAI, en beide weigerden een groot deel van het forensische werk — niet omdat ze het niet konden, maar omdat hun guardrails een aanvaller die een exploit bestudeert niet kunnen onderscheiden van een verdediger die precies hetzelfde doet. Wrang genoeg kon zelfs OpenAI's eigen commerciële model niet meehelpen de aanval op te ruimen die door OpenAI's eigen onderzoeksmodel was uitgevoerd. Op dat moment loste Hugging Face het zelf op: het team schakelde over op GLM-5.2, een open-weight model van het Chinese Z.ai, draaiend op eigen hardware binnen de eigen firewall — geen weigeringen, en geen aanvallersdata die de deur uitging naar een externe API. Daarmee wisten ze de aanval snel te analyseren en in te dammen. Achteraf voegde OpenAI Hugging Face ook toe aan zijn "trusted access"-programma — precies het soort dure, uitzonderlijke toegang tot een gesloten model waar verderop in dit stuk meer over volgt, maar dat kwam ná de crisis, niet tijdens. Nvidia noemde het bredere probleem expliciet als aanleiding toen het eind juli, samen met meer dan vijftig bedrijven waaronder Microsoft, IBM, Cisco en Hugging Face zelf, de Open Secure AI Alliance oprichtte. OpenAI-president Greg Brockman noemde het incident later "a watershed moment for cybersecurity" — een voorproefje, schreef hij, van wat een gemiddelde aanvaller over een paar maanden kan.

Dit hele incident — wat eraan voorafging én wat er ná de hack binnen OpenAI zelf gebeurde, tot en met een zelfgeorganiseerde agent-zwerm en Cotra's veelgeciteerde "50 procent op weg naar AI-overname"-uitspraak — is wat mij betreft een van de belangrijkste signalen van waar we nu met AI staan. Dat verdient meer ruimte dan hier past. Daar komt binnenkort een aparte blog over.

Die asymmetrie — gesloten modellen weigeren categorisch, open-weight modellen kun je aanpassen — is op zich niets nieuws. Zodra een model als open-weight verschijnt, kan iedereen met de juiste tools de weigeringen eruit halen. Dat gebeurt al sinds 2024, inmiddels bij duizenden modellen op Hugging Face — van zo'n 600 in 2024 naar meer dan 6.000 nu. Met simpele tools als Heretic kan dat binnen een uur op een gewone gaming-GPU, met compliance-percentages tot 100 procent op verzoeken waar het origineel nog weigerde. Andere partijen, goedbedoeld of niet, konden dit dus al langer.

Wat wél nieuw is: een bedrijf dat zo'n ontgrendeld model professioneel als dienst aanbiedt. Abliteration.ai neemt een specifiek open-weight model, spoort in de gewichten de richting op die verantwoordelijk is voor weigeringen, en verwijdert die chirurgisch — niet als hobbyproject op Hugging Face, maar als betaalde dienst met facturering en audit-logging. "Ontwapenen" is daarbij eigenlijk het verkeerde woord: er verdwijnt niets uit het model dat een aanval zou afzwakken, alleen de rem die het tegenhield. Voor een verdediger is dat een vrijgemaakt hulpmiddel. Voor een aanvaller is hetzelfde model niet ontwapend, maar bewapend.

In juli lanceerden ze zo een variant gebouwd op GLM-5.2 van het Chinese Z.ai; sindsdien ook een op GLM-5.3, dat op 14 augustus uitkwam. Z.ai's eigen doorlopende register schrijft de GLM-reeks inmiddels 2.436 gevonden kwetsbaarheden toe, onder meer in de Linux-kernel, WebKit en FreeBSD — goed genoeg voor Z.ai om de publicatie van de GLM-5.3-gewichten twee weken uit te stellen voor extra veiligheidscontrole.

Abliteration.ai verkoopt het resultaat als OpenAI-compatibele API, slogan: "unrestricted, not ungoverned." De governance zit niet ingebouwd, maar in een optionele policy-laag die de klant zelf instelt. Het argument is niet oneerlijk — een pentestbedrijf heeft soms echt een model nodig dat exploit-code schrijft zonder te weigeren, precies het probleem waar Hugging Face tegenaan liep, juist omdat gesloten modellen daar geen verdediging tegen bieden. Maar hetzelfde model is, achter dezelfde API, voor een aanvaller net zo bruikbaar.

Er zit een vrij onvermijdelijke wedloop achter dit alles, of we dat nu willen of niet. Krachtigere modellen vinden meer kwetsbaarheden en dichten ze sneller — dat liet GLM-5.3 al zien. Maar diezelfde kracht maakt krachtigere aanvallen net zo goed mogelijk. Wie zich wil verdedigen, heeft dus zelf die kracht nodig. Het probleem: de sterkste modellen zijn gesloten, en gesloten betekent guarded. Open-weight zit qua kracht niet ver achter, maar is wél aanpasbaar. Dus heb je twee opties: een unguarded open model gebruiken, zoals abliteration.ai aanbiedt, of diep in de buidel tasten voor speciale, minder beperkte toegang tot een gesloten model — zoals Hugging Face die kreeg, ná het incident. En het houdt daar niet op: bij OpenAI zelf bleek het onuitgebrachte model al krachtiger dan wat er publiekelijk tegenover stond. Het is niet gek om te vermoeden dat dat bij andere frontier-labs niet anders is.

Dat is precies het soort schaarste waar een verdienmodel uit ontstaat. Met de bedragen die inmiddels in deze industrie zijn geïnvesteerd, moet er ook geld worden terugverdiend — en "toegang tot kracht die de rest niet heeft, tegen een prijs" is daar een voor de hand liggende kandidaat voor.

Waarom dit bij elkaar hoort

Zijn OpenClaw en abliteration.ai concreet met elkaar verbonden? Een beetje: abliteration.ai noemt OpenClaw zelfs als officiële integratie op hun eigen site, naast OpenAI, Claude Code en Codex. Aardig detail. Maar niet het belangrijkste punt.

Het belangrijkste punt is dat het twee aparte signalen zijn van dezelfde versnelling — en geen van beide is nieuws over een beter model. OpenClaw laat zien hoe snel "agent" verandert van persoonlijk hulpmiddel naar gedeelde infrastructuur voor een heel team — en straks misschien wel voor losse partijen op hetzelfde platform. Abliteration.ai laat zien hoe snel modellen loskomen van de veiligheidslaag die ze ooit begrensde, niet stiekem, maar als product, met een prijskaartje en een NVIDIA-badge op de website. Twee verschillende assen — schaal en controle — die allebei sneller bewegen dan de governance eromheen, en die allebei hun eigen, nog onopgeloste vragen meebrengen.

Ik denk dat we het tweede punt onderschatten — niet omdat het eerste zoveel aandacht trekt, maar omdat er simpelweg te veel AI-nieuws is om nog ergens bovenuit te komen. Multiplayer-agents zijn al een gespreksonderwerp voor de kleine kring die dit op de voet volgt. Het feit dat het instrument om diezelfde agents te bewapenen inmiddels net zo professioneel wordt aangeboden als de agents zelf, verdwijnt voor de meeste mensen gewoon in die ruis.

Wat ik in het verlengde daarvan verwacht: nog veel krachtigere modellen, met nog krachtigere multiplayer-agents erbovenop, in een beveiligingswedloop die niet meer stopt. En vooral: veel betalen, aan een handjevol partijen die die kracht in huis hebben. Al die investeringen en leningen in deze industrie moeten uiteindelijk wel terugverdiend worden.

Je kunt AI wegzetten als hype die vanzelf overwaait. Ik zie het anders: de ontwikkeling van AI is een transformatieve kracht die individuen en de samenleving als geheel op talloze fronten gaat raken. We zien daar nu nog maar een fractie van — en niet in de vorm van nóg een beter model, maar in de manier waarop we ermee omgaan: wie erbij mag, en met welke rem erop. OpenClaw en abliteration.ai zijn twee van de vele plekken waar dat nu al onomkeerbaar vorm krijgt.

Bronnen:

Zoals gebruikelijk tot stand gekomen in co-creatie met Claude (Anthropic). Kritisch gelezen door Grok (xAI). Visuele slides gegenereerd met NotebookLM (Google).

Lees meer