Aerdts en Brussel kijken toe: Amerikaanse AI vindt het PHP-lek, Washington krijgt vooraf een seintje en Europa schrijft regels

Kijk hoe het ging. Beveiligingsbedrijf Wiz ontdekte de gaten in PHP op 19 augustus en meldde ze vijf dagen later bij de makers, staat in het eigen verslag van Wiz. Daarbij werkten de onderzoekers met Gemini 4 Argon van Google en GPT-5.6 Sol van OpenAI, en volgens Wiz leverde Gemini een "onmisbare" bijdrage. Een tweede team, Calif, vond een van de lekken met GPT-5.6 Sol, schrijft OpenAI. Volgens Wiz deed één onderzoeker met die modellen in een week wat vroeger een topteam maanden kostte.

Dat is geen bedreiging. Dat is de beste reclame voor AI die je kunt bedenken. Een fout die meer dan tien jaar in de code zat, onder WordPress, Drupal en Joomla, werd volgens OpenAI gevonden voordat criminelen hem ontdekten, en binnen een dag na het uitlekken gerepareerd. AI heeft het internet deze week niet gesloopt, AI heeft het gered.

Maar let op wie er vooraan in de rij stond. De coalitie rond OpenAI lichtte vooraf het Witte Huis, het Amerikaanse Office of the National Cyber Director en cyberdienst CISA in, naast niet nader genoemde "international partners", aldus OpenAI. Cloudflare had zijn filters al uren voor de bekendmaking aanstaan. En de rest van de wereld? Die hoorde het op dinsdag 20 oktober via een gebruiker van Hacker News die de kern te vroeg online zette, blijkt uit de reconstructie van Cyber Kendra.

Of het Nederlandse NCSC vooraf iets wist, heeft het nergens gezegd. Wel valt op dat de dienst in zijn eigen technische overzicht schrijft dat zijn informatie op "public reporting" leunt, en tot de patch kwam erkende dat details en versies onbevestigd waren. Een heel land stond te wachten op 16.00 uur. Wie de modellen niet heeft, staat achteraan in de rij.

En voor wie denkt dat Europa helemaal niets deed: het Franse beveiligingsbureau Quarkslab hoorde volgens Cloudflare bij de onderzoekers. Prima. Maar de modellen die het zware werk deden, kwamen van de Amerikaanse bedrijven Google en OpenAI, niet uit Parijs of Eindhoven.

En wat doet Europa? Het schrijft regels. De Europese AI-verordening legt makers van algemene AI-modellen al sinds augustus 2025 verplichtingen op, vat de Cloud Security Alliance samen, en voor zogeheten hoog-risico-AI ligt een hele stapel eisen klaar. Zelfs Brussel kreeg die niet op tijd werkend: met de AI-omnibus schoof de EU de belangrijkste hoog-risicoregels afgelopen zomer op naar 2 december 2027, omdat normen en toezichthouders er simpelweg nog niet waren, zo staat in de verordening zelf. Brussel is wereldkampioen regels schrijven over een technologie die het zelf niet maakt.

Den Haag rent er braaf achteraan. D66-staatssecretaris Willemijn Aerdts bracht in april een uitvoeringswet in consultatie die toezicht op AI verdeelt over een rij toezichthouders, met de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur als coördinatoren, meldt de Rijksoverheid. Ze sprak daarbij van "enorme kansen". Mooie woorden. Het antwoord van het kabinet op die kansen is: een AI-bestuurder bij de privacywaakhond.

De cijfers zijn vernietigend. In 2025 werd in de Verenigde Staten volgens de Stanford AI Index bijna 286 miljard dollar aan privaat geld in AI gestoken. Het Verenigd Koninkrijk haalde 5,9 miljard, Frankrijk als beste EU-land 4,4 miljard en Duitsland 3,9 miljard. In generatieve AI, het soort dat deze lekken vond, ging er in Amerika 163,6 miljard in, tegen 4,7 miljard voor China en Europa samen. Van de opvallende AI-modellen van vorig jaar kwamen er volgens hetzelfde rapport 59 uit de VS, 35 uit China en 8 uit Zuid-Korea.

Mario Draghi waarschuwde het al in 2024 bij de presentatie van zijn rapport voor de Commissie: van de vijftig grootste techbedrijven ter wereld zijn er maar vier Europees, en we halen meer dan 80 procent van onze digitale technologie van buiten. Twee jaar later is de enige Europese bouwer van grote taalmodellen van formaat het Franse Mistral. Dat haalde in september 3 miljard euro op, met ASML als mede-investeerder, maar draait volgens het Eindhovens Dagblad op chips van Nvidia en werkt samen met Microsoft. Zelfs de Europese hoop hangt aan een Amerikaanse stekker.

Je kunt AI niet buiten de deur houden. De aanvallers van morgen gebruiken het ook, dat schrijft OpenAI zelf. De enige vraag is of wij de verdedigers hebben, of dat we ons hele land laten draaien op de goede wil van Washington en Californië. Wie de modellen niet maakt, hangt af van wat anderen hem willen vertellen, en moet bij het eerste alarm in het blind beslissen of het eigen loket dicht moet.

Staatssecretaris Aerdts, stop met toezicht organiseren op andermans uitvindingen! Zet de uitvoeringswet in de ijskast tot er een plan ligt om in Nederland en Europa eigen frontier-modellen te bouwen, met rekenkracht, geld en ruimte voor bedrijven in plaats van nóg een toezichthouder. En eis in Brussel dat de AI-verordening niet alleen wordt uitgesteld, maar fors wordt uitgekleed. Europa kan blijven klagen over Amerikaanse techreuzen, of zelf een reus worden. Kies.