METR: gestolen API-sleutel en 600.000 dollar aan AI-credits

Status: 10 oktober 2026

METR maakte de diefstal van een API-sleutel en het ongeautoriseerde gebruik van gratis credits bekend in een veiligheidsrapport van 31 augustus 2026. Dit incident toont duidelijk aan waarom je de economische waarde van een verbruikte bron moet scheiden van direct financieel verlies, en het verlies van toegangscontrole van een daadwerkelijk datalek.

Tijdlijn van het incident

1. Maart - eerdere context: diefstal van de sleutel, die pas in augustus publiekelijk werd gerapporteerd.
2. Mei: afzonderlijke verkenningsactiviteiten, deels via agents; een onderzoeker meldde een kwetsbaarheid in de viewer.
3. Bekendmaking in augustus: METR beschreef aanpassingen in monitoring, sleutelrotatie en infrastructuurscheiding.

Bron van de tijdlijn: METR, 31-08-2026.

Wat moet je eigenlijk meten bij een AI-incident?

Verloop: de API-sleutel en een apart beveiligingslek

In maart bevatte een onderzoeksapplicatie op een persoonlijke EC2-instantie een fail-open authenticatiefout. Bij het incident in mei vond METR geen aanwijzingen dat aanvallers het lek in de viewer hebben uitgebuit of niet-openbare gegevens hebben buitgemaakt: METR, 31-08-2026.

Deze twee gebeurtenissen moeten strikt gescheiden blijven. De diefstal van de sleutel roept vragen op over toegangsbeheer en consumptie van computerbronnen. Een kwetsbaarheid in datatoegang vereist weer onderzoek naar de vraag of het lek daadwerkelijk is misbruikt. Als je beide samenvoegt tot een spectaculair verhaal over een enorm datalek, vervaagt het cruciale verschil tussen een bevestigd gevolg en een theoretische kwetsbaarheid.

Analyse: ook gratis AI-credits vereisen strikte controle

Een gratis budget vrijwaart je van betaling, maar ontslaat je niet van degelijk toegangsbeheer. Gratis credits hebben een duidelijke gebruikswaarde: ze stellen je organisatie in staat geplande taken uit te voeren. Ongeautoriseerd verbruik ontneemt je de controle over waar die capaciteit naartoe gaat. Een factuur van nul euro mag het onderzoek naar een beveiligingsincident dan ook nooit afsluiten.

Monitoring die alleen kijkt naar binnenkomende facturen beantwoordt een veel te beperkte vraag: moeten we betalen? Je moet vooral weten of de juiste persoon de bron gebruikt, voor het beoogde doel en binnen afgesproken limieten. Een verbruiksalarm is net zo essentieel wanneer de teller op nul euro staat.

Dat betekent niet dat de nominale cataloguswaarde van het tegoed automatisch gelijkstaat aan de schade. In een evaluatie splits je het verbruik, de gecompromitteerde rechten en de daadwerkelijke kosten netjes uit. Zo stem je de reactie af op het echte probleem, in plaats van te reageren op het meest sensationele bedrag.

Een API-sleutel is een permissie, geen gewone tekst

Hoe je een geheim beveiligt, hangt af van wat ermee gedaan kan worden. Een sleutel met brede rechten vraagt om een heel ander toezichtsniveau dan een token dat strikt beperkt is tot een specifieke taak. Cijfers over verbruik laten bovendien niet zien wat de volledige reikwijdte van de rechten was of welke functies precies zijn aangeroepen.

Bij het ontwerpen van workflows voor AI-agents moet je de inhoud die de agent verwerkt strikt scheiden van de permissies die nodig zijn voor de uitvoering. Een taak waarvoor een externe API nodig is, vereist zelden dat de sleutel zelf in de context van het taalmodel belandt. Zorg dat een API-sleutel op zo min mogelijk plekken als platte tekst kan rondslingeren of doorgestuurd kan worden.

Wie verloor er wat en wie profiteerde?

Het vastgestelde gevolg voor METR is het verlies van controle over het verbruikte deel van het tegoed en de gecompromitteerde sleutel. Dat is niet hetzelfde als een cashflowprobleem. Zonder nadere gegevens valt evenmin vast te stellen of onderzoek vertraging opliep of dat er waardevolle computertijd definitief verloren ging.

De aanvaller kreeg de mogelijkheid om AI-capaciteit in te zetten voor eigen doeleinden. Dat is het feitelijke resultaat. Of er sprake was van financieel gewin, doorverkoop of bredere toegang blijft giswerk. Door deze zaken niet op een hoop te gooien, voorkom je dat aannames als feiten worden gepresenteerd.

Voor METR levert het incident inzichten op voor een strakkere scheiding van verantwoordelijkheden en minimale rechten. Maar beleid invoeren is niet genoeg: de praktijk telt. Komt een melding direct bij de juiste beheerder terecht? Kan een permissie onmiddellijk worden ingetrokken? En raakt die noodstop uitsluitend de gecompromitteerde service?

Tussen ontwikkelaars en beveiligers heerst vaak spanning tussen flexibiliteit en toezicht. Je hoeft echter niet te kiezen tussen absolute vrijheid of alles blokkeren. Met fijnmazige permissies en duidelijke escalatiepaden beperk je de schade van een fout, zonder de agent onbruikbaar te maken.

Lessen voor organisaties

Behandel elke API-sleutel als een gecontroleerd toegangsmiddel met een vaste eigenaar en een intrekkingsprocedure. Die verantwoordelijkheid mag niet alleen op papier bestaan. Wie de waarschuwing ontvangt, moet de bevoegdheid hebben om direct in te grijpen, inclusief een geregelde waarneming bij afwezigheid.

• Leg het doel, de minimale permissies en de toegestane use-cases van de sleutel vast.
• Wijs een duidelijke eigenaar aan en een vervanger voor incidentrespons.
• Stel harde verbruikslimieten in, ongeacht of het om een gratis of betaald account gaat.
• Hanteer aparte drempels voor een waarschuwing en voor een automatische stop.
• Controleer bij het roteren van sleutels of de oude sleutel direct ongeldig is en controleer afhankelijke systemen.

Stem limieten af op de specifieke taak in plaats van op het totale beschikbare budget. Het feit dat je 10.000 dollar aan tegoed hebt, betekent niet dat een individuele agent dat in een weekend mag opmaken. Zorg dat je een verdachte taak kunt pauzeren zonder niet-gerelateerde processen plat te leggen.

Lessen voor ontwikkelaars en gebruikers

Beoordeel een integratie altijd op hoe eenvoudig je de toegang weer intrekt, niet alleen op het installatiegemak. Vraag je vóór invoer van een API-sleutel af waar deze wordt opgeslagen, welke acties ermee mogelijk zijn en wie toezicht houdt. Blijft dat onduidelijk, beperk dan de rechten of stel de integratie uit.

• Kies altijd voor het minimale permissieniveau dat voor de taak vereist is.
• Configureer drempelwaarden en notificaties zodra de provider die biedt.
• Controleer regelmatig het daadwerkelijke verbruik, niet alleen de te betalen factuur.
• Trek bij het minste vermoeden van een lek de toegang in en inspecteer de logs.

Het wissen van een chatbericht waarin per ongeluk een sleutel stond, trekt de permissie niet in. Je reactie moet gericht zijn op het deactiveren van de sleutel bij de provider, niet op het opruimen van de zichtbare tekst. Een nieuwe sleutel aanmaken helpt evenmin als het oude token actief blijft of op dezelfde onveilige plek terechtkomt.

Voorbeeld: een AI-agent met gratis credits

Stel dat een bedrijf een AI-agent toegang geeft tot een gratis API-tegoed om documenten te analyseren. Bij ongewoon hoog verbruik ontstaat een dilemma: direct afsluiten kan legitiem werk onderbreken, maar enkel een melding sturen laat de sleutel actief tot een beheerder tijd heeft om te kijken.

De oplossing zit in vooraf gedefinieerde regels. Een waarschuwing gaat direct naar de verantwoordelijke beheerder, terwijl het overschrijden van een harde drempel de toegang voor die specifieke taak automatisch bevriest. Hervatten kan pas na verificatie. Dat kost wat flexibiliteit, maar voorkomt ongecontroleerd leegloopgedrag. Dat er geen rekening volgt, verandert niets aan die afweging.

Blijkt de blokkade achteraf een vals alarm, dan kan de beheerder de limiet gericht verhogen. Is er niemand bereikbaar, dan blijft de taak veilig gepauzeerd. Geen factuur ontvangen is immers geen garantie dat er niets mis is.

Wat we nog niet weten

Er zijn geen gedetailleerde gegevens over het exacte verbruikspatroon, de totale kosten van de incidentafhandeling of de effectiviteit van de nieuwe beveiligingsmaatregelen. Ook de impact op het wetenschappelijke onderzoek van METR blijft onbekend. Dat ontneemt ons het volledige zicht op de omvang, maar de kernles blijft overeind: bronverbruik, geheimenbeheer en facturatie vereisen elk hun eigen controles.

Meer analyses van praktijkvoorvallen vind je in onze reeks over AI-casestudy’s.

De beheerder moet het verbruik direct kunnen stoppen

Een deugdelijk toegangsregister koppelt elke API-sleutel aan een project, een beheerder en een noodstopprocedure. Een realtime verbruiksgrafiek levert weinig op als de ontvanger van het alarm niet direct kan ingrijpen. Zorg dat je het verlagen van een budgetlimiet niet verwart met het intrekken van een gelekte sleutel: een lager bestedingslimiet herstelt de geheimhouding van een gecompromitteerde sleutel niet.

Bronnen

• METR - beveiligingsupdate, 31-08-2026.