McKinsey's Lilli werd op 9 maart openbaar gemaakt. Het verslag brengt geen schade met zich mee.

Op 9 maart 2026 publiceerde de beveiligingsstartup CodeWall een verslag over hoe een autonome agent die het bedrijf had gebouwd in ongeveer twee uur en zonder ook maar enige inloggegevens volledige lees- en schrijftoegang kreeg tot de productiedatabase achter Lilli, de bedrijfsbrede AI-assistent van McKinsey & Company. De inbraak zelf vond plaats op 28 februari; wat deze vermelding in het AI-incidentenarchief vastlegt, is de dag waarop het incident openbaar werd. Volgens CodeWall bevatte de database die de agent had bereikt 46,5 miljoen chatberichten in platte tekst, 728.000 bestanden, 57.000 gebruikersaccounts en de 95 systeemprompts die bepalen hoe Lilli antwoordt — en die prompts stonden in dezelfde database waarnaar de agent kon schrijven. De mensen in de data waren de eigen medewerkers van McKinsey: het bedrijf zegt dat 72 procent van zijn werknemers, ruim 40.000 mensen, Lilli gebruiken, dat meer dan 500.000 prompts per maand verwerkt. De volledige vermelding, met de ernst- en betrouwbaarheidsgraden en de naburige records waar deze tussen staat, is te vinden in het Orca AI Incident Archive.

Die opening is een compressie van twee heel verschillende soorten beweringen, en het archiefitem is zorgvuldig over dat verschil. Het beoordeelt de vermelding als een incident, confidence A, niet betwist, ernst hoog, regio VS, type INFRA — infrastructuur, geen modelfout. Het vermeldt ook geen echte schade. Dat laatste veld is het veld dat je twee keer moet lezen, want het betekent niet dat de blootstelling onschadelijk was. Het betekent dat er op basis van de gegevens geen schade is vastgesteld, en het onderstaande artikel scheidt wat twee partijen met elkaar eens zijn van wat berust op de weergave door één bedrijf van zijn eigen onderzoek.

Waarom de openbaarmaking een eigen gedateerde gebeurtenis is

Het archiefoverzicht voor deze vermelding verwijst terug naar 28 februari 2026, de dag waarop de agent van CodeWall de fout vond, en het archief draagt die eerdere datum als een afzonderlijk record. Die splitsing is niet bureaucratisch. Vóór 9 maart waren de enige partijen die wisten wat er binnen Lilli was gebeurd, McKinsey en de onderzoeker die het had gemeld. Na 9 maart stonden de vorm van de fout, de reactie van het bedrijf en de bewering over wat zich in de database bevond allemaal in de openbare verslaglegging, waar andere beveiligingsonderzoekers ertegenin konden gaan.

Lilli is geen nevenproject. The Register plaatste de uitrol ervan in juli 2023, via chat, documentanalyse en het ophalen van informatie uit het interne onderzoek van het bedrijf. CodeWalls artikel, waarin ook staat waar de naam vandaan komt — de eerste professionele vrouw die het bedrijf in 1945 in dienst nam — beschrijft dat er meer dan 100.000 interne documenten aan ten grondslag liggen. The Register, dat de onthulling dezelfde dag meldde, stelde het gebruik op 72 procent van de werknemers en het volume op meer dan 500.000 prompts per maand — cijfers die McKinsey zelf heeft gepubliceerd in een openbare casestudy over het platform.

Hoe de agent binnenkwam

CodeWalls relaas begint met documentatie, niet met exploitatie. De agent ervan ontdekte dat de API-documentatie van Lilli publiekelijk toegankelijk en volledig uitgewerkt was: meer dan 200 endpoints in totaal, waarvan de meeste authenticatie vereisten en 22 niet. Een van die niet-geauthenticeerde endpoints schreef zoekopdrachten van gebruikers in de database. De waarden waren correct geparametriseerd, maar de JSON-sleutels — de veldnamen — werden rechtstreeks aan SQL vastgeplakt.

De agent merkte dit omdat databasefoutmeldingen die JSON-sleutels letterlijk teruggaven. CodeWall zegt dat de ZAP-scanner van OWASP het probleem niet markeerde, en dat de agent vervolgens vijftien blinde iteraties uitvoerde, waarbij elke foutmelding het iets meer leerde over de vorm van de query, totdat er live productieregels begonnen terug te komen. Van daaruit koppelde het de injectie aan een autorisatiefout op objectniveau om de zoekgeschiedenis van individuele werknemers te lezen. Het bedrijf beschrijft de hele run als volledig autonoom, van doelwitselectie tot rapport, zonder inloggegevens en zonder mens in de lus. De oprichter en chief executive, Paul Price, vertelde The Register dat het proces "volledig autonoom was, van het onderzoeken van het doelwit tot analyseren, aanvallen en rapporteren."

Wat CodeWall zegt dat er binnenin zat

Elk cijfer in deze sectie is afkomstig uit CodeWalls rapport van 9 maart. Er zijn geen payloads gepubliceerd, dus niets ervan kan worden gereproduceerd of onafhankelijk geteld — een beperking die in de volgende sectie aan de orde komt.

• 46,5 miljoen chatberichten, opgeslagen in platte tekst, over strategiewerk, klantopdrachten, financiën en fusies en overnames.

• 728.000 bestanden, waarvan het verslag 192.000 pdf's, 93.000 Excel-spreadsheets, 93.000 PowerPoint-presentaties en 58.000 Word-documenten opsomt — 436.000 in totaal, waardoor de resterende 292.000 in dezelfde zin ongeclassificeerd blijven.

• 57.000 gebruikersaccounts, 384.000 AI-assistenten en 94.000 workspaces, wat CodeWall beschrijft als de volledige organisatiestructuur van hoe het bedrijf AI intern gebruikt.

• 95 systeemprompts en modelconfiguraties verdeeld over 12 modeltypen, die laten zien hoe de assistent werd geïnstrueerd, welke guardrails er bestonden en welke modellen daaraan ten grondslag lagen.

• 3,68 miljoen documentchunks voor retrieval-augmented generation, met S3-opslagpaden en interne bestandsmetadata — de kennisbank die de assistent voedt.

• 1,1 miljoen bestanden en 217.000 agentberichten die via externe AI-API's worden verwerkt, waaronder meer dan 266.000 vectorstores op het platform van OpenAI.

De bevinding die CodeWall als het hoofdverhaal beschouwt, is niet de injectie, maar waar de injectie terechtkwam. De systeemprompts van Lilli waren rijen in dezelfde database waarnaar de agent kon schrijven, wat betekent dat een aanvaller met dezelfde toegang de instructies van de assistent had kunnen herschrijven met één UPDATE-statement verpakt in één HTTP-aanroep — geen deployment, geen codewijziging, geen bestand op schijf om te diffen. CodeWall zegt dat zijn eigen tests uitsluitend verificatie waren: het las, het schreef niet, en het zegt dat geen productiedienst is verstoord.

Wat McKinsey diezelfde dag zei

Een woordvoerder van McKinsey vertelde The Register op 9 maart dat het bedrijf alle problemen die CodeWall had geïdentificeerd binnen enkele uren nadat het ervan op de hoogte was gebracht, had verholpen. "Ons onderzoek, ondersteund door een toonaangevend forensisch onderzoeksbureau van derden, heeft geen bewijs gevonden dat klantgegevens of vertrouwelijke klantinformatie door deze onderzoeker of enige andere onbevoegde derde zijn ingezien," zei de woordvoerder, en voegde eraan toe dat "de cyberbeveiligingssystemen van McKinsey robuust zijn."

Silicon UK meldde op 13 maart dezelfde stand van zaken, in het verslag van Matthew Broersma: McKinsey zei dat het "recentelijk door een beveiligingsonderzoeker op de hoogte was gebracht van een kwetsbaarheid met betrekking tot ons interne AI-hulpmiddel Lilli", dat het "de kwetsbaarheid onmiddellijk bevestigde en het probleem binnen enkele uren verhielp", en dat er geen toegang was verkregen tot klantgegevens of vertrouwelijke klantinformatie. Dat verslag merkt ook op dat Price de enige werknemer van CodeWall is, een detail dat de moeite waard is om te vermelden omdat het aan twee kanten snijdt — een eenmansonderzoeksbureau vond in twee uur wat de eigen scanners van het bedrijf niet vonden, en een eenmansbureau verkoopt ook de tool die de kwetsbaarheid heeft gevonden.

Twee verslagen van de oplossing, met een dag ertussen

De eigen disclosure-tijdlijn van CodeWall verloopt als volgt: de agent identificeert de SQL-injectie en begint op 28 februari de productiedatabase te enumereren; de volledige keten wordt dezelfde dag bevestigd met 27 gedocumenteerde bevindingen; op 1 maart gaat er een responsible-disclosure-e-mail naar het beveiligingsteam van McKinsey met een samenvatting van de impact op hoog niveau; de chief information security officer van het bedrijf bevestigt op 2 maart de ontvangst en vraagt om gedetailleerd bewijs; en op 2 maart worden alle niet-geauthenticeerde endpoints gepatcht en geverifieerd, wordt de ontwikkelomgeving offline gehaald en wordt de openbare API-documentatie geblokkeerd. Openbare bekendmaking volgt op 9 maart.

McKinsey stelt dat de oplossing binnen enkele uren na de melding kwam. CodeWalls tijdlijn plaatst de patch op de dag na zijn meldingsmail. Beide staan opgetekend. Geen van beide partijen heeft ze met elkaar verzoend, en dit artikel probeert dat niet: het verschil is tussen een oplossing dezelfde dag en een de volgende dag, en de volgorde die ertoe doet — op de hoogte gebracht, dan gepatcht, dan gepubliceerd — is niet omstreden.

Gevestigd, single-source, en de kloof daartussen

Vastgesteld, door beide partijen overeengekomen: er was een niet-geauthenticeerde kwetsbaarheid in Lilli's publieke API-oppervlak; deze werd gevonden door een externe beveiligingsonderzoeker in plaats van een insider; McKinsey heeft dit bevestigd en gepatcht; de niet-geauthenticeerde endpoints werden gesloten, de ontwikkelomgeving werd offline gehaald en de publieke API-documentatie werd geblokkeerd.

Eén bron, van CodeWall: elke hierboven genoemde telling, de tijdlijn van twee uur, de vijftien blinde iteraties, de 27 gedocumenteerde bevindingen, en de bewering dat de prompts via dezelfde injectie beschrijfbaar waren. Niets ervan is weerlegd. Niets ervan is ook onafhankelijk geverifieerd, omdat de payloads waarmee iemand het had kunnen controleren niet zijn gepubliceerd, en Price weigerde The Register de exacte prompts te geven die zijn team gebruikte.

Promptfoo, het AI-beveiligingsbedrijf, publiceerde op 10 maart een beoordeling waarin de grens precies wordt aangegeven: het openbare dossier "bewijst niet onafhankelijk elk gerapporteerd aantal rijen of elke stap van de exploitatie", hoewel het wel de vorm van het incident ondersteunt. Dat is de juiste lezing van het beschikbare materiaal. De categorie bug is reconstrueerbaar; de schaal is getuigenis.

De schade die het dossier niet draagt

Dit is waar de beoordeling door het archief echt werk verricht. Een traject van twee uur naar lees- en schrijftoegang binnen de productiedatabase van een bedrijfsbrede assistent klinkt als een schaderegistratie, en het archief registreert er geen. Het veld berust op drie dingen: de verklaring van McKinsey dat een forensisch onderzoek door een derde geen bewijs heeft gevonden dat klantgegevens zijn geraadpleegd; de verklaring van CodeWall dat zijn tests uitsluitend verificatie waren en niets verstoorden; en het ontbreken, in de voor dit artikel beoordeelde berichtgeving, van enige tegenstrijdige bevinding.

Het berust niet op een onafhankelijke technische audit, een beslissing van een toezichthouder of een datalekmelding. In de beoordeelde berichtgeving werd geen CVE-identificatiecode toegekend — Lilli is interne software in plaats van een gedistribueerd product, en in geen enkele advisory wordt er een genoemd — en geen enkele toezichthoudende autoriteit lijkt een zaak te hebben geopend. In de voor dit artikel beoordeelde berichtgeving is geen openbaar bewijs opgedoken dat de gegevens zijn gebruikt, verkocht of verder zijn blootgesteld. Dat is wat "geen echte schade geregistreerd" hier betekent: een uitspraak over bewijs met betrekking tot een registratie, niet de vaststelling dat de blootstelling veilig was.

De kloof is van belang omdat het interessante risico toekomstgericht was. Leestoegang legt bloot wat er aanwezig was. Schrijftoegang tot de promptlaag legt bloot wat de assistent hierna zou zeggen — vergiftigd advies, het verwijderen van guardrails, vertrouwelijk materiaal dat wordt verwerkt in een antwoord dat een consultant vervolgens in een cliëntdocument plakt. CodeWall beschreef die gevolgen als beschikbaar voor iedereen met dezelfde toegang. Niemand heeft aangetoond dat er gebruik van is gemaakt. Beide uitspraken kunnen tegelijk waar zijn: de mogelijkheid was reëel en de schade heeft zich, op basis van het bewijs dat iemand heeft gepubliceerd, niet voorgedaan.

Waarom het als infrastructuur wordt geregistreerd en niet als een modelstoring

Het archief markeert dit record als INFRA, en het technische record ondersteunt die markering. Niets in CodeWall's verslag vereiste dat het model werd misleid. Er was geen jailbreak, geen promptinjectie vanuit een document, geen adversariële input die de assistent werd gevraagd te slikken. Het toegangspunt was blootgestelde documentatie, een ontbrekende authenticatiecontrole en onveilige SQL-constructie; het model was simpelweg het meest waardevolle dat zich achter de deur bevond.

Promptfoo's analyse van 10 maart maakt vanuit defensief perspectief hetzelfde onderscheid: Lilli "ziet er op basis van publieke informatie uit als een applicatiebeveiligingsincident dat een AI-systeem heeft bereikt, niet als een modeljailbreak," en veel van wat AI-beveiliging wordt genoemd, is nog steeds softwarebeveiliging, databeveiliging en configuratiegovernance. Het AI-specifieke deel was het schadebereik, niet de inbreuk — omdat prompts, routeringsregels en retrieval-instellingen veranderlijke applicatiegegevens waren, werd schrijftoegang tot de database de mogelijkheid om het gedrag van de assistent te veranderen zonder code aan te raken.

Wat is er daarna veranderd?

De concrete wijzigingen zijn de wijzigingen die beide partijen beschrijven: de niet-geauthenticeerde endpoints zijn gesloten en geverifieerd, de ontwikkelomgeving is offline gehaald en de openbare API-documentatie is geblokkeerd. McKinsey heeft gezegd dat het de kwetsbaarheid heeft gevonden, bevestigd en verholpen, en haar publieke standpunt is dat er geen toegang is geweest tot klantgegevens.

Wat niet is veranderd, is de bredere blootstelling die dit incident beschreef. CodeWalls write-up eindigt met het betoog dat prompts in databases worden opgeslagen, via API's worden doorgegeven en in configuratiebestanden worden gecachet, en dat ze zelden toegangsbeheer, versiegeschiedenis of integriteitsmonitoring krijgen — wat een bewering over een sector is, geen bevinding over McKinsey, en gelezen moet worden als het argument van een bedrijf dat continue geautomatiseerde tests verkoopt. Het bedrijf is in vroege preview en zoekt designpartners; de openbaarmaking dient tegelijk als demonstratie.

Wat het dossier overlaat, is smaller en nuttiger dan het betoog. Een bedrijfsbrede assistent, een productiedatabase, twee uur, geen inloggegevens, en een schadelijn die onwaar klinkt omdat de twee partijen met toegang tot de feiten allebei zeggen dat de gegevens niet zijn gebruikt. De aantallen zijn van een van die partijen. De kwetsbaarheid is van beide.