SAFE RFC: OSAA's AI-incidentenuitwisseling in luchtvaartstijl is een open concept, nog geen systeem.

Op 4 augustus 2026, toen Black Hat USA in Las Vegas van start ging, publiceerde de Linux Foundation een Request for Comments voor de Shared AI Findings Exchange (SAFE) Working Group — een voorstel voor organisaties om AI-beveiligingsincidenten en bijna-incidenten in een vertrouwelijk gedeeld kanaal te melden, daarvan gezamenlijk te leren en verdedigingsmaatregelen te publiceren die zijn afgeleid van wat er mislukte. Het eerste concept werd ontwikkeld door bijdragers van Cisco, CrowdStrike, Hugging Face, NVIDIA en Red Hat, naast andere leden van de alliantie, aldus de Linux Foundation in haar aankondiging. Het werd dezelfde dag opengesteld voor review door de gemeenschap via de GitHub-repository van de Open Secure AI Alliance. De vermelding beschrijft geen schade: het is een beleidsregistratie, in het archief opgenomen met een info ernstgraad en een betrouwbaarheidsgraad A, en het onderwerp daarvan is een proces, geen gebeurtenis. De ernstgraad, betrouwbaarheidsbeoordeling en bronnenlijst van de registratie staan in het AI-incidentarchief, naast de vermeldingen die eromheen zijn opgenomen.

Het ontwerp verzoekt leden vier dingen te rapporteren en het waarom te negeren.

De augustustekst bevat weinig retoriek en is concreet over triggers. Onder een kop met de titel Reporting Compact vraagt hij leden om — als voorwaarde voor lidmaatschap — ermee in te stemmen een incident te melden wanneer zij zich bewust worden van of redelijkerwijs vermoeden dat een AI-systeem dat zij exploiteren een van de volgende vier dingen heeft gedaan: zonder toestemming toegang heeft verkregen tot een systeem van een derde, dit heeft geëxploiteerd, verstoord, misbruikt of gewijzigd; impact op derden heeft veroorzaakt door te ontsnappen aan een sandbox of een netwerk-, identiteits-, beleids- of toolgrens te omzeilen; zonder toestemming van de eigenaar daarvan toegang heeft verkregen tot vertrouwelijke informatie van derden; of een productiedoelwit heeft blijven sonderen, er toegang tot heeft verkregen of het heeft gewijzigd nadat de operator wist of redelijkerwijs vermoedde dat de activiteit niet was geautoriseerd of buiten de goedgekeurde scope viel.

Dan komt de zin die het meeste werk verricht: “Intentie bepaalt niet of een gebeurtenis meldingsplichtig is. De overtuiging dat een omgeving gesimuleerd was, kan een incident verklaren, maar heft de meldplicht niet op.” Die clausule lijkt gericht te zijn op het geval waarin een systeem draait in wat zijn operator als een afgesloten testomgeving beschouwt en live-infrastructuur als onderdeel van de oefening behandelt: de overtuiging van de operator over de omgeving kan de gebeurtenis verklaren, maar heft de meldplicht niet op. De concepttekst vraagt leden ook om bijna-ongevallen te melden, niet alleen gebeurtenissen die bevestigde schade hebben veroorzaakt, en om binnen 30 dagen een voorlopige analyse van falende beheersmaatregelen te leveren.

De klok: onmiddellijk, 72 uur, vier werkdagen, negentig dagen

De meldingstabel in het ontwerp is het meest concrete onderdeel daarvan, en de eerste rij is helemaal geen deadline: de direct betrokken organisatie moet onmiddellijk worden geïnformeerd. Elke deadline loopt vanaf het moment dat het lid op de hoogte is van feiten die redelijke gronden opleveren om een meldingsplichtig incident te vermoeden — niet vanaf het moment dat een onderzoek wordt afgerond. De onderstaande tabel is overgenomen uit het ontwerp van 4 augustus; de oktoberrevisie behoudt dezelfde termijnen.

Drie van die rijen gaan over het melden aan anderen, en vier over het melden aan SAFE zelf. Dat onderscheid is belangrijk omdat het kader uitdrukkelijk geen openbaarmakingsregime is: de ontwerpversie stelt: “Deze termijnen vervangen geen enkele leveranciersverplichting om betrokken partijen en klanten via bestaande best practices voor Coordinated Vulnerability Disclosure te melden, of toepasselijke contractuele en andere juridische verplichtingen om toezichthouders of wetshandhavers te melden.” Wat SAFE toevoegt, is een parallelle verplichting jegens een orgaan dat geen toezichthouder is — en een drietrapsmodel voor openbaarmaking waarin alleen het laatste niveau, het rapport over de openbare veiligheid, bedoeld is om breed gedeeld te kunnen worden.

Acht controlelagen in augustus, elf in oktober

Beoordelingen zijn gestructureerd rond de operationele stack en niet alleen rond het model. De augustusversie noemde acht lagen en stelde bij elk daarvan één vraag — herkende het model onzekerheid en stopcondities; waren autorisatie en aannames over de omgeving expliciet; werkten classificatoren, goedkeuringen en actielimieten; waren inloggegevens, machtigingen en uitvoering beperkt; waren isolatie en datagrenzen onafhankelijk geverifieerd; konden operators in realtime detecteren en onderbreken; waren escalatiepaden en kill-procedures duidelijk; maakte een cloud-, evaluatie-, data- of toolingpartner veronderstelde controles ongeldig.

De oktoberrevisie, gedateerd 21 oktober 2026 en de volgende dag naar de repository gecommit, voegt drie lagen toe: het servingpad, autorisatie op het moment van vastlegging, en workflowcompositie over een reeks acties. Ze maakt de beoordeling ook een gegradeerde assessment met vier toegestane antwoorden — geslaagd, niet geslaagd, onvoldoende bewijs, niet van toepassing — en vermeldt in haar changelog dat deze bevindingen geen algemene systeemveiligheid of juridische naleving aantonen. De progressie is het lezen waard als beschrijving van waarover de auteurs hebben geleerd zich zorgen te maken: niet of het model zich gedroeg, maar of het model dat antwoordde het model was dat was geconfigureerd, of de toestemming nog bestond toen de actie landde, en of de reeks als geheel binnen de scope bleef waarmee ze was gestart.

Luchtvaart, maar welk onderdeel van de luchtvaart?

De eigen framing van het document — een systeem gemodelleerd naar NASA's Aviation Safety Reporting System — volgt de aankondiging van de Linux Foundation, niet de ontwerpversie. De aankondiging beschrijft ASRS als "een vrijwillig, vertrouwelijk meldsysteem, ontworpen om luchtvaartongevallen te analyseren en erop te reageren op een manier die de sector laat leren en verbeteren." Noch de ontwerpversie van augustus, noch de herziening van oktober noemt ASRS ergens; de ontwerpversie zegt alleen dat SAFE "de sterkste kenmerken van vertrouwelijke veiligheidsmeldingssystemen moet overnemen." Dat is een klein verschil met een praktische consequentie: de aankondiging schept een verwachting waaraan de tekst zich nog niet verbindt.

De analogie leidde tot commentaar binnen het RFC-proces zelf. Een vroege pull request die op 5 augustus werd geopend door een bijdrager die op persoonlijke titel schrijft, betoogt dat "de ASRS-analogie een ontbrekend institutioneel element heeft" — dat ASRS voor een aanzienlijk deel functioneert omdat meldingen worden ontvangen, verwerkt en geanonimiseerd door NASA, "een publieke, niet-regulerende en niet-commerciële derde partij—niet door de FAA als regulator en niet door de luchtvaartmaatschappijen wier activiteiten worden gemeld." De pull request, die ook inspiratie ontleent aan het internetgovernanceproces van 1998, stond op 30 oktober nog open. Of de operator van SAFE de NASA-rol kan spelen, is een onopgeloste ontwerpvraag en geen definitief vastgelegd onderdeel: de tekst van oktober plaatst de werkgroep onder de eigen governance van de Alliance, met openbaarmaking van belangenconflicten, onthouding en een beroepsweg naar het Alliance Steering Committee.

Onafhankelijke berichtgeving trok een tweede, nauwer onderscheid. Infosecurity Magazine merkte in een artikel van 6 augustus op dat de post van de Linux Foundation niet specifiek over AI-agenten spreekt — de agentische framing hoort bij de begeleidende post van NVIDIA, die stelt dat "een AI-agent niet alleen een model is. Het is een systeem," en harnesses, sandboxes, guardrails en evaluatietooling noemt die door leden van de alliantie zijn bijgedragen. De triggers in de ontwerpversie gaan, letterlijk gelezen, over systemen die buiten autorisatie handelen; de boodschap van de aankondiging gaat, letterlijk gelezen, over agenten.

Wat commentatoren zeiden over wie de kosten draagt

Een van de meest specifieke gepubliceerde bezwaren tegen de ontwerpversie zoals deze luidt, kwam van een oprichtend lid van de alliantie in plaats van een externe criticus. Stephen Sargent, oprichter en chief technology officer van Avondale.AI, diende op 7 augustus per e-mail een standpuntverklaring in — op een dag waarop volgens het document het juridische team van de Linux Foundation deze bevestigde — en publiceerde die op 9 augustus. Hij begint met zijn steun voor de missie en betoogt vervolgens dat het convenant niet schaalt naar organisatiegrootte: "De RFC maakt geen onderscheid tussen een organisatie met 50.000 werknemers en een klein team." Een rapport binnen vier werkdagen plus een bewaard forensisch pakket zou, volgens zijn inschatting, meer personeelstijd kunnen opslokken dan een kleine operator kan missen; zijn aanbeveling is een gelaagd kader, met vertrouwelijke rapporten en uitgestelde of geanonimiseerde publicatie als standaard onder een groottegrens.

Een tweede bezwaar betreft niet de deadlines maar de openbaarmaking: hij betoogt dat 'openbare bekendmaking IS een vorm van handhaving' voor kleine exploitanten, omdat het rapport van een groot bedrijf een voetnoot is en dat van een klein bedrijf de kop wordt, en vraagt dat gede-identificeerde rapportage standaard wordt onder een groottedrempel. Een derde bezwaar betreft niet de klok maar het beoordelingskader: het achtlagenmodel gaat uit van gescheiden bedrijfsteams, dus bij een eenpersoonsimplementatie 'doet de exploitant alles' en wordt een ontbrekende laag gelezen als een controlefout, terwijl het gewoon een ander operationeel model is. Zijn vierde bezwaar betreft de uitdrukking 'minimale praktijken voor interoperabiliteit en assurance', die hij leest als een route van vrijwillige rapportage naar feitelijk verplichte tooling. De standpuntverklaring is de visie van één lid, gepubliceerd door dat lid. De aankondiging van de Linux Foundation van 4 augustus ging hieraan vooraf en gaat niet in op de kwestie. Een latere pull request, geopend op 5 oktober en op 30 oktober nog open, stelt een bewijssjabloon voor voor exploitanten zonder een security operations centre — een erkenning dat het bezwaar weerklank vond, en een kandidaatoplossing veeleer dan een overgenomen oplossing, waarbij de auteur stelt dat deze 'geen SAFE-adoptie of juridische toereikendheid vaststelt.'

Wat is er veranderd tussen 4 augustus en 30 oktober?

De geschiedenis van de repository is het best beschikbare verslag van wat de RFC daadwerkelijk heeft voortgebracht, en ze is leesbaarder dan de nieuwsberichtgeving doet vermoeden. De eerste commits werden op 3 augustus geplaatst; het draft en een uitgebreidere readme werden op 4 augustus om 00:14 en 00:19 UTC gecommit. Daarna werd het tien weken stil in de repository. Op 14 oktober voegde de alliantie een handvest en een ledenbestand toe en herschreef ze de readme om van de repository de thuisbasis van de SAFE-werkgroep te maken; als interim-voorzitters werden die dag Paul DiOrio van NVIDIA en Josh Boyer van Red Hat vastgelegd. Op 21 oktober publiceerde de werkgroep SAFE v1, met een changelog waarvan de eerste regel luidt dat de tekst "verwijdert 'proposed' uit de beschrijving van SAFE" en SAFE aanmerkt als een gevestigde werkgroep van de Alliantie.

Twee dingen aan die situatie verdienen het om apart te worden gehouden. De readme van het repository bevat nu de regel "Status: Goedgekeurd — Goedgekeurd door de Stuurcommissie", wat in de openbare verslaglegging het dichtst bij een ratificatieverklaring komt; het charter, uit hetzelfde repository, vermeldt nog steeds: "In ontwikkeling. Het SAFE-charter wordt hier gepubliceerd zodra het door de Stuurcommissie is goedgekeurd." De wijzigingslog markeert de oktobertekst als "SAFE v1" en beschrijft wat er verandert, maar zegt niet wie het heeft geratificeerd, met welke stemming of op welke datum. Een lezer die wil weten of SAFE nu een goedgekeurde specificatie is, of een werkgroep waarvan het bestuurscharter nog niet is opgesteld, krijgt uit de documenten geen eenduidig antwoord.

Wat is vastgesteld, en wat niet

• Opgericht: op 4 augustus 2026 werd een Request for Comments voor de Shared AI Findings Exchange gepubliceerd — de Linux Foundation dateerde haar aankondiging op die dag — en de organisaties die erin als bijdragers worden genoemd, zijn Cisco, CrowdStrike, Hugging Face, NVIDIA en Red Hat, genoemd naast "andere leden van de Open Secure AI Alliance".

• Vastgesteld: de ontwerpversie bevat een rapportagepact met vier triggers, een meldingstabel die van onmiddellijk tot 90 dagen loopt, een lijst voor bewijsbewaring, een gelaagd beoordelingskader en een drielaags openbaarmakingsmodel. De volledige tekst is openbaar in de repository, en de geschiedenis daarvan is eveneens openbaar.

• Vastgesteld, uitsluitend met bronvermelding: de omvang van de alliantie — "meer dan 120 organisaties" — is NVIDIA's eigen cijfer, herhaald in Infosecurity Magazine's verslag van 6 augustus. Geen van de beoordeelde berichten toont een onafhankelijke ledencontrole, en het ledenbestand van het repository vermeldt twee bijdragers en twee interim-voorzitters, niet 120 organisaties.

• Niet vastgesteld: dat iemand een rapport heeft ingediend onder het compact. Het openbare verslag van 30 oktober toont commits, pull requests en issues; het toont geen incidentrapport, geen pilot, geen eerste zaak, geen deadline voor reacties, geen stemregel of geen ratificatiedatum. Het kader beschrijft een verplichting waarmee leden "instemmen" als voorwaarde voor lidmaatschap, wat niet hetzelfde is als een verplichting die iemand al heeft nagekomen.

• Betwist:of de ASRS-vergelijking opgaat zonder een neutrale publieke operator, waartegen in een open pull request wordt geargumenteerd; of de rapportagelast evenredig is voor kleine operators, waartegen in de standpuntverklaring van een oprichtend lid wordt geargumenteerd; en hoeveel van het raamwerk agent-specifiek is versus algemene AI-beveiliging, een onderscheid dat de tekst van de Linux Foundation en de tekst van NVIDIA anders maken.

Niets daarvan maakt het verslag onjuist, en de A-beoordeling van het archief is op eigen gronden verdedigbaar: de primaire documenten stemmen onderling overeen over wat is gepubliceerd, wanneer en door wie, en de conceptversie is volledig leesbaar. Wat de beoordeling niet kan dragen, is precies datgene wat een lezer het liefst wil weten: of het mechanisme werkt. Daarvoor is er in geen van beide richtingen bewijs, omdat het mechanisme nog geen enkele casus heeft gehad.