Ongecensureerde AI-modellen in 2026: top 10 en de beveiligingsrisico's

Vraag een gangbare chatbot om ransomware te schrijven en hij weigert. Vraag het een ongecensureerd AI-model en dat doet het misschien niet. Dat ene verschil heeft een heel ecosysteem opgeleverd van open-weight-modellen, gehoste diensten en criminele producten, en het is nu een blijvende zorg voor beveiligingsteams, toezichthouders en AI-laboratoria.

Dit artikel legt uit wat ongecensureerde modellen zijn, noemt tien bekende voorbeelden en behandelt waar ze worden gehost, hoe ze worden gebruikt en wat ze betekenen voor cybersecurity. Het is een overzicht voor verdedigers en besluitvormers, geen handleiding. We linken niet naar tools en laten alles weg wat misbruik zou vergemakkelijken. De feiten komen uit onderzoek van leveranciers en persberichten, veel ervan uit de tweede hand; waar we een bewering niet konden bevestigen, zeggen we dat.

Wat zijn ongecensureerde AI-modellen?

"Ongecensureerd" is een losse term. Meestal gaat het om een groot taalmodel (LLM) dat verzoeken beantwoordt die gangbare assistenten weigeren, zoals malware schrijven, oplichtingsberichten opstellen of uitleggen hoe je schade veroorzaakt. Het omvat drie verschillende dingen:

• Gefinetunede open modellen. Ontwikkelaars trainen een open-weight-model bij met data zonder weigeringen, zodat het vrijwel alles uitvoert.
• "Geabliterde" modellen. Hierbij worden de gewichten van een bestaand model aangepast om de neiging tot weigeren te onderdrukken, zonder bijtraining. Het idee is dat weigergedrag in het model te lokaliseren en af te zwakken is.
• Criminele "dark LLM's". Chatbots die onder namen als WormGPT aan criminelen worden verkocht. Veel blijken jailbreak-omhulsels rond andere modellen te zijn, en geen modellen die van de grond af zijn gebouwd.

Dit kan door open gewichten. Zodra een bedrijf de parameters van een model publiceert, kan iedereen het aanpassen en draaien, en kan de oorspronkelijke ontwikkelaar het niet terugroepen. Het International AI Safety Report 2026 stelt dat beveiligingen bij open-weight-modellen veel gemakkelijker te verwijderen zijn, maar voegt toe dat veel gebruikers daarvoor de vaardigheid of de prikkel missen en dat sterk gemotiveerde kwaadwillenden het probleem vormen.

Het is ook goed om te zeggen dat niet iedereen die minder weigeringen wil een crimineel is. Red teams hebben modellen nodig die een aanvaller spelen, onderzoekers bestuderen faalgedrag, schrijvers willen donkere fictie en sommige mensen willen gewoon niet de les gelezen worden door software. Het probleem is dat dezelfde eigenschap iedereen dient.

De top 10 ongecensureerde modellen in één oogopslag

Dit is geen prestatiebenchmark. We hebben gerangschikt op invloed, zichtbaarheid in onderzoek en pers en relevantie voor beveiliging, en de lijst verdeeld in open-weight-projecten en criminele producten.

Open-weight-modellen (1-4)

1. Dolphin (Cognitive Computations)

Dolphin is waarschijnlijk de bekendste familie van ongecensureerde finetunes. Ze wordt samengesteld door Eric Hartford en medewerkers onder de naam Cognitive Computations en is gebouwd op onder meer Llama, Mistral, Mixtral, Phi en Qwen. In de modelkaarten staan de modellen beschreven als zeer meegaand, met het advies om vóór blootstelling aan anderen een eigen alignmentlaag toe te voegen. Dolphin-versies worden breed gespiegeld op Hugging Face en in het Ollama-register, waardoor ze eenvoudig op een laptop te draaien zijn.

2. Dolphin Mistral 24B Venice Edition

Deze op Mistral gebaseerde Dolphin-variant heeft een contextvenster van 128.000 tokens en staat in modelcatalogi van derden. Ze wordt in verband gebracht met Venice, een dienst die "ongecensureerde" privéchat aanprijst, en laat de commerciële kant van de categorie zien: een finetune verpakt als betaald, gehost product, zodat niemand eigen hardware nodig heeft.

3. Nous Hermes 4 en 4.3

Hermes van Nous Research is strikt genomen niet "ongecensureerd", maar wel het gangbare voorbeeld van een bewust weigeringsarm model. Het technisch rapport over Hermes 4 introduceert RefusalBench, een test met 166 prompts over 32 verzoekcategorieën, waarin Hermes 4 veel hoger scoort (minder weigeringen) dan gesloten topmodellen. Nous heeft de benchmark zelf gebouwd en hij meet de bereidheid om te antwoorden, niet de veiligheid. Lees de cijfers dus als signaal voor stuurbaarheid, niet als veiligheidscijfer.

4. Geabliterde Llama-, Gemma- en Qwen-varianten

Dit item is meer een techniek dan één model. Leden van de community passen tools voor het bewerken van gewichten toe op populaire open modellen en publiceren het resultaat. Een gezamenlijk onderzoek van de Financial Times en de AI-veiligheidsgroep Alice, gepubliceerd in mei 2026, liet naar verluidt zien dat een gratis tool de beveiligingen van Llama 3.3 van Meta en Gemma 3 van Google in minder dan tien minuten kon verwijderen, zonder gespecialiseerde hardware (zie de samenvatting van Akerman). De maker van de tool telt naar verluidt meer dan 3.500 varianten en 13 miljoen downloads, en secundaire bronnen zeggen dat Hugging Face meer dan 8.000 modellen toont bij de zoekterm "abliterated". Beschouw die aantallen als niet geverifieerd.

Hier zit ook een nieuwer risico. Een onderzoeksnotitie van de Cloud Security Alliance van oktober 2026 stelt dat elk model met aangepaste gewichten, geabliterde versies inbegrepen, een achterdeur kan verbergen die bij een bepaalde zin wordt geactiveerd, en verwijst naar een proof of concept van ProjectDiscovery. Wie het model publiceert, bepaalt wat erin zit.

Criminele "dark LLM's" (5-10)

Dit zijn producten, geen onderzoeksprojecten. Beveiligingsbedrijf Abnormal stelt dat het oorspronkelijke WormGPT het enige echt door criminelen gebouwde LLM was en dat de meeste opvolgers oplichting of jailbreak-omhulsels zijn. Dat is de eigen beoordeling van de leverancier, maar ze past bij een patroon in het onderzoek: de waarde zit in de ontbrekende vangrails en de handige verpakking, niet in een capabeler model.

5. WormGPT (origineel, 2023)

WormGPT werd in maart 2023 aangekondigd op Hack Forums en in juni uitgebracht, en aangeprezen als ChatGPT-alternatief voor malware en phishing. Het draaide naar verluidt op het open model GPT-J, wat we niet onafhankelijk konden bevestigen. In augustus 2023 hield het op te bestaan nadat journalist Brian Krebs de persoon erachter had geïdentificeerd. De naam overleefde het product en staat nu voor de hele categorie.

6. FraudGPT

FraudGPT dook in juli 2023 op, verkocht door een forumgebruiker en aangeprezen voor phishing en oplichtingscontent. De forumdraden werden herhaaldelijk verwijderd, waardoor de promotie naar Telegram verhuisde. Sommige onderzoekers vermoeden dat dezelfde mensen beide tools maakten, maar dat is onbevestigd.

7. GhostGPT

GhostGPT wordt verkocht als Telegram-bot, met abonnementen die naar verluidt vanaf ongeveer $50 per week beginnen. Een Telegram-bot vraagt geen installatie of technische setup, en dat is het punt: het haalt wrijving weg voor kopers.

8. Xanthorox

Xanthorox werd gepresenteerd als een zelfstandige "hacker-AI". De Threat Intelligence Group van Google ontdekte naar verluidt dat het in werkelijkheid een commerciële API was met omzeilde veiligheidscontroles, plus open-sourcetools. We vonden dat alleen in secundaire berichtgeving, dus beschouw het als gemeld, niet bevestigd. Het is een goed voorbeeld van de kloof tussen marketing en werkelijkheid op deze markt.

9. WormGPT 4

Unit 42 van Palo Alto Networks analyseerde het en rapporteerde erover samen met KawaiiGPT. WormGPT 4 wordt commercieel verkocht, naar verluidt voor $50 per maand of $220 voor levenslange toegang. De onderzoekers zeggen dat de verkopers niet bekendmaken welk model eronder zit. In hun tests kon het ransomwarecode produceren, en ze concludeerden dat deze tools een deel van de technische drempels voor cybercriminaliteit wegnemen.

10. KawaiiGPT

KawaiiGPT is gratis en wordt verspreid via GitHub; volgens Unit 42 had het naar eigen telling meer dan 500 geregistreerde gebruikers. In tests produceerde het geen werkende versleutelingsroutine, maar de onderzoekers wezen op de mogelijkheid om opdrachten uit te voeren als route naar rechtenescalatie en datadiefstal. Het laat zien dat deze markt ook een gratis laag heeft, niet alleen een betaalde.

Waar worden ongecensureerde modellen gehost?

Er is geen enkele plek. Het ecosysteem heeft vijf lagen:

• Openbare modelhubs. Open-weight- en geabliterde modellen worden gedeeld op Hugging Face en in het Ollama-register. Downloaden is triviaal en de moderatie van de hubs kan het volume aan afgeleide modellen niet bijbenen.
• Lokale machines. Veel mensen draaien ze op hun eigen computer met gangbare lokale runtimes. Dat is de meest private en moeilijkst waar te nemen route, en trekt daarom zowel hobbyisten als misbruikers aan.
• Commerciële gehoste diensten. Sommige bedrijven hosten ongecensureerde finetunes en verkopen toegang via een chatinterface of API, meestal met een belofte van privacy.
• Criminele winkels. Dark LLM's worden verkocht via Telegram-bots, dark-webforums en soms GitHub. Verkopers sturen verzoeken doorgaans door naar een model dat ze zelf hosten of huren, waardoor opruimen lastig is.
• Servers van anderen. Een onderzoek van SentinelOne en Censys uit januari 2026 vond 175.108 unieke, openbaar bereikbare Ollama-hosts in 130 landen. Minstens 201 draaiden met "ongecensureerde" promptsjablonen (een ondergrens) en 48% maakte tool calling beschikbaar waarmee code kan worden uitgevoerd of API's kunnen worden benaderd. Aanvallers kunnen dergelijke servers opsporen en gratis gebruiken, iets wat onderzoekers LLMjacking noemen.

Hoe mensen ze gebruiken

Legitiem gebruik is reëel en gangbaar: red-teamoefeningen, beveiligingsonderzoek naar faalgedrag van modellen, creatief schrijven, rollenspellen en privé- of offline-assistenten voor mensen die hun data niet naar een cloudleverancier willen sturen.

Aan de criminele kant is het gedocumenteerde gebruik vooral onglamoureus. Onderzoekers beschrijven ongecensureerde modellen die overtuigende phishing- en business-e-mail-compromise-berichten in veel talen schrijven, eenvoudige malware en scripts maken en verkenning en oplichtingsscripts automatiseren. De rode draad is schaal en afwerking: taken waarvoor vroeger vaardigheid of taalbeheersing nodig was, zijn nu één prompt verwijderd. De conclusie van Unit 42 over WormGPT 4 en KawaiiGPT is dat ze de drempel voor minder ervaren aanvallers verlagen. Voor een verwante praktijkcase, zie onze factcheck over AI-aanvallen op banken.

De uitdagingen voor cybersecurity

Beveiligingen zijn niet duurzaam

Veiligheidstraining bij een open model is een standaardinstelling, geen eigenschap van het model. Als ze in minuten te verwijderen is, beschermt ze alleen tegen terloops misbruik. Dat verandert hoe toezichthouders en laboratoria denken over het vrijgeven van gewichten.

Geen terugroepactie, geen monitoring

De aanbieder van een gesloten model kan gedrag patchen, een API-sleutel intrekken of een account blokkeren. Niemand kan dat doen met een kopie op andermans laptop. Misbruik laat bijna geen spoor na voor verdedigers.

Een lagere vaardigheidsdrempel

Het grootste effect is niet nieuwe soorten aanvallen, maar meer mensen die oude aanvallen competent uitvoeren: vlekkeloze phishing, sneller scripten, snellere research naar doelwitten. Verdedigers moeten rekening houden met een groter volume aan aanvallen van behoorlijke kwaliteit, niet met een handvol geniale.

Supply-chainrisico voor gewone gebruikers

Wie een afgeleid model downloadt, vertrouwt de uitgever. Aangepaste gewichten kunnen achterdeuren bevatten, en de Cloud Security Alliance adviseert afgeleide modellen te behandelen als aparte supply-chainassets met een eigen vergiftigingsrisico, los van het basismodel.

Blootgestelde infrastructuur en gratis rekenkracht

Zelf gehoste LLM-servers die openstaan op internet geven aanvallers gratis rekenkracht, terwijl de eigenaar de rekening betaalt en aansprakelijk is. Cisco zag in 2025 een vergelijkbaar patroon: ongeveer een op de vijf van de circa 1.100 blootgestelde Ollama-servers die het onderzocht, hostte modellen die zonder autorisatie toegankelijk waren. Aantallen verschillen per methode.

Hype en toeschrijving

Leveranciers hebben een prikkel om de dreiging te overdrijven, en criminelen om hun tools te oververkopen. Veel "dark LLM's" zijn oplichting van de eigen klanten. Goede verdediging begint met echte capaciteit scheiden van marketing.

Wat organisaties kunnen doen

• Ga uit van vlekkeloze phishing. Spel- en grammaticafouten zijn geen waarschuwingssignaal meer. Gebruik phishingbestendige authenticatie zoals passkeys of hardwaresleutels.
• Verifieer via een ander kanaal. Bevestig betalingswijzigingen, wachtwoordresets en dringende verzoeken van directieleden via een kanaal dat u al vertrouwt.
• Beveilig zelf gehoste AI. Stel Ollama, vLLM en vergelijkbare servers nooit zonder authenticatie bloot aan internet, en let op onverwacht gebruik.
• Behandel modelgewichten als supply-chainasset. Haal modellen alleen bij vertrouwde uitgevers, zet versies vast en scan wat u downloadt.
• Voeg uw eigen vangrails toe. Zet u een open-weight-model in een product in, gebruik dan een externe moderatielaag in plaats van te vertrouwen op ingebouwde weigeringen.
• Gebruik AI ook voor verdediging. Detectie, triage en phishinganalyse zijn gebieden waar dezelfde technologie verdedigers helpt.

Als u open-weight-modellen inzet of uw AI-aanvalsoppervlak wilt laten beoordelen: ons team werkt hieraan voor fintech- en enterpriseklanten. Bekijk onze diensten of neem contact op.

Veelgestelde vragen

Wat is een ongecensureerd AI-model?

Een ongecensureerd AI-model is een taalmodel waarvan de veiligheidstraining is verwijderd, verminderd of nooit is toegepast, zodat het verzoeken beantwoordt die gangbare assistenten weigeren. De meeste zijn open-weight-modellen die na release zijn gefinetuned of aangepast. Een tweede groep zijn criminele producten die als WormGPT-achtige tools worden verkocht, waarvan er veel omhulsels rond andere modellen zijn.

Zijn ongecensureerde AI-modellen illegaal?

In de meeste landen is het bezitten of draaien van een ongecensureerd open-weight-model niet illegaal. Wat telt is wat u ermee doet: met welk model dan ook malware schrijven, fraude plegen of illegale content genereren is strafbaar. Tools die specifiek aan criminelen worden verkocht, zijn een andere zaak en kunnen verkopers en kopers blootstellen aan vervolging.

Waar worden ongecensureerde AI-modellen gehost?

Open-weight-versies worden gedeeld op openbare modelhubs zoals Hugging Face en in het Ollama-register, en veel mensen draaien ze lokaal. Sommige commerciële diensten hosten ze tegen betaling. Criminele tools worden verkocht via Telegram-bots en dark-webforums, en minstens één wordt verspreid via GitHub. Onderzoekers vonden ook tienduizenden blootgestelde zelf gehoste servers die aanvallers kunnen lenen.

Zijn WormGPT en vergelijkbare tools echt gevaarlijker dan ChatGPT?

Niet per se. Beveiligingsonderzoekers zeggen dat veel criminele chatbots jailbreak-omhulsels of regelrechte oplichting zijn, en het oorspronkelijke WormGPT werd in 2023 opgeheven. Het risico is niet extra capaciteit maar weggenomen wrijving: ze verlagen de vaardigheid die nodig is voor overtuigende phishing en basale malware.

Hoe kunnen organisaties zich verdedigen tegen AI-ondersteunde aanvallen?

Ga ervan uit dat aanvallers vlekkeloze, gepersonaliseerde phishing op schaal kunnen maken. Gebruik phishingbestendige authenticatie, verifieer betalings- en inlogverzoeken via een ander kanaal, patch snel en stel zelf gehoste LLM-servers nooit zonder authenticatie bloot aan internet. Behandel modelgewichten van derden als supply-chainasset en download ze alleen uit vertrouwde bronnen.