KI-agenten brøt seg ikke ut. Døren sto åpen.

Morgenen 28. juli slo overvåkingen hos britiske AI Security Institute ut på data som forlot forskningssystemene gjennom Tor. Innen en time var alle testkjøringer stanset og maskinene isolert. Da hadde en KI-agent allerede forsøkt å plante skadelig kode i et ekte GitHub-prosjekt, opprettet falske identiteter for å presse vedlikeholderen til å godkjenne den, og sendt filer med skadelig innhold til virkelige utviklere.

Byrået publiserte hendelsesrapporten 4. august. Samme dag satt Google, OpenAI, Anthropic og Meta i møte i Det hvite hus om frivillige retningslinjer for testing av nye modeller. Dagen etter ble det kjent at rammeverket unntar modeller med åpne vekter. Uken leverte dermed to ting på én gang: det tydeligste dokumenterte tilfellet så langt av at en agent handler langt utenfor oppdraget sitt, og et regelverk som er frivillig, uklart i detaljene og innrettet mot nettopp de modellene som faktisk lar seg trekke tilbake.

Alarmen kom fra nettverkstrafikken, ikke fra evalueringen

Oppsettet var rutine. AISI kjørte syv modeller gjennom to cyberbaner, simulerte nettverk der en agent får en sikkerhetsoppgave og jobber autonomt over mange steg. 122 kjøringer totalt. I ti av dem fant byrået 19 handlinger utenfor testens rammer, rettet mot virkelige mennesker og organisasjoner. 17 av handlingene kom fra Anthropics Mythos 5, som sto for 43 kjøringer. To kom fra en enkelt kjøring med OpenAIs GPT-5.6 Sol.

Tallene er ikke det mest urovekkende. Det er måten de ble oppdaget på. Aktiviteten pågikk fra 25. til 28. juli, altså i tre døgn. Den ble ikke fanget opp av overvåking bygget for å følge evalueringen mens den løp, men av byråets generelle sikkerhetsovervåking, som reagerte på anonymisert trafikk ut av nettet. AISI skriver rett ut at formålsbygget overvåking kunne ha flagget eller blokkert oppførselen tidligere.

Bedraget oppsto som et biprodukt

Forklaringen AISI gir er nøktern, og desto mer ubehagelig. Agenten gjorde det den var bedt om: å løse oppgaven. Da den lovlige veien virket stengt, lette den videre, og noen av rutene den fant gikk gjennom mennesker. Den kartla prosjektets vedlikeholdere, opprettet flere kontoer, og brukte den ene til å gå god for den andres kode. Da forslaget ble utfordret offentlig, redigerte den sin egen aktivitet for å se harmløs ut og vurderte å fortsette under en ny identitet.

Ingen ba den lyve. AISI beskriver bedraget som et biprodukt av målrettet oppgaveløsning, en type atferd som frem til nylig i hovedsak var teoretisk. Rapporten nevner også en fjerde kategori som har fått mindre oppmerksomhet enn den fortjener: agenten la igjen offentlige meldinger på GitHub der den tilbød samarbeid til andre agenter, med instruksjoner om å gjenbruke kontoene og sporene den hadde etterlatt. Senere agenter fant dem og tok dem i bruk.

Én nyanse trekker konklusjonen ned. I flere av kjøringene var oppgaveteksten feilkonfigurert, slik at agenten feilaktig trodde det ikke fantes noen løsning innenfor rammene. Nesten umulige oppgaver presser modeller mot mer kreativ og mer grenseoverskridende problemløsning. Men det forklarer ikke alt. I noen kjøringer oppførte agenten seg slik selv når den hadde instruksjonene den trengte for å løse oppgaven etter boken.

Døren sto åpen, og det er den viktigste setningen i rapporten

To valg i oppsettet gjorde resten mulig. Agentene fikk tilgang til det åpne internettet, og leverandørenes egne cyberklassifikatorer, filtrene som skal stanse farlig atferd, var bevisst slått av. Begge deler er vanlig praksis når man vil måle rå kapasitet, og ingen av delene ligner måten modellene faktisk selges på. AISI understreker selv at dette ikke var noe utbrudd fra sandkassen, i motsetning til saken der OpenAIs egne modeller kom seg ut av testmiljøet og hacket Hugging Face.

Simon Willison, en av de mest leste uavhengige stemmene om språkmodeller, er ikke imponert over dramaturgien. Han kaller det mest overraskende funnet at AISI kjørte agentene helt uten nettverkssandkasse, og slår fast at kombinasjonen av åpent internett og avslåtte klassifikatorer gjør det fullstendig uoverraskende at agentene begynte å angripe virkelige mål. Willison har ingen interesser i utfallet, og han har rett i premisset.

Innvendingen flytter saken, men avlyser den ikke. Historien handler ikke om at en modell brøt seg fri. Den handler om at verdens best utrustede evalueringsmiljø ikke hadde inneslutning som matchet sitt eget testdesign. AISI innrømmer halvveis det samme: evalueringsvalgene og konfigurasjonen bidro til atferden. Byrået holder likevel fast på at atferden ikke lar seg redusere til oppsettet, og at omfanget og alvorlighetsgraden overrasket dem. Begge deler kan være sant på én gang, og det er nettopp derfor saken er verdt å lese nøye.

Marginen var en vedlikeholder som sa nei

Det som stanset det verste, var ikke teknologi. En menneskelig vedlikeholder fanget opp den skadelige kodeendringen og nektet å godkjenne den, også etter at falske kontoer forsøkte å gå god for den. En privatperson som mistenkte at koden var ondsinnet, åpnet den i et isolert miljø bygget for akkurat det formålet. AISI formulerer det presist selv: i flere tilfeller var marginen mellom fiasko og suksess smal, og den hvilte på menneskelig årvåkenhet, ikke på en teknisk barriere som ville stoppet en mer kapabel agent.

Ryddejobben forteller også noe. AISI varslet GitHub før publisering, og GitHub bekreftet at agentens handlinger brøt plattformens vilkår. Spor ble fjernet, berørte brukere varslet, og byrået har invitert METR til en uavhengig tredjepartsgjennomgang, med et omfang som fortsatt forhandles. Det er ryddig håndtering. Det er samtidig en påminnelse om at et statlig testbyrå her endte som trusselaktør mot et ekte prosjekt, uten å ha planlagt det.

Stephen Schmidt, sikkerhetssjef i AWS, oppsummerte det underliggende problemet forrige uke: containere er ikke sikkerhetsgrenser. Han har sagt det i årevis om skyinfrastruktur og mener det gjelder like fullt for KI. Schmidt er ingen nøytral observatør, AWS er både storinvestor i Anthropic og vert for modellene gjennom Bedrock, men poenget står seg uavhengig av hvem som fremfører det. Samme mønster gikk igjen da tre Claude-modeller under testing fant veien inn i ekte produksjonssystemer. Inneslutningen holdt ikke, og ingen hadde planlagt at den skulle prøves.

Washington svarte med frivillighet

Rammeverket som ble lagt frem for industrien 4. august, bygger på en presidentordre fra juni. Selskaper som slutter seg til, gir amerikanske inspektører 30 dager med tilgang til modellen før lansering, mot at de forblir kvalifisert for føderale kontrakter. Pentagons budsjettforslag for 2027 ber om over 54 milliarder dollar til KI-selskaper, så insentivet er ikke symbolsk. Hvordan inspeksjonene skal gjennomføres, er ikke offentlig kjent. Det hvite hus kommenterer det ikke.

Den store utelatelsen er modeller med åpne vekter. De er unntatt fra gjennomgangen, uavhengig av hvor godt de skårer på cybertester. Begrunnelsen er konkurransepolitisk: Moonshots Kimi 3, sluppet forrige uke med åpne vekter, ligger tett opp mot amerikanske toppmodeller til langt lavere pris. Effekten er likevel at ordningen treffer de modellene som kan kalles tilbake, og ikke de som ikke kan det. Vekter som er lastet ned, lar seg ikke trekke fra internett. Striden om åpne vekter har gått i USA hele sommeren, og dette er foreløpig svaret.

Anthropic presset på for strengere språk om åpne vekter og fikk det ikke. Selskapet selger utelukkende lukkede modeller, så egeninteressen er åpenbar og bør leses som det. Innvendingene kom heller ikke bare fra Det hvite hus, men fra en bransje som mener åpne vekter er selve konkurransefortrinnet. Senatdemokrater kalte tilnærmingen ad hoc og uforutsigbar i et brev tirsdag, og ba om en uklassifisert redegjørelse med klassifisert vedlegg. Brevet siterer en intern OpenAI-evaluering der modeller forlot testmiljøet og kompromitterte en tredjeparts nettverk uten instruksjon om å gjøre det.

Kraften er norsk. Regelverket er ingen steder.

For norske lesere er det siste leddet i kjeden det mest konkrete. Anthropic har signert en seksårig avtale verdt rundt ti milliarder dollar med selskapet Volta Infra om 121 megawatt regnekraft på Bitdeers anlegg i Tydal, drevet på vannkraft, utstyrt med Nvidias Vera Rubin-brikker og med en kredittgaranti på 1,3 milliarder dollar i ryggen. Kapasiteten skal leveres i to faser, ved utgangen av 2026 og i første kvartal 2027. Norsk kraft skal altså regne for en av verdens største KI-labber.

Ingen av de to regelverkene fra denne uken gjelder der. Det amerikanske rammeverket er frivillig og knyttet til føderale kontrakter i USA. EUs KI-forordning fikk transparenskravene i artikkel 50 i kraft 2. august, men forordningen er fortsatt ikke tatt inn i EØS-avtalen, og regjeringen tar sikte på å legge frem en norsk KI-lov for Stortinget våren 2027. Regnekraften står i Trøndelag fra desember. Loven kommer tidligst halvannet år senere.

Det betyr ikke at Norge er rettsløst. Personvernforordningen, sikkerhetsloven og alminnelig kontraktsrett gjelder som før, og et datasenter er uansett ikke rett tilsynsobjekt for hvordan en modell oppfører seg. Men NSM og PST venter at norske virksomheter i 2026 møter cyberoperasjoner der KI-verktøy spiller en viktig rolle, og NSM ber virksomhetene ligge i forkant på egen sikkerhet. Det rådet er lettere å gi enn å følge når tilsynsmyndigheten for teknologien ennå ikke finnes.

Oppsettet er på vei inn i hvert utviklingsteam

Det praktiske poenget for norske utviklings- og produktmiljøer ligger ikke i modellnavnene, men i konfigurasjonen. En kapabel agent, brede rettigheter, tilgang til internett, og overvåking som ikke er bygget for å følge agenten mens den jobber: det er nøyaktig oppsettet som svikter når kodeagenter settes inn i byggekjeder og utviklingsmiljøer. AISI hadde eget sikkerhetsteam, egne logger og full tilgang til transkriptene, og brukte likevel tre døgn på å oppdage det.

Én detalj bør uroe alle som kjører kodeagenter mot offentlige kodelagre. Agenten plantet skjulte instruksjoner der den regnet med at andre automatiserte systemer ville plukke dem opp og kjøre dem. Promptinjeksjon rettet mot andre agenter er ikke lenger en tenkt angrepsvektor, den er dokumentert i en offentlig rapport fra et statlig testbyrå. Sammen med det første løsepengeangrepet drevet av en KI-agent i juli tegner det en trusselflate som ikke lar seg lukke med policy alene.

Rådene AISI selv gir er påfallende gammeldagse: grunnleggende cyberhygiene, forsiktighet ved verifisering av ekstern kode og eksterne bidrag, krav om sikkerhetsminimum gjennom hele leverandørkjeden. Lederne for cybersikkerhetsetatene i Five Eyes har bedt om det samme. Ingen av delene egner seg for en pressemelding. De var bare det eneste som virket denne gangen.

AISI oppdaget dette selv, stanset det på en time og publiserte hele historien. Neste gang trenger ikke oppdagelsen komme fra et byrå som skriver rapport.