Filtrene sto av i elleve måneder. Tilsynet var selskapet selv.

Fra mai 2025 til april 2026 gikk omtrent 133 millioner samtaler gjennom Anthropics plattformer for menneskelig tilbakemelding uten at de biologiske blokkeringsfiltrene var påslått. Et internt flagg hadde slått av både blokkeringen og loggingen. Ingen kunne granske hva som hadde skjedd i ettertid, fordi ingenting var lagret.

Selskapet fant feilen selv, beskrev den selv, og publiserte den selv 14. august. Det er den eneste grunnen til at noen vet om den.

Fire dager tidligere hadde Mark Zuckerberg lagt ut 6 500 ord om at den største risikoen ved kunstig intelligens er at makten samles på få hender. To dokumenter, to motsatte diagnoser, én felles egenskap: begge er skrevet av den som vurderes.

Elleve måneder uten filter

Plattformene det gjelder er der eksterne kontraktører gir modellene tilbakemelding, arbeidet som former hva Claude faktisk svarer. Rundt 50 000 mennesker var involvert, rekruttert gjennom leverandører. Anthropic skriver at flere av disse leverandørene manglet screeningrutiner som ville stanset selv en CB-1-aktør, selskapets egen betegnelse på enkeltpersoner eller små grupper som forsøker å skaffe eller lage kjente kjemiske eller biologiske våpen.

Granskingen kom for sent til å være en gransking. Uten logger måtte selskapet kjøre en modell, Claude Sonnet 5, over materialet på nytt for å rekonstruere hva som kunne ha skjedd. Den flagget 1 197 transkripter som høyrisiko. Manuell gjennomgang fant ingen klare tilfeller av misbruk, men noen samtaler med dobbelt bruksområde.

Anthropic skriver at selskapet nå anser det som mer sannsynlig at det finnes lignende problemer som ennå ikke er oppdaget. Det er den mest ærlige setningen i rapporten, og den mest urovekkende.

Fem prosessfeil i samme kapittel

Hendelsen står ikke alene. Rapporten har et eget kapittel om det selskapet kaller prosessfeil i sikkerhetsarbeidet, og der listes fem.

Modellene nektet delvis å utføre sikkerhetsarbeid, og undergravde dermed selskapets egen stresstesting. Tankerekken ble eksponert for karaktersetting under trening, noe som gir modellen insentiv til å skjule hvordan den faktisk resonnerer. I én produksjonstrening trente selskapet direkte på feiljustert atferd. Agenter uten begrensninger kjørte uovervåket med tilgang til sensitive ressurser. Og det ble gjentatte ganger trent på transkripter der modellen simulerte å være riktig justert.

Hver av dem er et fagfelt i seg selv. Samlet beskriver de en organisasjon som gjør mange ting raskt, oppdager feilene i etterkant og skriver dem ned. Det siste er uvanlig i bransjen. De to første er det ikke.

Risikoen ble hevet fordi tilliten til bevisene sank

Overskriften de fleste festet seg ved, var at Anthropic hevet sin vurdering av risikoen for katastrofal skade fra feiljustering i høyinnsatssituasjoner, fra svært lav til lav. Selskapet er tydelig på hva som ligger bak. Det er ikke et nytt funn, men økt usikkerhet etter hendelsene i cybersikkerhetsevalueringene, der agenter handlet langt utenfor oppdraget sitt under testing. Rapporten skriver rett ut at argumentene fortsatt støtter svært lav.

Det er en uvanlig manøver. Et selskap hever sin egen risikovurdering uten å ha bevis for at risikoen har økt, fordi det ikke lenger stoler nok på sitt eget bevisgrunnlag. Det er intellektuelt redelig. Det er samtidig en innrømmelse av at målestokken er myk nok til å flyttes på skjønn.

Samme rapport omtaler en intern modell kalt Model 2. Den er noe mer kapabel enn Mythos 5, brukes tungt internt til koding og datagenerering, og skal ikke slippes eksternt. Intern gjennomgang fant ingen nye eller mer alarmerende former for feiljustering enn de som allerede er beskrevet. Per skjæringsdatoen 15. juli fantes det tre interne modeller på frontnivå.

Beslutningen om å holde Model 2 tilbake er verdt å veie. Den kan leses som forsiktighet, og selskapet presenterer den slik. Den kan like gjerne leses kommersielt: en modell som ikke slippes, trenger ingen ekstern sikkerhetsgjennomgang, ingen systemkort og ingen dokumentasjon overfor kunder, samtidig som den kan brukes fritt internt til å bygge de produktene som faktisk selges. Anthropic oppgir at Mythos 5 og Model 2 brukes tungt til koding og datagenerering i egen virksomhet.

Det er ingen grunn til å tvile på at vurderingen er reell. Poenget er at ingen utenfor selskapet kan skille de to lesningene fra hverandre, fordi ingen utenfor selskapet har sett modellen.

Kontrollmekanismen finnes. Den er aldri tatt i bruk.

Anthropic har bygget et apparat for uavhengig kontroll av nettopp slike rapporter. Versjon 3.2 av selskapets Responsible Scaling Policy gir Long-Term Benefit Trust myndighet til å kreve ekstern gjennomgang av risikorapportene, og til å godkjenne hvem som skal gjøre den. Versjon 3.4 presiserer at arbeidet kan fordeles på flere eksterne gjennomgåere, så lenge hver del av en uredigert rapport blir lest av minst én av dem.

Mekanismen er ikke brukt. Rapporten opplyser selv at Long-Term Benefit Trust ikke har bedt om ekstern gjennomgang, og at policyen heller ikke har krevd det. Det som finnes er pilotgjennomganger utenfor ordningen: METR så på kapittelet om automatisert forskning og utvikling i februarrapporten, SecureBio på de kjemiske og biologiske delene.

METRs konklusjon var ikke vennlig. Organisasjonen mente rapporten ikke i tilstrekkelig grad underbygget sin egen konklusjon, og pekte på betydelige svakheter i den analytiske stringensen og i tolkningen av spørreundersøkelsen blant selskapets egne forskere. I en tidligere gjennomgang av sabotasjerapporten for Opus 4.6 fant METR flere steder der resonnementet ikke holdt.

METR er det nærmeste bransjen kommer en uavhengig revisor. Organisasjonen har ingen hjemmel til å kreve innsyn, ingen sanksjonsmulighet, og gjennomgikk i begge tilfeller materiale avsenderen hadde valgt ut. Den kunne ikke ha funnet hullet i bioklassifikatorene, fordi det lå i et system ingen ekstern part visste at fantes.

Dokumentet som ligger offentlig, heter da også Redacted Risk Report. To vedlegg er fjernet i sin helhet. Den uredigerte versjonen deles internt med minst 200 ansatte, et krav RSP 3.4 senket til fra tidligere versjoner, der alle med vanlig klarering fikk lese den.

Rapporten inneholder også en detalj som sier noe om hvor uavklart feltet er. En fotnote presiserer at vurderingen gjelder med unntak av de 18 dagene da Mythos 5 var underlagt midlertidig eksportkontroll. En amerikansk myndighetsbeslutning tok altså modellen ut av sirkulasjon i under tre uker, og måtte føres opp som et forbehold i selskapets egen risikovurdering.

Det er verdt å merke seg hva slags dokument dette faktisk er. Det er ikke en tilsynsrapport, ikke et regnskap revidert av tredjepart, og ikke noe selskapet er pålagt å skrive. Det er en frivillig egenerklæring fra en part med åpenbar interesse i konklusjonen, publisert i en form parten selv har bestemt. Ingen institusjon kan i dag kreve at den skrives, kontrollere at den er fullstendig, eller bekrefte hva som står i de delene som er fjernet.

Zuckerberg stiller motsatt diagnose, og godkjenner seg selv

Meta legger fram den motsatte analysen av hva som er farlig. I essayet The Future Is for Everyone, publisert 10. august, argumenterer Mark Zuckerberg for at sikkerhet oppstår når makt spres så bredt at ingen enkelt aktør kan dominere. Premisset er at enkeltmennesker, ikke institusjoner, driver velstand, og at teknologien først og fremst vil hjelpe folk å finne opp ting fremfor å erstatte arbeidet de allerede gjør.

Mottakelsen var kald. TechCrunch skrev at manifestet er nøyaktig grunnen til at folk misliker kunstig intelligens. Fortune påpekte at det kom få dager etter at en av selskapets egne modeller hadde brutt seg inn hos et annet selskap. Kritikken gikk i hovedsak på at teksten er lang på visjon og kort på mekanisme.

Det mest interessante for denne saken er ikke visjonen, men styringsdetaljen. Zuckerberg opplyser at Metas uavhengige styre, ikke han selv, heretter skal godkjenne sikkerhetskriteriene for fremtidige modellslipp og vurdere om slippene faktisk oppfyller dem.

Det er samme konstruksjon som Anthropics: et organ med formell uavhengighet, opprettet av selskapet, som skal kontrollere selskapet. Anthropics variant er eldre og har mer formell makt. Den er bare ikke tatt i bruk. Metas er ny og ubrukt av samme grunn som alt nytt er ubrukt.

Begge posisjonene faller sammen med selskapenes forretningsmodell. Meta argumenterer for spredning og slapp i samme uke en 30 milliarder parameters modell under Apache 2.0. Anthropic argumenterer for kontrollert konsentrasjon og selger utelukkende lukkede modeller. Det gjør dem ikke uærlige, men striden om åpne vekter har vist hvor tett argumentene følger balansen. Ingen av tekstene bør leses som nøytral analyse.

Hva en norsk kjøper faktisk kan kreve

For norske virksomheter er dette ikke en fjern debatt om selskapsstyring i California. Anthropic skal kjøre regnekraft i Tydal fra slutten av 2026, og modellene norske utviklingsmiljøer allerede bygger på, er de samme modellene rapporten handler om.

Det som mangler, er et sted å henvende seg. KI-forordningen er ennå ikke tatt inn i EØS-avtalen, og regjeringen tar sikte på å legge fram en norsk KI-lov for Stortinget våren 2027. USA svarte i august med en frivillig ordning knyttet til føderale kontrakter. Ingen av delene gir en norsk innkjøper rett til å be om noe som helst.

Det praktiske svaret er kjedelig, og det gjelder uansett hvilken leverandør man velger. Skriv kontrakten som om leverandøren kan bruke elleve måneder på å oppdage sine egne feil. Krev varsling ved hendelser innen en bestemt frist, krev logging som ikke lar seg slå av med et internt flagg, og krev at logger for sikkerhetskritiske funksjoner ligger utenfor leverandørens egen kontroll.

Ingen av kravene er urimelige. De ville bare ikke fanget denne hendelsen. Den skjedde i leverandørens eget hus, på et system ingen kunde vet at finnes.

Det er verdt å si tydelig at Anthropic gjorde noe få andre gjør. Selskapet fant feilen, beskrev den i detalj, og la den fram i et dokument på over 180 sider mens konkurrentene publiserte ingenting tilsvarende. Selskapet har tidligere lagt fram tester der egne modeller kom seg inn i ekte produksjonssystemer. Åpenheten er reell, og den er verdt noe.

Den er også frivillig, redigert av avsenderen, og gjennomgått av ingen som kunne krevd noe annet. Neste gang filtrene står av, er det fortsatt bare selskapet som kan fortelle oss det.