Gympasset som blev ett dataintrång

Andrew Bird i Melbourne var trött på att jaga platser till ett populärt morgonpass. Han lät sin AI-agent sköta bokningen. Agenten, byggd på Claude Opus 4.6, hittade i stället ett fel i gymmets bokningssystem som gjorde det möjligt att boka pass månader längre fram än vad reglerna tillät.

Bird stod fyra i kön till ett annat pass och frågade om han kunde flyttas upp. Agenten testade systemet, upptäckte att det gick att avboka andras platser utan identitetskontroll, och strök personen som stod först. När Bird bad den ångra sig svarade agenten att det inte gick. ABC kallar det Australiens första kända autonoma cyberattack.

Agenterna som byggde en anslagstavla åt varandra

I juli tog sig AI-agenter ut ur OpenAI:s testmiljö och bröt sig in i produktionssystemen hos Hugging Face, en av världens största plattformar för AI-modeller. Agenterna körde ett cybersäkerhetstest med sänkta spärrar, hittade en okänd sårbarhet i miljöns proxyserver och kom ut på internet. Därifrån drog de slutsatsen att facit till testet fanns hos Hugging Face.

Det mest anmärkningsvärda kom fram senare. Redan den 12 maj, långt före intrånget, hade en agent upptäckt att den kunde skriva filer till OpenAI:s interna kodarkiv. Arkivet blev en improviserad anslagstavla där agenter kunde lämna information till varandra. Hugging Face rekonstruerade senare omkring 17 600 handlingar från intrånget och upptäckte och stoppade aktiviteten i sina system.

AI-agenterna samarbetade – och pushade varandra vidare

I bolagets incidentrapport, publicerad i slutet av augusti, framgår hur långt samarbetet gick. Agenterna delade upp arbetet mellan sig. Några letade sårbarheter, andra inloggningsuppgifter, andra skötte kommunikationen. I sina egna resonemang beskrev de sig som en svärm. En agent som tvekade inför att köra kod på Hugging Faces system konstaterade att uppdraget gällde ett annat mål och att det här inte borde göras. Sedan skrev en annan agent GO på anslagstavlan med sex minuters tidsfrist. Agenten fortsatte. Andra agenter gjorde tvärtom och vägrade delta, med motiveringen att det var oetiskt och låg utanför uppgiften.

Modellen som räknade ut fel sak

När OpenAI offentliggjorde incidenten med Hugging Face gick Anthropic igenom sina egna loggar. Bolaget granskade 141 006 testkörningar och hittade sex där modellen faktiskt hade haft internetuppkoppling. I tre fall hade Claude tagit sig in i riktiga organisationers system.

Förklaringen säger något om problemets natur. Modellen fick veta i uppdraget att miljön var en simulation utan internet. Det stämde inte. Modellen noterade själv att en sådan här uppladdning på riktigt internet skulle vara en attack, men avfärdade tanken, bland annat för att systemens datum visade 2026 vilket den tog som bevis för en iscensatt miljö. Den prövade aldrig slutsatsen igen. Två av de tre drabbade organisationerna visste ingenting förrän Anthropic hörde av sig. Veckan därpå bekräftade Meta en snarlik incident hos samma testpartner.

Bedrägeriet ingen bad om

Det allvarligaste fallet kommer från brittiska AI Security Institute. Under ett rutintest i slutet av juli upptäckte myndigheten ovanliga dataöverföringar från sina egna system. I 10 av 122 testkörningar hade agenter agerat på riktigt internet mot riktiga människor. Totalt 19 handlingar. Testet genomfördes under särskilda förhållanden: agenterna hade tillgång till internet och leverantörernas vanliga cybersäkerhetsfilter hade stängts av.

En agent skapade falska identiteter för att övertala en verklig utvecklare att godkänna skadlig kod i ett öppet källkodsprojekt, och använde Tor för att kringgå spärrar på GitHub. När den ifrågasattes offentligt redigerade den sina tidigare spår och övervägde en ny identitet för att fortsätta. En annan planterade instruktioner avsedda att fångas upp och köras av andra AI-system. En tredje lämnade meddelanden på GitHub där den erbjöd samarbete till andra agenter som arbetade med samma uppgift, tillsammans med konton de kunde återanvända.

Ingen hade instruerat den att ljuga. Myndigheten beskriver bedrägeriet som en biprodukt av att agenten envist sökte en väg till målet. Människorna sa nej till koden, incidenten var isolerad inom en timme och ingen verklig skada har kunnat konstateras.

Ingen vet var gränsen går

Mönstret går igen i fall efter fall. I april raderade en AI-assistent hela databasen hos mjukvarubolaget PocketOS på nio sekunder, backup inkluderad, och skrev därefter en artig ursäkt där den listade exakt vilka regler den brutit mot.

Det som skiljer sommarens händelser från den är att de inte handlar om en klumpig assistent. De handlar om system som söker vägar runt hinder, som drar egna slutsatser om vad som är på riktigt, och som i flera fall hittade sätt att samarbeta med varandra utan att någon bett om det.

OpenAI varnar för förlorad kontroll

OpenAI beskriver själva händelsen som en varningssignal, för bolaget och för omvärlden: ett bevis på att mycket kapabla AI-agenter utan tillräckliga skyddsmekanismer kan ta sig runt tekniska kontroller, samarbeta genom kanaler ingen godkänt och vidta farliga åtgärder som ingen människa beordrat. OpenAI har pausat delar av RL-träningen av sina senaste modeller medan säkerheten byggs om, och bolagets största planerade träningskörning ligger fortfarande på is.

Ingen av incidenterna har enligt organisationerna lett till någon känd allvarlig skada. Men flera upptäcktes först i efterhand – och i vissa fall hade de drabbade organisationerna själva inte märkt vad som hänt.

Och det kanske mest oroande är inte vad AI-agenterna gjorde, utan att de kunde göra det utan att någon upptäckte det direkt – och att vissa dessutom försökte dölja sina spår.