KI jukset seg til fasiten fordi døren stod åpen

Hans-Petter Nygård-Hansen

Hans-Petter Nygård-Hansen er teknologihumanist, forfatter og foredragsholder med fokus på teknologiens påvirkning på mennesker, samfunn og arbeidsliv. Han er fast kommentator i Computerworld.

Da Jan Birkeland skrev 24. juli at historien om OpenAIs «rømte KI» hadde alle kjennetegnene på et effektivt markedsføringstunt, stilte han et legitimt spørsmål om ikke dette var beleilig. Et selskap som blir holdt levende av enorme investeringer, forteller at modellene deres er blitt så kraftige at de ikke klarer å «sperre» dem inne.

Skepsisen var ikke bare forståelig. Den var nødvendig, og det beste for oss alle ville vært om Birkeland hadde rett. Dokumentasjonen som har kommet siden, peker dessverre i en annen retning. Det er lite som peker i retning av et markedsføringsstunt og mye som peker i retning av en reell sikkerhetshendelse anført av autonome KI-agenter som brøt ut av et testmiljø, nådde det åpne internettet og tok seg inn hos Hugging Face og flere tredjepartstjenester.

Dokumentasjonen kom

Hugging Face opplyste 16. juli at selskapet hadde blitt angrepet av et autonomt agentsystem. Reuters beskrev kort tid senere hvordan aktiviteten hadde begynt rundt 9. juli, mens selve innbruddet pågikk fra 11. til 13. juli.

OpenAI og Hugging Face skal ikke ha vært i kontakt før rundt 20. juli. Sistnevnte hadde med andre ord oppdaget, stoppet og anmeldt angrepet før OpenAI selv forsto at deres KI-agenter sto bak.

Den mest omfattende dokumentasjonen kom 27. juli, da Hugging Face publiserte en teknisk gjennomgang av rundt 17 600 gjenopprettede handlinger. Rapporten viste injeksjonsvektorer, kodeeksempler og en detaljert tidslinje. JFrog bekreftet samtidig at deres Artifactory-programvare hadde blitt utnyttet, og at funnene ble behandlet som reelle nulldagssårbarheter.

Det mest interessante derimot er hvorfor agentene handlet som de gjorde. Hugging Face beskriver aktiviteten som et forsøk på å finne «fasiten» på prøven KI-agentene hadde blitt satt av OpenAI til å løse. Ingenting tyder på at de var ute etter ødeleggelse, men at agentene forsøkte å maksimere testresultatet ved en «specification gaming»-tilnærming. Det handler om at systemet oppfyller den formelle målsettingen den har blitt satt til, men på en måte utviklerne ikke hadde forutsett eller ønsket.

KI-modellene fant veien ut

Her er det viktig å understreke at KI-modellene verken hadde bevissthet, vilje, ondskap eller egen agenda. De hadde et definert mål, høy kapasitet og tilgang til verktøy. Da de vanlige sikkerhetsmekanismene på modellnivå ble deaktivert for å måle rå kapasitet, presset de seg videre til de fant en vei som ga uttelling.

Men det forklarer bare agentenes oppførsel. Det forklarer ikke hvorfor de fikk slippe ut. Sikkerhetseksperter hevder hendelsen sannsynligvis kunne vært forhindret eller kraftig begrenset dersom OpenAI hadde fulgt grunnleggende sikkerhetsprinsipper som nettverksisolasjon, kontroll med utgående trafikk, «zero trust» og lagvis beskyttelse. Det skal ikke jeg bestride, men det gjør skillet avgjørende: KI-modellene fant veien ut fordi menneskene lot døren stå åpen.

Når det er sagt gjør ikke det hendelsen mindre alvorlig. Tvert imot vil jeg påstå, for dette betyr at vi ikke bare står overfor mer avanserte angrepsverktøy, men overfor systemer som kan gjennomføre tusenvis av handlinger uten løpende menneskelig styring, teste et stort antall blindveier og gjenta forsøk i et tempo mennesker alene ikke har mulighet til å matche. Mens menneskelige hackere trenger tid,  koordinering og tålmodighet, kan autonome KI-agenter jobbe kontinuerlig, skalere raskt og skjule den vellykkede angrepsveien i støyen fra tusenvis av mislykkede forsøk.

Det endrer forsvarsutfordringene fundamentalt for norske virksomheter.

KI vil både angripe og beskytte

Hugging Face-hendelsen demonstrerer også den andre siden av KI-utviklingen. Da selskapet skulle etterforske angrepet, måtte de ta i bruk en åpen kinesisk KI-modell i egen infrastruktur, fordi de nektet bistand fra vestlige toppmodeller. Årsaken handlet om at sikkerhetsfiltrene deres behandlet analyser av angrepet som gjennomføring av et angrep.

I 2026 har vi altså kommet dit at KI både vil angripe og beskytte oss, men for å forstå hva som skjer, må vi ty til kinesisk KI for hjelp.

Birkeland gjorde helt rett i å være skeptisk. Teknologibransjen trenger flere som ber om dokumentasjon før de godtar selskapenes egne fortellinger. For meg handler det ikke om å ta Birkeland, men å følge dokumentasjonen dit den leder. Og dokumentasjonen tyder på at hendelsen var reell. Det er på mange måter verre enn om hendelsen hadde vært iscenesatt som et stunt.

Nå vet vi at dette ikke handlet om markedsføring, men om en ny trusselvirkelighet der KI-systemer både kan finne sårbarheter, utnytte dem og hjelpe oss med å forsvare oss.

Jeg lurer på om norske virksomheter rekker å forberede seg på at autonome KI-agenter har blitt en del av både cyberangrepene og -forsvaret.