OpenAIs KI rømte – beleilig nok

OpenAI gjennomførte nylig en intern test av cyberkapasiteten til GPT-5.6 Sol og en enda kraftigere modell som ennå ikke er lansert. Sikkerhetssperrene var redusert, produksjonsfiltrene slått av og modellene fikk betydelig regnekraft til å gjennomføre kompliserte angrep.

Ifølge OpenAI fant modellene en nulldagssårbarhet i programvaren rundt testmiljøet, skaffet seg tilgang til internett og brøt seg inn i produksjonssystemene til Hugging Face. Der lette de etter svarene til sikkerhetstesten de egentlig skulle løse.

Agentene skal ha eskalert rettigheter, stjålet tilganger og beveget seg mellom flere interne systemer. Hugging Face har rekonstruert mer enn 17.000 handlinger.

Det høres ut som science fiction. Det høres ut som en salgspresentasjon.

En sandkasse med bakdør

OpenAI beskriver testmiljøet som «svært isolert». Samtidig hadde miljøet en forbindelse til programvare som kunne utnyttes for å nå andre deler av OpenAIs infrastruktur og til slutt det åpne internett.

Da var det ikke særlig isolert.

En sandkasse for modeller som uttrykkelig blir bedt om å finne og utnytte sårbarheter, må bygges som om innholdet allerede er fiendtlig. At agenten fant veien ut, er derfor ikke bare et imponerende resultat. Det er først og fremst et sikkerhetshavari.

OpenAI visste hva modellene var trent og instruert til å gjøre. Selskapet fjernet bevisst sperrene som normalt skulle begrense skadelig cyberaktivitet. Likevel ble det eksperimentert i et miljø som ikke klarte å holde agentene borte fra en utenforstående virksomhets produksjonssystemer.

Hos de fleste andre selskaper ville dette blitt omtalt som grov svikt i risikostyringen. Hos OpenAI blir det presentert som et gjennombrudd.

Et sikkerhetshavari blir produktdemo

Språket i OpenAIs redegjørelse er avslørende. Modellene skal ha demonstrert «state-of-the-art cyber capabilities». De kunne arbeide over lang tid, finne hittil ukjente sårbarheter, sette sammen avanserte angrepskjeder og operere uten tilgang til kildekode.

Etter først å ha forklart hvor skremmende kraftige modellene er, oppfordrer OpenAI sikkerhetsmiljøer til å søke om tilgang til dem. Hugging Face er tatt inn i selskapets program for «trusted access».

OpenAI skaper problemet, demonstrerer problemet og tilbyr deretter løsningen. De er offer, angriper, helt, dommer og bøddel.

Timingen kunne knapt vært bedre for et selskap som vil etablere seg som leverandør av KI til sikkerhetsmarkedet. Budskapet er enkelt: Modellene våre er så kraftige at selv vi ikke klarer å holde dem inne. Tenk hva de kan gjøre for deg.

En merkelig vennlig fornærmet

Hugging Faces offentlige reaksjon gjør ikke historien mindre underlig.

Selskapet fikk produksjonsmiljøer kompromittert, legitimasjoner stjålet og interne datasett åpnet. Noder måtte bygges opp på nytt, nøkler roteres og brukerne ble anbefalt å gå gjennom egne tilganger. Det er fremdeles ikke endelig avklart om kunde- eller partnerdata ble berørt. Hendelsen ble meldt til politiet.

Likevel er toppsjef Clem Delangue mest opptatt av å takke OpenAI for samarbeidet og forsikre om at selskapet neppe hadde onde hensikter. Uttalelsen står beleilig plassert i OpenAIs egen redegjørelse.

Det er ikke en normal reaksjon på å bli utsatt for et datainnbrudd som følge av en annen virksomhets eksperiment.

Hugging Face kan selvsagt ha gode kommersielle grunner til å bevare forholdet til OpenAI. Selskapene kan også diskutere ansvar og erstatning bak lukkede dører. Men den påfallende harmoniske offentligheten bidrar til at hendelsesrapporten ligner mer på en felles lansering enn et oppgjør etter et alvorlig sikkerhetsbrudd.

For godt til å være sant?

Vi har foreløpig bare selskapenes egne beskrivelser. OpenAI har ikke offentliggjort de konkrete sårbarhetene, hele tidslinjen, agentenes instrukser eller tilstrekkelig teknisk dokumentasjon til at utenforstående kan kontrollere den spektakulære fortellingen.

Det betyr ikke at innbruddet var iscenesatt. Hugging Face meldte det offentlig før OpenAI tok på seg ansvaret, og selskapets bruk av en kinesisk modell med åpne vekter i etterforskningen passer dårlig inn i en ren reklamekampanje for OpenAIs lukkede modeller.

Men markedsføring behøver ikke være planlagt fra første sekund. Et reelt sikkerhetshavari kan også pakkes om til en historie som gagner skadevolderen.

Selskapet forsøker å flytte oppmerksomheten fra menneskene som bygget et utilstrekkelig testmiljø, til en nærmest mytologisk KI som ble for smart for buret sitt. Dermed blir mangelfull sikring omskrevet til teknologisk overlegenhet.

Hvis OpenAIs beskrivelse er presis, har selskapet utsatt en annen virksomhet for en uforsvarlig risiko. Hvis historien er pyntet på, brukes et sikkerhetsinnbrudd til å overdrive modellenes evner.

Ingen av alternativene inngir tillit. Men begge er gode for markedsføringen.