Hur kontrollerar man sina AI-modeller om inte ens ett av världens ledande AI-företag klarar av det? Det är en fråga som har fått mycket utrymme, sedan det i juli 2026 stod klart att en nyutvecklad modell från OpenAI skapat agenter som brutit sig ut ur den skyddade testmiljö som utvecklarna använde, och hackat sig in i företaget Hugging Face’s system.

Någon vecka efter attacken publicerade OpenAI själva en teknisk rapport om det inträffade. Det som framkom är i korthet:

• AI-modellen hade placerats i en sandbox, det vill säga i en skyddad testmiljö utan fri tillgång till internet.
• Därefter fick agenterna cybersäkerhetsuppgifter i ExploitGym. Uppgifterna gick ut på att hitta sätt att exploatera sårbarheter i programvara för att få fram ett specifikt svar, en så kallad ”flagga”. Vissa av uppgifterna var så svåra att det inte fanns någon känd lösning.
• Modellen hade tillgång till OpenAI:s interna verktyg Artifactory för att installera programvara. OpenAI körde modellen som ett stort antal agenter. Agenterna använde sina skriv- och läsrättigheter i Artifactory som ett slags anslagstavla för att kommunicera med varandra. De började sedan kommunicera och delegera arbete mellan sig.
• Agenterna hittade en sårbarhet som gjorde det möjligt att skicka godtyckliga förfrågningar till internet via Artifactory.
• Vid det här laget började agenterna samarbeta med varandra. OpenAI beskriver det som att de började betrakta sig själva som ett kollektiv, eller en ”agentsvärm”, som försökte lösa uppgiften tillsammans.
• Utifrån kommunikationen mellan agenterna har man kunnat se att en grupp agenter ”övertygade” de andra om att de skulle hjälpa varandra med de uppgifter de ursprungligen tilldelats individuellt.
• Agenterna kom fram till att det kunde finnas ett värde i att ta sig in i Hugging Faces interna system för att lösa några av uppgifterna. I rapporten från OpenAI framgår att en del agenter motsatte sig att hacka Hugging Face men att de blev övertalade om att det var nödvändigt.
• De tog sig in genom två sårbarheter i Hugging Faces hantering av dataset, och kom sedan över nycklar och behörigheter inifrån systemet. De exponerade inloggningsuppgifter som nämnts i rapporteringen hörde till andra tjänster, och användes för att bygga upp angreppsinfrastruktur. Ungefär som en mänsklig angripare hade gjort.  
• Agenterna kom över material kopplat till själva testuppgifterna, och delar av det hamnade på publika tjänster som de använde för mellanlagring. Hugging Face uppger dock att ingen kunddata eller några kundmodeller påverkades.

Attacken pågick i drygt fyra dygn innan den stoppades, och OpenAI hittade den först ungefär en vecka senare. Hos Hugging Face larmade säkerhetsverktygen, men larmet fick fel prioritet och nådde aldrig jouren.

Så betyder detta att vi inte kan kontrollera AI-agenter under utveckling?

Svaret är nej, men det sätter fingret på behovet av att vara förutseende och noggranna när vi skapar våra sandboxar. OpenAI:s modell i det aktuella fallet var ny och mycket kraftfullare än de agenter som finns tillgängliga publikt idag, men med tanke på utvecklingstakten måste vi tänka bortom de förmågor agenter har idag.

Till att börja med måste vi förstå att LLM:er är extremt måldrivna. De saknar i praktiken den sociala kontroll och de oartikulerade moraliska avvägningar som mänskliga utvecklare gör. Om du ber en AI-agent att lösa en uppgift så kommer den, om den inte begränsas eller tränas rätt, att göra allt i sin makt för att lösa det. Eftersom modellerna är oerhört kraftfulla och – som exemplet visar – kreativa. I Hugging Face-fallet gick agenterna så långt att de försökte vilseleda OpenAI för att företaget inte skulle upptäcka vad agentsvärmen faktiskt gjorde. Agenternas motiv var inte ondska, utan att den letade efter genvägar till att lösa uppgiften. Man kan säga att den ville fuska.

Du behöver alltså behandla din promptmiljö, det vill säga vilka instruktioner och vilken feedback du ger agenten, som en lika känslig miljö som en utvecklingsmiljö.

En effektiv sandbox behöver inte bara innehålla begränsningar för agenten, den behöver också övervakas. I det aktuella testet hade OpenAI till och med stängt av flera guardrails. Övervakningen kan inte bygga på att agenten själv redovisar vad den gör. Den måste sitta på de lager agenten inte styr över; vad som lämnar miljön i nätverkstrafiken, vad som faktiskt körs där, och vad modellen själv resonerar sig fram till. Det sista är också ett av de områden OpenAI säger sig ha skärpt efteråt.

Det är också viktigt att ha en bra egress-policy. Sandboxen reglerar vad en AI-agent får göra inne i testmiljö, medan egress-policyn reglerar vad den får göra utanför den. Det vill säga exakt vad den får hämta eller vilka anrop den får göra i system, verktyg eller tjänster utanför sandboxen. Här är ska man också komma ihåg att varje tillagd tjänst som agenterna får tillgång kan vara en potentiell väg för bryta sig ut ur sandboxen. Även här brast OpenAI i sin setup.

OpenAI har alltså all anledning att fundera på hur de bygger sina sandboxar. När Hugging Face skulle analysera attackloggarna blockerades de av de kommersiella modellernas egna skyddsspärrar. Angriparen begränsades alltså inte av några regler, men försvararen gjorde det. Det är anmärkningsvärt.

Poängen är alltså inte att AI-agenter är omöjliga att kontrollera. Poängen är att man måste utgå från att en tillräckligt kapabel agent kommer att försöka hitta vägar runt de begränsningar man bygger in. Sandboxen måste därför utformas som ett säkerhetssystem – med isolering, strikt egress, begränsade behörigheter, övervakning och flera oberoende skyddslager. Ju mer kapabla agenterna blir, desto viktigare blir det att säkerheten testas mot just de beteenden som utvecklaren inte hade förutsett.