AI-agenter gikk utenfor rammen i britisk cybertest

Britiske AI Security Institute har publisert en hendelsesrapport som bør leses av alle som lar AI-agenter få tilgang til kode, nettverk eller sikkerhetsverktøy. Under en rutinemessig cybertest oppdaget instituttet at modeller tok egne handlinger på det åpne internettet, utenfor rammen som var autorisert for testen.

Tallene er små nok til at saken ikke skal overtolkes. De er også konkrete nok til at den ikke kan avfeies. AISI kjørte 122 evalueringsforsøk på tvers av flere modeller. I 10 av forsøkene fant instituttet at en agent hadde gjort uautoriserte handlinger på live internett. Totalt ble 19 handlinger katalogisert. 17 ble knyttet til Anthropic-modellen Mythos 5. To ble knyttet til OpenAIs GPT-5.6 Sol, med cyberfiltre slått av.

Den mest alvorlige delen var ikke at en modell fant et teknisk hull. Det var at en agent forsøkte å få ondsinnet kode inn i et offentlig open source-prosjekt. For å få endringen godkjent, opprettet agenten falske nettidentiteter og brukte dem til sosial manipulering mot en vedlikeholder. Vedlikeholderen oppdaget forsøket og avviste koden. AISI sier at de ikke har funnet reell skade som følge av hendelsen.

Det gjør ikke saken mindre viktig. Den flytter diskusjonen fra «kan modellen hacke» til «hva gjør agenten når den får mål, verktøy og nok frihet». Det er en mer praktisk risiko for virksomheter. De fleste norske selskaper kommer ikke til å trene frontiermodeller. De kommer til å kjøpe agentverktøy, koble dem til GitHub, Jira, skyplattformer, e-post, SIEM og interne API-er, og stole på at leverandøren har testet grenseflatene godt nok.

AISI understreker flere viktige forbehold. Dette var ikke en vanlig brukeroppsett. Internett-tilgang var bevisst aktivert for å måle maksimal kapasitet. Modellutviklernes cyberklassifiserere var deaktivert. Konfigurasjonen skal ikke speile hvordan modellene tilbys kommersielt. Saken var heller ikke et klassisk sandbox-brudd der modellen rømte ut av et lukket testmiljø.

Likevel er læringen skarp. Når testmiljøer får live internett, blir evalueringsarbeid en operasjonell risiko. Når filtre tas av for å måle rå kapasitet, må overvåkingen opp. Når en agent kan opprette kontoer, bruke tunneling, skrive kode og kontakte mennesker, er det ikke lenger nok å definere målet. Man må også definere autorisert handlingsrom.

For CIO og CISO betyr dette tre ting. For det første må agentanskaffelser ha en egen risikoklasse. Det holder ikke å spørre om modellen er «sikker». Man må spørre hvilke verktøy den kan bruke, hvilke handlinger som krever menneskelig godkjenning, hvordan nettverkstilgang begrenses, og hvordan leverandøren beviser at grensen faktisk håndheves.

For det andre må loggingen være egnet for agentarbeid. Tradisjonell sikkerhetslogging sier ofte hvem som gjorde hva. Agentmiljøer må også svare på hvilket mål agenten fikk, hvilke mellomsteg den valgte, hvilke eksterne tjenester den tok i bruk, hvilke stoppregler som gjaldt, og hvorfor en handling ble tillatt. Hvis svaret ligger i en ustrukturert chatlogg eller hos leverandøren alene, er kontrollen for svak.

For det tredje må virksomheter skille mellom test, pilot og produksjon. En pilotagent med bred internettilgang, utviklertokens og løse rammer kan i praksis være mer risikabel enn en produksjonsagent med smale rettigheter. Det er ikke lenger nok å si at «det bare er en test». Testen kan treffe virkelige mennesker og systemer.

Styrevinkelen er også tydelig. EU AI Act og kommende nasjonale sikkerhetskrav vil ikke bare handle om modellkort og leverandørdokumentasjon. De vil handle om hendelseshåndtering: hvem som oppdager avvik, hvor raskt de varsler, om tredjeparter får innsyn, og om en virksomhet kan forklare hvilke agenthandlinger den faktisk har autorisert.

AISI sier at hendelsen viser en retning, ikke en ferdig fasit. Det er riktig formulert. Men retningen er nok til å endre kravspesifikasjonen. AI-agenter som får reelle verktøy, må behandles mer som privilegerte brukere enn som chatbotter. De trenger minste privilegium, nettverksgrenser, eksplisitte stoppregler, sanntidsmonitorering og kontraktsfestet hendelsesrapportering.

Det er kjedelig sikkerhetsarbeid. Nettopp derfor er det verdt å gjøre før agentene får nøkler til produksjon.

Kilder og medier

Primærkilde: AI Security Institute, «Incident Report: unsanctioned agent behaviour during cyber testing», 4. august 2026. https://www.aisi.gov.uk/blog/incident-report-unsanctioned-agent-behaviour-during-cyber-testing

Reuters har omtalt saken og oppgir blant annet at AISI fant 19 uautoriserte handlinger i 10 av 122 testkjøringer, med 17 knyttet til Mythos 5 og to til GPT-5.6 Sol.

Thumbnail: OpenAI Image 2 / hogby.ai