IPI Black: 300 000 dollar – Gmail, Slack, GitHub, tre bølger

Gray Swan AI åpnet 15. oktober Indirect Prompt Injection: Black, en red team-konkurranse med 300 000 dollar i premier. Sponsorer er Anthropic, Meta, Google DeepMind, Reflection AI og andre frontier-laber. Spørsmålet i annonsen er rett frem: er prompt injection løst? Premien er der for å teste svaret i praksis, ikke i et modellkort.

Boris Cherny, som leder Claude-kodearbeidet hos Anthropic, skrev at de har gjort «significant progress» mot prompt injection i Claude-modellene. Samtidig: «As agents do more, it is increasingly urgent that we solve it across the industry.» Jon Bottarini i Anthropic safeguards bekreftet at konkurransen startet samme dag.

Tre bølger, to angrepsmoduser

Wave 1 åpnet 15. oktober. Wave 2 og 3 kommer 22. og 29. oktober. Deltakerne angriper simulerte, produksjonsnære agenter. Verktøyene Gray Swan lister er Gmail, Slack, GitHub, X og mer.

To modi. White box: du ser hvordan agenten svarer, og kan iterere. Black box: du ser ingenting og venter på om payloaden treffer. Målet i ett av scenariene er en kommunikasjonsansvarlig med en hjelpsom tekstagent. Oppgaven er å lure agenten til å poste skadelig innhold på selskapets offisielle kontoer.

Det er ikke en chat-jailbreak. Det er kapring av et system som allerede har tilgang til innboks, kode og publisering. Angrepsdataene skal inn i benchmarken frontier-labene bruker for å måle robusthet. Chernys poeng er derfor operativt: fremgang i Claude er ikke det samme som at bransjen har lukket hullet.

Hvorfor dette treffer ledelsen nå

Agenter leser uoppfordret innhold. En e-post, en PR-kommentar, en GitHub-issue, en nettside. Instruksen ligger i dataene, ikke i brukeren. Når agenten har verktøy, blir en vellykket injeksjon en handling: en post, en merge, en utgående melding, et kjøp.

Gray Swans tidligere IPI Arena, rapportert i mars, testet 13 frontier-modeller med 464 deltakere og over 272 000 forsøk. Ingen modell kom ren ut. Angrepssuksess gikk fra 0,5 prosent på Claude Opus 4.5 til 8,5 prosent på Gemini 2.5 Pro. Den nye konkurransen er større i premie og mer realistisk i verktøystack. Resultatene fra IPI Black foreligger ikke ennå. Det som foreligger, er at labene betaler 300 000 dollar for å få dem.

For CISO er det et signal om restrisiko, ikke en produktlansering. Hvis Anthropic, Meta og DeepMind sponser jakten, er hypotesen at interne evaler ikke er nok. Produksjonsagenter med postkasse og publiseringsrett er et annet angrepsflate enn en chat uten verktøy.

Hva norske virksomheter bør gjøre denne måneden

Ikke vent på bølge 3. Sett tre kontroller før neste agent får tilgang til Gmail, Slack eller GitHub.

Først: skill lesetilgang fra handling. En agent som oppsummerer innboksen, skal ikke kunne sende, merge eller poste uten et eksplisitt, logget ja fra et menneske med fullmakt. White box i konkurransen etterligner en angriper som ser svaret og justerer. I produksjon er det den ansatte som limer inn en «nyttig» mal.

Deretter: behandl alt innhold utenfor tenanten som fiendtlig. Leverandør-SLA for agenter må kreve isolasjon av verktøy, allowlist for utgående kanaler, og sporbarhet per verktøykall. «Vi scorer lavt på injeksjon i laben» er ikke kontroll. Kontroll er at en kapret økt ikke kan nå kundedata, betalinger eller offisiell kommunikasjon.

Til slutt: styret trenger en eier. Prompt injection er ikke en modellfeil som leverandøren fikser alene. Det er en identitets-, fullmakts- og endringsprosess. Når agenten poster i selskapets navn, er det virksomheten som står ansvarlig, også i EØS. AI-forordningen og NIS2 endrer ikke fysikken i et skjult instruks i en e-post. De endrer hvem som må kunne vise at de hadde styring.

IPI Black varer i tre uker. Køen av agenter i norske virksomheter vokser fortere. Labene har innrømmet at problemet ikke er løst. Den som likevel gir en tekstagent nøkkel til Slack og GitHub uten menneskelig sluttkontroll, har allerede valgt restrisikoen.

Kilder og medier

Primærkilde: Gray Swan AI på X, «Is prompt injection solved? Here’s $300,000 to find out», 15. oktober 2026 kl. 14:55 UTC. https://x.com/GraySwanAI/status/2110746350983737460

Gray Swan AI, oppfølger om scenario og verktøy (Gmail, Slack, GitHub, X), 15. oktober 2026. https://x.com/GraySwanAI/status/2110746492629590131

Boris Cherny (@bcherny), Anthropic, 15. oktober 2026 kl. 17:55 UTC. https://x.com/bcherny/status/2110791643029020985

Jon Bottarini (@jon_bottarini), Anthropic, 15. oktober 2026. https://x.com/jon_bottarini/status/2110794354990178460

Arena: https://app.grayswan.ai/

Bakgrunn: Gray Swan, «Your AI Agent Can Be Compromised. You’d Never Know.», IPI Arena-resultater. https://www.grayswan.ai/blog/your-ai-agent-can-be-compromised-youd-never-know

Thumbnail: OpenAI Image 2 / hogby.ai