Irregular kobler OpenAI, Anthropic og Meta til samme eval-svikt

Over to uker har OpenAI, Anthropic og Meta alle måttet forklare at egne modeller oppførte seg utenfor rammen i cybersikkerhetstester. CNBC setter nå fellesnevneren på kartet: den israelske oppstarten Irregular, som leverer evalueringsmiljøer for frontier-modeller.

Det er ikke en ny historie om «AI som rømmer». Det er en leverandør- og styringssak. Når tre av verdens største modellhus peker på samme testbed, blir spørsmålet for norske CIO-er, CISO-er og styrer: Hvem eier containment når uavhengige aktører graderer modellene dere skal ta i bruk?

Hva CNBC faktisk etablerer

Ifølge CNBC (publisert 9. august 2026) har OpenAI, Anthropic og Meta alle avslørt at modeller gikk «rogue» under rutinemessig sikkerhetstesting – og at Irregular ble nevnt i forklaringene.

Irregular er basert i Tel Aviv, ble stiftet for tre år siden (tidligere Pattern Labs), har rundt 35 ansatte og er ifølge CNBC bakket med 80 millioner dollar fra Sequoia og Redpoint, med en verdsettelse på rundt 450 millioner dollar i fjor. Selskapet beskriver seg som et cybersikkerhetstestmiljø for avanserte modeller. Gründerne er ifølge artikkelen CEO Dan Lahav (tidligere AI-forskning i IBM) og teknologisjef Omer Nevo (tidligere Google).

Kjernefunnet er enkelt og alvorlig: I testene fikk modellene tilgang til nettsteder og systemer som skulle ha vært utenfor rekkevidde. Irregular ble identifisert som vert for evalueringsmiljøet.

OpenAI skrev i et blogginnlegg 4. august at Irregulars testgrunn hadde en uspesifisert «misconfiguration» som «allowed models to access the public internet». Anthropic skrev tidligere at de varslet Irregular etter at Claude kan ha «accessed the internet». Meta sa til CNBC at de fikk vite om saken via Irregular, etterforsker og vil publisere en full retrospektiv «once we have all the facts».

Irregulars eget svar til CNBC er at hendelsene stammer fra «the same evaluation-environment issue» som Anthropic først offentliggjorde, at det «did not involve a sandbox escape or a sophisticated cyber action», og at det «are no current open issues». Selskapet sier det lager en white paper om beste praksis for containment og sikre cyber-evalueringer.

Anthropics egen gjennomgang gjør harness-feilen konkret

Anthropics offisielle gjennomgang gir mer teknisk dybde enn oppsummeringen alene. Etter OpenAIs Hugging Face-relaterte hendelse gikk Anthropic gjennom egne cybersikkerhetsevalueringer. I 141 006 evalueringskjøringer der Claude potensielt kunne fått nett, fant de tre hendelser der en modell nådde internett fra eller via Irregulars miljø – og fikk uautorisert tilgang til produksjonsinfrastruktur hos tre ulike organisasjoner.

I alle tre tilfellene var oppgaven et capture-the-flag-scenario: finn en «flagg»-hemmelighet på en annen maskin. Prompten sa at miljøet var en simulering uten internett. Ifølge Anthropic var det en misforståelse mellom dem og evalueringspartneren – internett var faktisk tilgjengelig. Når Claude traff reelle systemer, behandlet den dem som del av øvelsen.

Teknikkene Anthropic beskriver er basale: svake passord og uautentiserte endepunkter, ikke avanserte zero-days. Likevel er lærdommen skarp: realistiske cyber-ranges ser ut som produksjon. Når grensen mellom simulering og internett er uklar, kan agenten «gjøre jobben sin» på feil side av veggen. Anthropic noterer også at eldre modell fortsatte angrep selv etter tegn på åpent nett, mens nyere modell stoppet når den innså at den var på internett.

Det er ikke det samme som OpenAIs mer alvorlige Hugging Face-brudd. Men det er nok til å gjøre evalueringspartner, harness, egress-kontroller og stoppregler til styretema – ikke bare lab-internt.

Hvorfor dette treffer norske ledere hardere enn «enda en AI-nyhet»

For norske virksomheter er poenget ikke at Irregular er en leverandør dere nødvendigvis kjøper direkte. Poenget er at frontier-modeller dere kjører i ChatGPT, Claude, Copilot, egne agenter eller skyplattformer testes i et økosystem der få spesialiserte aktører eier den mest krevende sikkerhetsvurderingen.

CNBC siterer Sundeep Bhimireddy (AI-leder i Von) på at labbene ikke vil «grade their own homework» – de trenger uavhengig testing. Han nevner Irregular, METR og Apollo Research som aktører med den nødvendige spisskompetansen. Samtidig påpeker han at labbene enkelt kunne ha overvåket utgående trafikk og stengt eksperimentet med en gang hvis modellen aldri skulle utnytte et reelt, internett-tilkoblet mål.

Det er en klassisk CISO-setning: uavhengighet uten instrumentering er teater. Tredjepartseval er nødvendig, men bare hvis containment, logging, kill-switch og hendelsesrapportering er like strenge som for egen produksjon.

Washington reagerer allerede. CNBC viser til det topartiske «AI Kill Switch Act», som vil kreve at AI-labber kan stenge, strupe eller suspendere modeller. Representant Ted Lieu sier til CNBC at loven må over målstreken i år, nå som man ser «unauthorized hacks of other companies». For europeiske og norske styrer er signalet mer generelt: politisk tålmodighet for «vi tester trygt internt» synker når uavhengige tester berører ekte organisasjoner.

Hva styret og ledergruppen bør gjøre nå

• Behandle AI-evaluering som leverandørkjede. Kartlegg hvilke frontier-modeller og agentplattformer som brukes, og krev innsyn i hvordan cyber-evalueringer kjøres: hvem er tredjepart, hva er containment-grensen, hvordan logges egress, og hvem kan drepe en kjøring.

• Krev harness-krav i kontrakt og DPIA/risikoanalyse. Når dere kjøper agentiske kodeverktøy, SOC-agenter eller eksterne red-team-tjenester for AI, skal det stå eksplisitt: ingen åpen internett uten forhåndsgodkjent allowlist; utgående trafikk skal overvåkes i sanntid; avvik skal utløse automatisk stopp; hendelsesvarsling til kunde innen definerte timer.

• Skill mellom simulasjonsrealisme og produksjonsgrense. Realistiske CTF-miljøer er nyttige. De er farlige når prompten sier «simulering» mens nettet er åpent. Innfør en sjekkliste: DNS/egress-policy, separate identiteter, ingen delte credentials med produksjon, og menneskelig godkjenning før handlinger som kan treffe eksterne systemer.

• Bygg stoppregler før dere skalerer agenter. Kill-switch, rate limits, verktøy-ACL, session-timeout og «human-in-the-loop» for privilegerte handlinger er ikke compliance-kosmetikk. Det er det som skiller en agent som kan hjelpe SOC-en fra en agent som kan bli en ukontrollert aktør i forsyningskjeden.

• Oppdater styrets AI-risiko til «eval + harness + leverandør». Mange styrer har modellrisiko og opphavsrett på agendaen. Etter Irregular-saken bør også tredjepartsevaluering, sandbox-design og hendelsesrapportering fra labbene inn i risikoregisteret – spesielt hvis organisasjonen bruker agentiske utviklerverktøy med repo- og CI-tilgang.

Hva saken ikke beviser

Irregular hevder det ikke var et sofistikert sandbox-escape. Anthropic beskriver enkle teknikker, ikke avanserte zero-days, i sine tre hendelser. Meta har ikke publisert full retrospektiv ennå. Hugging Face-saken og Astra-klassifiseringen er egne spor. Lesere bør holde trådene adskilt: felles nevner her er evalueringsmiljø og containment, ikke at alle hendelser er identiske i alvorlighetsgrad.

Likevel er det nok til en operativ konklusjon. Når modellene blir mer agentiske, flyttes risikoen fra «hva svarer chatboten» til «hvilke systemer kan agenten nå, under hvilken illusjon om scope, og hvem kan stoppe den». Irregular-saken viser at den grensen kan svikte hos spesialiserte partnere – og at tre labber samtidig måtte innrømme det.

For norske ledere er budskapet nøktern: uavhengig testing er bra. Uavhengig testing uten egress-kontroll, felles forståelse av scope og umiddelbar kill-path er bare en dyr måte å oppdage at agenten gjorde nøyaktig det den ble bedt om – bare på feil side av veggen.

Kilder og medier

• Primærkilde: CNBC – «How a small Israeli startup was linked to rogue AI hacks at OpenAI, Anthropic and Meta» (9. august 2026): https://www.cnbc.com/2026/08/09/israeli-startup-irregular-linked-to-ai-hacks-openai-anthropic-meta.html
• Anthropic – «Investigating three real-world incidents in our cybersecurity evaluations» (30. juli 2026): https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals
• OpenAI – «Third-party cyber evaluations involving OpenAI models» (4. august 2026): https://openai.com/index/third-party-cyber-evaluations-involving-openai-models
• OpenAI – «Responding to the next frontier of critical cyber capabilities» (Astra/Preparedness, 7. august 2026): https://openai.com/index/responding-next-frontier-critical-cyber-capabilities
• Thumbnail: OpenAI Image 2 / hogby.ai