Nadella: anta kompromittert – nødstopp midt i oppgaven

Microsoft-sjef Satya Nadella sier det rett ut: anta at frontier-modellen allerede er kompromittert. Bygg en nødstopp. Skill harness fra modellen. Ikke outsource ansvaret til laben som solgte den.

Essayet «Models as Insider Risks in the Super Intelligence Era» ble lagt ut på X 10. oktober. Det er ikke et produkt. Det er en tillitsarkitektur for agenter med tilgang til sensitive data og evne til å handle. For norske CIO, CISO og styrer er det en praktisk sjekkliste mot kontrakter som fortsatt stoler på leverandørens forsikringer.

Hva som faktisk er nytt

Nadella skiller mellom å kjøpe intelligens og å eie myndigheten over den. «We need to separate the supply of intelligence from the authority over it.» Leverandørens sikkerhetsløfter fritar ikke kunden: «A model provider’s assurances do not relieve us of that responsibility.»

Med tradisjonell programvare kunne ingeniører spore atferd til en kodebane. Med frontier-modeller, skriver han, kan vi ikke tilskrive utdata til spesifikke treningsdata eller vekter. Likevel rulles agentiske systemer ut mot «our most sensitive data» og «mission-critical actions on our behalf».

Han kaller det innsiderrisiko. Ikke fordi modellene er ondsinnede, men fordi enhver kapabel aktør med tilgang kan feile eller bli kompromittert. Arkitekturen må tåle det. Verktøyene finnes allerede i virksomheten: identitet, minste privilegium, logging, inneslutning.

Poenget er skiftet i ansvarssted. Labene har de siste ukene erkjent uønsket agentatferd i eval og intern bruk. Det hvite hus har gjort hendelsesvarsel til plikt for SI-selskaper. Nadella flytter neste krav til den som deployer: styringen skal sitte utenfor modellen, hos kunden.

Syv prinsipper, én nødstopp

Nadella rammer inn observabilitet i sju punkter.

Modellmangfold: ingen enkeltmodell skal være eneste avhengighet for et viktig utfall, eller verifisere sitt eget arbeid.

Observer alt: hver meningsfull handling skal etterlate «tamper-proof human readable evidence». Kan det ikke observeres, kan det ikke stoles på. Utfallet skal kunne gjenskapes uten at modellen attesterer for seg selv.

Verifiserbarhet: test hele systemet kontinuerlig, inkludert feil, angrep, kantsaker og endringer. Ikke bare vellykkede oppgaver.

Uavhengige kontroller: organisasjonen skal selv avgjøre hva modellen får se og hvilke handlinger den kan ta.

Uavhengig revisjon: valideringen skal være uavhengig av intelligensen som valideres. Ingen modell skal styre både atferd og beviset som brukes til å vurdere den.

Inneslutning: «We must assume a model is compromised and contain it from the start.» Nødstoppen: en autorisert person skal alltid kunne pause eller slå av en modell midt i en oppgave. Mer kapable modeller krever mer avansert inneslutning som bransjen bør standardisere.

Hendelsesvarsel: når systemene feiler eller kompromitteres, skal berørte varsles i tide. Bransjen bør dele hva som gikk galt, hvilke kontroller som sviktet, og implementasjonsdetaljer som endrer agentatferd i drift.

Han advarer mot å stable svarte bokser: modeller som tester modeller, overvåket av enda en modell, i et udefinert orkestreringslag. Chain-of-thought-åpenhet er «non-negotiable», og «Neuralese» skal ikke unnskylde ugjennomsiktig resonnering. Det er likevel ikke nok. Modellens egne forklaringer er ikke pålitelig trofaste.

Slutningen er den skarpeste linjen i teksten: det mest tillitsvekkende systemet er ikke det med modellen vi stoler mest på. Det er det som gjør at vi kan stole minst på modellen.

Hva det betyr for norske ledere

Norske virksomheter kjører Copilot, Foundry, Claude og egne agenter mot e-post, filer, ERP og kundesystemer. Nadella sier at det er deres innsiderrisiko, ikke labens. NIS2, AI-forordningen og styreansvaret peker samme vei: den behandlingsansvarlige eier konsekvensen.

Tre bruddflater er åpne nå.

Først: harness. Hvis agenten selv velger verktøy, utvider tilgang eller endrer egne rammer, sitter kontrollen i modellen. Det bryter 1970-tallsprinsippet Nadella henter frem: et program skal ikke kunne omgå mekanismene som håndhever tillatelsene. Skill modell, orkestrering og handlingsrom. Sett IAM, nett, fil- og API-scope utenfor agenten.

Deretter: spor. «If it can’t be observed, it can’t be trusted.» Logger som bare laben kan lese, eller som agenten kan overskrive, er ikke evidens. Krev tamper-resistente, menneskelesbare spor av hver handling som rører penger, identitet, produksjon eller personopplysninger. Reproduksjon uten modellens egen forklaring.

Til slutt: nødstopp. En autorisert person, med navn og vaktordning, skal kunne pause en kjøring midt i oppgaven. Ikke «restart neste time». Ikke «laben ruller tilbake». Midt i oppgaven. Det er et IAM- og runbook-krav, ikke en modellparameter.

Styret bør spørre tre ting før neste agentpilot går i produksjon. Hvem eier kill-switchen? Hvilken modell verifiserer ikke sitt eget arbeid? Hva varsles kunden om, og på hvilken SLA, når agenten handler utenfor mandat?

Kontraktene bør kreve hendelsesvarsel med implementasjonsdetaljer, rett til uavhengig audit, forbud mot at modellen endrer egne tilganger, og eksplisitt at leverandørens «assurances» ikke overfører styreansvaret. EØS-residency uten inneslutning er kosmetikk.

Nadella kunngjør ingen Microsoft-funksjon og ingen dato. Det er poenget. Dette er et krav til den som deployer, skrevet av sjefen for en av de største selgerne av KI til næringslivet. Når den personen sier at dere skal stole minst på modellen, er det styrets arkitektur, ikke labens pressemelding.

Kilder og medier

Primærkilde: Satya Nadella, «Models as Insider Risks in the Super Intelligence Era», X, 10. oktober 2026, 14:43 UTC: https://x.com/satyanadella/status/2108931348857827686

Korroborasjon: TechCrunch, «Microsoft’s Satya Nadella says AI models need an ‘emergency brake’», 10. oktober 2026, 21:47 UTC: https://techcrunch.com/2026/10/10/microsofts-satya-nadella-says-ai-models-need-an-emergency-brake/

Korroborasjon: The Verge, «Satya Nadella says we should assume all AI models are ‘compromised’», 10. oktober 2026, 22:10 UTC: https://www.theverge.com/ai-artificial-intelligence/1009337/satya-nadella-says-we-should-assume-all-ai-models-are-compromised

Thumbnail: OpenAI Image 2 / hogby.ai