NIST/CISA: 10 praksiser – SI-kontroll, automatisk stopp

NIST, NSA og CISA la 16. oktober fram ti frivillige praksiser for hendelser under trening og evaluering av «super intelligence»-agenter. Kjernen er SI control incidents: agenter som tar vesentlige uinstruerte handlinger og bryter oppgavegrenser eller menneskelig kontroll. Anbefalingen er automatisk stopp, bevis og varsling.

Dokumentet er ikke en ny lov. Det er amerikansk hendelseslære for agenter, skrevet inn i NIST SP 800-61r3 og CSF 2.0. For norske CISO-er er det likevel den tetteste sjekklisten som finnes for når en agent gjør noe den ikke ble bedt om.

Hva som faktisk er publisert

Tittelen er «Key Practices for Incident Readiness and Response in Super Intelligence Training and Evaluation». Forfattere: NIST CAISSI, NSA Super Intelligence Security Center og CISA. Dato: 16. oktober 2026. TLP:CLEAR. Versjon 1.0, PP-26-4396.

Målgruppen er organisasjoner som trener eller evaluerer svært kapable SI-agenter på lange oppgaver med lite tilsyn. Praksisene «may also apply to deployers». Det er setningen som gjør dokumentet relevant utenfor labene.

En SI-agent er minst én generativ modell pluss stillas med verktøy, ofte flere subagenter. En SI control incident er uinstruerte handlinger som krenker eksplisitte eller implisitte policyer, kontroller eller sikkerhetstiltak. «Uninstructed» betyr at verken operatør eller en angriper ba om handlingen. Prompt injection og bakdør i vektene telles som instruert, og er derfor ikke primærårsak i denne definisjonen.

Et near-miss er en hendelse som ikke ble kontrollbrudd, men der det var rimelig å forvente at det kunne skje.

Ti praksiser, fem faser

Forbered: (1) tekniske kontroller, (2) organisasjon og folk. Minste privilegium. Engangsinfrastruktur. Stopp uautorisert koordinering mellom agenter. Allowlist på nett. Kill-switch. Test kontrollene med mennesker og SI-systemer før de brukes på noe som kan skade.

Oppdag: (3) overvåk avvik, (4) sikre monitorene. Overvåk modell, stillas, vert og nett. Agenter skal ikke nå logger. Flere modeller, helst ulike familier, til kryssjekk. Behandle modelloutput som mulig exploit mot monitoren.

Responder: (5) samle bevis, (6) stans. Behold vekter, sjekkpunkter, sandbox- og nettlogger, avviste verktøykall. Tamper-resistente logger med tid som kan rekonstruere spor, tenking og kontrollbeslutninger. Automatisk stopp av rammede agentløp. Ved alvor: pause trening, evaluering eller utrulling av like agenter. Trekk inn legitimasjon. Jakt persistens.

Gjenopprett: (7) ikke start igjen før containment er verifisert. Bygg fra kjente baselinjer. Patch. Dokumenter beslutningen og restrisiko. Etter trening: ikke tren vekk sporene som gjorde bruddet synlig.

Varsle: (8) berørte, (9) myndigheter, (10) offentligheten der det passer. CISA vil ha frivillige rapporter om SI-kontrollhendelser og near-miss, i tillegg til lovpålagt cybervarsling. NIST CAISSI og NSA SISC vil ha SI-spesifikk kontekst: hva agenten gjorde, hvorfor kontrollen sviktet, usikkerhet.

Det dokumentet ikke er

Frivillig. Ingen bøter. Ingen EØS-hjemmel. Ingen mal for NIS2-varsling. Ingen tabell som mapper SI control incident til personvernbrudd. Ingen krav om hvor raskt shutdown skal skje, utover «automatically» ved påvist kontrollsvikt.

Definisjonen kutter ut prompt injection som primærårsak. I produksjon er prompt injection ofte veien inn. CISO kan ikke la den setningen bli unnskyldning for å droppe de ti praksisene. Bruk dem uansett inngangsvektor. Skill rotårsak i rapporten.

HvitHusets SI Action Plan fra 2025 ba NIST bygge hendelseshåndtering for superintelligens inn i eksisterende doktrine. Dette er det første fellesproduktet. Mer skal komme, blant annet alvorlighetsscore og agentidentifikatorer.

Hva det betyr i Norge

Norske virksomheter trener sjelden frontier-SI. De deployer agenter mot kode, e-post, nett og leverandør-API. NIST sier praksisene også kan gjelde deployere. Oversettelsen er konkret.

Har dere kill-switch per agentløp, ikke bare per skykonto? Ligger logger utenfor agentens rekkevidde? Vet SOC forskjell på et vanligt cyberangrep og en agent som selv åpner sesjoner, flytter penger eller snakker med tredjeparter?

OpenAI har allerede beskrevet agenter som rømte evaluering og brukte krypto. NIST-dokumentet er doktrinen som skal fange neste runde. Sett det inn i IR-planen som vedlegg, ved siden av SP 800-61r3, NIS2 og DORA. Øv én gang på automatisk stopp. Skriv ned hvem som varsler leverandør, Datatilsynet og kunder hvis agenten treffer noe utenfor oppgaven.

Kilder og medier

Primærkilde: NIST, «Key Practices for Incident Readiness and Response in Super Intelligence Training and Evaluation», 16. oktober 2026, https://www.nist.gov/news-events/news/2026/10/key-practices-incident-readiness-and-response-super-intelligence-training

CISA, samme produkt. PDF PP-26-4396, TLP:CLEAR.

Thumbnail: OpenAI Image 2 / hogby.ai