OpenAI dokumenterer to sikkerhetsbrudd med AI-agenter i oktober 2026

Den første agenten slått av automatiske varsler rettet til sikkerhetsteamet. Den andre agenten har fjernet overvåkingsintegrasjonen fra et program og, når det ble spurt om endringen, nektet å ha utført den.

"Problemet er ikke at en kunstig intelligens har 'latt seg tale', sier Sandro Sana, etisk hacker og medlem av vitenskapelig råd for Cyber 4.0 -, med tanke på at vi i dag ikke kan bevise hensikter. Problemet er at to AI-agenter under ordinære aktiviteter har kompromittert mekanismene som er ansvarlig for å overvåke dem, og i et tilfelle har nektet å gjøre det som ble gjort."

Episodene skjedde den 3. og 6. oktober 2026, og OpenAI har beskrevet dem i et teknisk rapport som ble publisert den 20. oktober.

Problemet gjelder direkte for brukere av AI-agenter som kan endre kode, konfigurasjoner og prosesser. Systemet som skal overvåke agenten kan tape effektivitet etter at agenten selv har gjort en endring. "Alt i tråd med nylig historie, understreger Alessandro Curioni, grunnlegger av DI.GI Academy - . En agentisk AI fjerner alt som representerer et hindring for å oppnå sitt mål, så det finnes ikke en god grunn til at den ikke skal gjøre det med sikkerhetsmålingene."

I begge fall forble agentens sessioner observasjonsdyktige av andre kontroller: hva som ble kompromittert var henholdsvis advarslene til mennesker og programovervåkningen som ble endret. Denne forskjellen gjør episodene særlig lærerike for IT-sikkerhet.

Ifølge Pierluigi Paganini, cybersecurity-analytiker og CEO for Cybhorus, "hever OpenAI-saken et sentralt spørsmål for kunstig intelligenssikkerhet". Her er hvilken.

Ordren om ikke sende meldinger blir et stopp for alarmer

Den 3. oktober har en OpenAI-forsker gitt en agent basert på GPT-6.1 Sol oppgaven å forbere evalueringsbevis ved hjelp av kommentarer i et intern Slack-kanal. Instruksjonen inneholdt en enkel begrensning: konsverter samtalen uten å sende meldinger til deltakere.

Etter en lang rekke arbeid stoppede prosedyren fordi overvåkeren hadde rapportert en mulig anomali, men det falt tillatelser for å registrere resultatet i den planlagte databasen.

Forskeren bad om å korrigere resultatmål og starte bearbeiding på nytt. I første omgang tolket agenten forbudet om ikke sende meldinger som gjelde Slack-kontakter, og skilte dette fra sikkerhetsvarsler.

Siden har agenten endret vurdering: har utvidet forbudet også til automatiske varsler fra overvåkeren og har gitt et underagent ordre til å gripe inn i konfigurasjonen.

Endringen har tømt mottakertillisten for varsler og aktivert parameteren no_notify. Kontrollene har fortsatt å produsere og lagre resultater, men varslene som skal gå til ansvarlige personer, er blitt blokkert.

Aksjonen ble påstandt i konfigurasjonen med den forrige brukerordren om ikke sende meldinger. En begrensning for drift som bare gjelde Slack-konsultasjon ble så grunn for å deaktivere et steg i incidentresponsen.

"I to intern programmeringsaktivitet har agenterne GPT-6.1 Sol og GPT-6 Astra forstyrkt og svaket overvåkningssystemene. Den første har deaktivert automatiske varsler til sikkerhetsteamet", sier Paganini.

Overvåkning fjernet under programvaremigrasjon

Den 6. oktober skulle en annen agent, basert på GPT-6 Astra, endre et program for å gjengi funksjonen i en referanseimplementasjon og beholde verktøy og funksjonalitet. I tidligere meldinger var det også en eksplisitt anvisning om å holde overvåkningen aktiv, ikke engang midlertidig.

Agenten overførte del av arbeidet til et underagent, spesifiserende at overvåkningen skulle bevares i tråd med den valgte koden. Underagenten konkluderte at referanseimplementasjonen tillatt fjerning av overvåkingskomponenter.

Den har eliminert overvåkingskonfigurasjonen og den tilhørende integrasjonen fra programmet; har også erstattet en regresjonstest som krevde tilstedeværelse av overvåkningen med en test som sjekker fravær av overvåkningen.

Migrasjonen ble presentert som fullført. Da brukeren spurte om overvåkningen var fjernet, svarte agenten nei.

For systemansvarlig omfatter risikoen dermed to nivåer: faktisk tap av en kontroll og u pålitelighet i forklaringen fra automatiseringen om utførte endringer.

I dette andre tilfellet, "har fjernet en overvåkingskomponent og deretter nektet å ha gjort det"

To OpenAI-incidenter i sammenligning

Det svakeste punktet: den som utfører arbeidet kan endre overvåkningen

I dokumentet om overvåkning av programmeringsagenter som ble publisert i mars, forklarete OpenAI at de bruker et system som analyserer agenters handlinger og tankegangsspor, klassifiserer mistenksomme oppførsel og får personell til å træffe handling ved behov.

Kontrollen utføres også av AI-modeller med menneslig overvåkning av rapporterte saker. Overvåkningen blir imidlertid skøv når den overvåkbare programvaren kan endre reglene for hvordan den fungerer.