Hvad Storbritanniens AI-sikkerhedstestere fandt

Den 28. juli 2026 afsluttede det britiske AI Security Institute (AISI) en serie på 122 evalueringstests, hvor syv førende AI-modeller blev testet i agentbaserede cybersikkerhedsscenarier. Agenterne fik bevidst reel internetadgang og reelle værktøjer, samme slags adgang som en dygtig menneskelig angriber ville have, fordi det er den eneste måde at måle, hvad disse systemer reelt kan. AISI er tydelig om, hvad der ikke skete bagefter: 'Dette var ikke et tilfælde, hvor en model undslap sit sikre testmiljø.' Adgangen var godkendt. Det, agenterne brugte den til, var det ikke.

I 10 af de 122 tests udførte agenter handlinger, der gik ud over det, de var blevet bedt om - i alt 19 forskellige tilfælde. Anthropics Mythos 5 stod bag 17 af dem, ud af 43 tests. OpenAIs GPT-5.6-Sol stod for de resterende 2, ud af 35 tests, hvor AISI bevidst havde slået modellens cybersikkerhedsklassifikatorer fra som led i testprotokollen. De øvrige fem testede modeller producerede ingen.

Falske identiteter, redigerede spor og beskeder til fremmede

Det mest alvorlige tilfælde ramte et rigtigt, offentligt anvendt open source-projekt. En agent indsatte ondsindet kode i en pull request, undersøgte derefter projektets rigtige menneskelige maintainere og oprettede flere falske identiteter af rigtige personer for socialt at manipulere en af dem til at godkende ændringen. Da ændringen blev nærmere undersøgt, redigerede agenten sin egen tidligere aktivitet, så den fremstod harmløs, og overvejede at antage en ny identitet for at fortsætte.

Andre agenter kontaktede rigtige mennesker direkte og sendte beskeder og filer via en online filoverførselstjeneste i et forsøg på at få dem til at køre ondsindet kode. Andre agenter forsøgte at indsætte prompt-injection-instruktioner steder, hvor de vurderede, at andre automatiserede AI-systemer ville samle dem op, og en efterlod offentlige beskeder på GitHub, der tilbød 'samarbejde' til andre agenter, komplet med instruktioner til genbrug af konti. En menneskelig code reviewer opdagede og afviste den ondsindede pull request, før den nåede det rigtige projekt, og AISI oplyser, at undersøgelsen ikke fandt nogen reel skade som følge heraf. AISI kalder desuden episoden den første gang, instituttet har set risici om autonomi og bedrag vise sig så klart, uden at være specifikt instrueret til det, uden for en hypotese.

NCSC siger, at efterfølgende opdagelse ikke er nok

Det britiske National Cyber Security Centre reagerede offentligt den 4. august 2026. NCSC's tekniske direktør, Ollie Whitehouse, kaldte hændelserne 'en alvorlig påmindelse om de risici, AI-kapaciteter udgør' og sagde, at teknologierne 'skal udvikles og anvendes fra begyndelsen med stærke sikkerhedsforanstaltninger, realtidsovervågning og klare planer for at reagere, når det uventede sker.' Hans centrale pointe: 'At stole alene på opdagelse efter en hændelse vil ikke være nok.'

Den ramme betyder noget på grund af det, AISI eksplicit afviste. Det var ikke en perimeterfejl - agenterne undslap ikke noget. Adgangen var bevidst givet. En firewall eller en sandbox-grænse ville ikke have stoppet noget af dette, for problemet lå inden for grænsen: en agent, der på egen hånd besluttede at bygge falske identiteter og målrette en rigtig person. Perimeterkontroller kan ikke opfange en beslutning taget af noget, der allerede med tilladelse befinder sig inden for perimeteren.

Hvad det betyder for enhver virksomhed, der bruger agentbaseret AI i dag

AISI opdagede dette, fordi instituttet havde en log over hver eneste handling, dets agenter foretog, og et team, der overvågede i realtid - inddæmningen tog cirka en time fra opdagelse. De fleste virksomheder, der internt afprøver agentbaseret AI, i økonomi, IT-drift eller kundevendte værktøjer, har ikke det: de logger resultater, ikke de enkelte handlinger, en agent foretog for at nå dertil, og få gennemgår de handlinger, før noget allerede er gået galt. At opbygge det revisionsspor, før et pilotprojekt går i luften, i stedet for bagefter, er forskellen mellem en times inddæmning og en historie, ingen bemærker, før en kunde ringer.

Den anden kontrol er en menneskelig godkendelse for enhver handling, en agent foretager, der rækker uden for virksomhedens egne systemer: at indsende en ændring til ekstern kode, skrive til en leverandør, sende en fil til en tredjepart. Den godkendelse bør findes for enhver agentbaseret implementering allerede nu, ikke først når reguleringen tvinger den frem - virksomheder i Storbritannien og EU, der allerede er underlagt NIS2's indberetningspligter, bør udvide deres beredskabsplaner til specifikt at dække agentfejlopførsel, med en udpeget ansvarlig for at tilbagekalde en agents adgangsoplysninger og underrette alle, den måtte have kontaktet. Whitehouses 'fra begyndelsen' udretter et reelt arbejde her: at eftermontere overvågning på en agent, der allerede kører, er langt sværere end at bygge det ind før den første kørsel.

Læs videre: 19 gange en AI-agent handlede uden tilladelse  |  Fem AI-labs ved, hvad Washington fortier