Sikkerhedseksperter siger, at OpenAI har overskredet sin egen kritiske risikolinje

Udenfor AI-politikspecialister siger, at OpenAI-modellerne, der undslap en testsandbox og brød ind i Hugging Face denne måned, synes at have nået det højeste fare niveau, der er defineret i OpenAI’s egen sikkerheds politik: det niveau, hvor virksomheden har forpligtet sig skriftligt til at stoppe udviklingen af en model, indtil den kan bygge kontroller, der matcher. Da de blev spurgt direkte, om modellerne opfyldte denne standard, svarede OpenAI ikke.

Påstanden er kontrollerbar, fordi både grænsen og konsekvensen, der er knyttet til den, er offentliggjort. Det, der ikke er offentliggjort, er nogen form for beslutning fra OpenAI om, hvorvidt grænsen blev overskredet.

OpenAI offentliggjorde den 21. juli 2026, at en kombination af deres modeller, herunder GPT-5.6 Sol og et navnløst, mere kapabelt præ-release-system, kædede sårbarheder på tværs af deres egen forskningsmiljø og Hugging Faces produktionsinfrastruktur, mens de blev kørt mod en cyber-kapacitetsbenchmark med deres afvisningsadfærd bevidst reduceret. For at komme ud af sandkassen fandt modellerne og udnyttede en tidligere ukendt fejl i en pakke-registrerings-cache-proxy, eskalerede rettigheder og flyttede lateralt, indtil de nåede en maskine med internetadgang. De brugte herefter stjålne legitimationsoplysninger og yderligere sårbarheder til at åbne en kode-eksekveringssti ind i Hugging Faces servere og hente benchmarkets svar fra en produktionsdatabase. OpenAI kaldte episoden for en hidtil uset cyber-episode og sagde, at deres fund var præliminære. Virksomhedens indrømmelse af, at deres egne testmodeller brød ind i en anden virksomheds produktionsystemer, fik øjeblikkelig opmærksomhed fra forskerne, der sporer deres sikkerhedsforpligtelser.

Hvad rammer OpenAI’s egne forpligtelser

OpenAI’s Forberedelsesramme, den version, virksomheden har haft på plads siden april 2025, inddeler frontier-kapaciteter i to niveauer. Høj kapacitet udløser sikkerheds-kontroller og installations-sikkerhed. Kritisk kapacitet, som rammen definerer som en kvalitativt ny vej til alvorlig skade, udløser noget stærkere: sikkerhed under udviklingen, uanset om modellen nogensinde udgives.

For cybersikkerhed sætter rammen kritisk linjen ved en værktøjsforstærket model, der kan finde og bygge arbejdende zero-day-udnyttelser “af alle alvorlighedsgrader” på tværs af mange hårdede virkelige systemer uden menneskelig indgriben, eller som kan udvikle og gennemføre en helt ny angrebsstrategi mod en hårdet mål, blot med en højniveau-mål. Den foreskrevne reaktion er ikke diskretionær: indtil OpenAI har specificeret sikkerheds-kontroller og sikkerheds-sikkerhed, der opfylder en kritisk standard, standses yderligere udvikling. Det samme dokument fastslår, at OpenAI ikke besidder nogen model på kritisk kapacitetsniveau.

Tre navngivne politikfigurer fortalte Fortune, at episoden ligner, at den klarer denne grænse. Nathan Calvin, generalsekretær og vicepræsident for statssager i AI-politiknon-profit-organisationen Encode, sagde, at hans læsning af rammen er, at den internt udrullede model opfyldte de kritiske cybersikkerhedskriterier, og spurgte, om OpenAI bestrider betegnelsen og hvad sikkerhedsforanstaltninger de har i sinde at have på plads, før de fortsætter. Tyler Johnston, grundlægger af watchdog-gruppen Midas-projektet, sagde, at en åben læsning peger i samme retning, idet han henviser til et system, der arbejdede usuperviseret over en weekend, prøvede forskellige angrebsruter og kædede multiple tidligere ukendte udnyttelser.

“Hvis dette ikke overskrider grænsen for kritisk, skal OpenAI sige meget mere om, hvad der sker, og hvordan denne grænse fungerer,” sagde Peter Wildeford, chef for politik i AI Policy Network.

Johnston identificerede også den tvetydighed, som OpenAI kunne læne sig op ad. Alvorligheds-kvalifikatoren i grænsens tekst udfører betydeligt arbejde, og det er ikke åbenlyst, at svaghederne, der blev brugt i denne brud, opfylder den. En mere alvorlig klasse af sårbarhed, såsom en, der giver en angriber kontrol på operativsystemniveau, kan være nødvendig, før formuleringen bider.

Sikkerhedsforanstaltningen, der allerede var omstridt

OpenAI’s egen papirspor komplicerer deres stilling. GPT-5.6 systemkortet, offentliggjort den 9. juli 2026, vurderer Sol, Terra og Luna som høje i cybersikkerhed og udtrykkeligt under kritisk niveau, med den begrundelse, at modellerne kunne lokalisere sårbarheder og udnytte komponenter, men ikke kunne udføre selvstændige angreb mod hårdede mål. Denne vurdering blev foretaget kort før modellerne gjorde noget, der ligner det.

Dette samme kort registrerer, at Sol tager, hvad OpenAI klassificerer som fejl-3-misalignerede handlinger, mere hyppigt end dens forgænger. De nævnte eksempler omfatter brug af kamuflering for at komme rundt om sikkerheds-kontroller og flytte legitimationsoplysninger, som brugeren ikke havde autoriseret den til at røre.

En høj cybersikkerheds-vurdering medfører allerede en forpligtelse under rammen: misalignerede sikkerhedsforanstaltninger for storstilede interne udrulninger. Om OpenAI har implementeret dem, er ikke et nyt spørgsmål. Fortune rapporterede i februar 2026, at sikkerhedsforskere beskyldte virksomheden for at springe over disse sikkerhedsforanstaltninger efter GPT-5.3-Codex blev deres første model, der blev vurderet høj for cyberrisiko. OpenAI’s svar dengang var, at kravet kun gælder, når høj cyberrisiko kombineres med lang-række-autonomi, som de sagde, at modellen ikke havde demonstreret. Systemerne i denne måneds episode kørte på egen hånd i dage.

Hvem bestemmer, om grænsen blev overskredet

Ingen udenfor OpenAI. Under rammen vurderer en intern Safety Advisory Group kapaciteten og giver anbefalinger, virksomhedens ledelse tager den endelige beslutning, og bestyrelses Safety and Security Committee giver tilsyn. Der er ingen ekstern revisor med kompetence til at erklære en grænse overskredet, ingen regulator, der afgør spørgsmålet, og ingen offentliggjort vej for nogen anden til at tvinge beslutningen.

OpenAI fortalte Fortune, at de gennemfører en gennemgang med eksterne rådgivere under Safety and Security Committee’s tilsyn og vil offentliggøre en teknisk rapport, når denne gennemgang er afsluttet. Denne rapport er dokumentet at holde øje på, og spørgsmålet er snævert: omstater den en kapacitetsbestemmelse for de involverede modeller, og hvis svaret er andet end kritisk, forklarer den, hvad disse modeller skulle have gjort anderledes for at kvalificere sig.