Cardinal-programmet gir gratis AI‑drevet sikkerhetstesting til amerikanske forsyningsselskaper

Method Security og Palantir Technologies kunngjorde den 10. september 2026 Cardinal Program, et felles initiativ som vil tilby utvalgte amerikanske kommuner, forsyningsselskaper og operatører av kritisk infrastruktur frivillige, kontinuerlige autonome sikkerhetsvurderinger uten kostnad.

I en felles pressemelding med datolinje New York og Miami beskrev selskapene Cardinal som et initiativ for å styrke nasjonal cyberresiliens gjennom sikker, autonom red teaming. De uttalte at disse institusjonene beskytter systemene og tjenestene som er grunnlaget for hverdagslivet, og nå møter motstandere som bruker stadig mer avansert AI for å finne og utnytte sårbarheter med enestående hastighet og omfang. Cardinal er, ifølge dem, deres innsats for å tette dette gapet ved å samle autonome cybersystemer, avansert AI og ekspertoperatører til støtte for teamene som beskytter kritisk amerikansk infrastruktur.

Den programmets offisielle side oppgir at oppdraget er å utruste nasjonal kritisk infrastruktur og kommunale organisasjoner med kontinuerlig, sikker, motstanderinformert herdingveiledning for å ligge foran cybermotstandere. Siden beskriver disse institusjonene som ofte underbemannet på sikkerhetsområdet og presenterer Cardinal som en teknisk koalisjon av amerikanske teknologi‑ og sikkerhetsselskaper som leverer et felles tilbud på tvers av markedet.

“Angripere bruker disse evnene allerede nå,” skrev selskapene i den felles kunngjøringen. “Forsvarere bør ikke måtte vente med å gjøre det samme.”

Hvordan vurderingene vil bli gjennomført

I programmet vil Methods plattform og sikkerhetsoperatører kartlegge, undersøke og trygt teste de deltakende organisasjonenes internett‑vendte ressurser for å identifisere angrepsveier. Frontier‑ og open‑weight‑modeller vil drive vurderingene, som selskapene sier er ment å hjelpe forsvarere med å forstå hvordan angripere med samme evner kan nærme seg deres systemer.

Palantir Foundry, AIP og Ontology for Cybersecurity vil tilby sikker infrastruktur for at Method kan integrere og levere funn samt støtte samarbeid. I følge kunngjøringen gjør AIP det mulig å validere repeterbare, automatiserte vurderingsarbeidsflyter for disse oppdragene med høy konsekvens, mens Ontology setter funn i kontekst i forhold til reell oppdragsinnvirkning for å fokusere respons‑handlinger.

Vurderingene vil etterligne ekte motstanders atferd innenfor omfang og engasjementsregler definert av deltakerne, med sikkerhetstiltak og menneskelig tilsyn for å forhindre forstyrrelser, ifølge selskapene. Sikkerhetseksperter vil gjennomgå funnene og gi motstanderinformert herdingveiledning.

Kvalifikasjon, kontroll og påmelding

Programnettsiden oppgir at enhver amerikansk kritisk infrastrukturorganisasjon innen energi, transport, kommunikasjon, folkehelse eller sykehusdrift, samt enhver kommune ansvarlig for vann eller sikkerhet, kvalifiserer for gratis vurderinger.

Ifølge siden består gratisnivået av semi‑frekvente autonome red‑team‑vurderinger av en organisasjons eksterne angrepsflate med direkte levert strategisk herdingveiledning, samt muligheten til å ha månedlige samtaler med en sikkerhetsekspert for å gjennomgå veiledningen. Resultatet leveres som motstanderinformert herdingveiledning, for eksempel justering av en nettverkskontroll eller fjerning av permissiv tilgang, med tilhørende bevis.

Hver deltakende organisasjon fastsetter sitt eget mål‑omfang av tillatte og forbudte ressurser og kan definere fininnstilte engasjementsregler som dekker hvilke handlinger som kan utføres, når de kan utføres, og med hvilket nivå av menneskelig godkjenning. Omfang og regler kan endres etter påmelding via en portal som inneholder alle deltakerens innstillinger og resultater. Siden oppgir at deltakernes funn er tilgangskontrollert og at detaljer aldri gjøres offentlige utover en support‑ingeniør.

Påmelding starter med et skjema, hvoretter en Method‑ingeniør vurderer kvalifikasjonen. Kvalifiserte deltakere signerer deretter en red‑team‑avtale før de blir tatt inn i programmet.

Utover gratisnivået kan større foretak engasjere programmets driftspartnere direkte for dedikerte betalte kommersielle programmer bygget på samme modell, oppgir siden. Offentlige etater kan bruke Cardinal som en teknisk plattform for mer omfattende sikkerhetsinitiativer, for eksempel å levere et kontinuerlig vurderingsprogram for sine egne systemer eller autoriserte tredjeparter, bygget på føderal finansiering eller en annen avtalt økonomisk modell. Selskapene sa at målet er å levere evner til forsvarere nå, samtidig som de demonstrerer en modell som kan skaleres, og at de håper Cardinal kan gi offentlige etater et pålitelig teknisk verktøy for å rette disse evnene mot systemer innenfor deres mandat. Nasjonal cyber‑resiliens, la de til, vil kreve raskt samarbeid mellom næringsliv og myndigheter.

Selskapene bak programmet

Method beskriver seg selv som en byggherre av autonome cybersystemer for den amerikanske regjeringen og Fortune‑500, og selskapets nettside oppgir et oppdrag om å levere cyber‑resiliens til den amerikanske regjeringen og kritiske virksomheter. Siden sier at Method utvikler helhetlige sikkerhetsprodukter for å utruste cyberoperatører med et avgjørende fortrinn, og lister to: Bastion, som kartlegger, validerer og kontrollerer hele spekteret av ressurser og mulige angrepsveier i konteksten av en kundes virksomhet, og Reaper, som planlegger og gjennomfører red‑team‑operasjoner og motstander‑emuleringsøvelser på autonome og programvaredefinerte kommandokontroll‑infrastrukturer. Method nevner OpenAI, Palantir, Andreessen Horowitz, General Catalyst og Blackstone som partnere.

Kunngjøringen inviterer organisasjoner som beskytter kritiske systemer eller offentlige tjenester til å be om en sikkerhetsvurdering via Cardinal‑programmets nettside. Den oppgir Lisa Gordon som mediekontakt for Palantir og MR Snell som kontaktperson for Method Security.