AI‑agenter er klare til å handle. De fleste selskaper er ikke klare til å la dem gjøre det.

I mesteparten av den generative AI‑æraen har vi fokusert på hva modeller sier og hva vi legger inn i dem. Vi inspiserer prompt, filtrerer svar, utfører red‑team‑tester på modeller og bygger kontroller rundt innganger og utganger. Disse beskyttelsene er fortsatt viktige, men de ble designet for en verden der AI primært genererte noe for et menneske å konsumere.

Agenter endrer den ligningen. De konsumerer eller genererer ikke bare informasjon. De handler.

En agent kan utføre verktøy, påkalle underagenter, samarbeide med andre agenter, kalle API‑er, få tilgang til data, bruke legitimasjon, kontakte MCP‑servere, generere og kjøre kode, og ta en rekke beslutninger autonomt i jakten på et mål. En ubøyelig jakt. Når det skjer, er ikke det sentrale spørsmålet lenger bare om modellen produserte et trygt svar. Det er om handlingene den utfører er trygge å gjennomføre.

Nylige avsløringer fra OpenAI gjør den distinksjonen stadig viktigere. OpenAI har begynt systematisk rapportere uventet eller bekymringsfull modellatferd, mens deres bredere sikkerhetsarbeid i økende grad adresserer risikoene som oppstår når modeller får større autonomi og tilgang til verktøy.

Lærdommen er ikke at agenter er iboende usikre. Det er at sikkerhetsgrensen har flyttet seg.

Agentbaserte systemer krever en annen driftsmodell

Agentbasert AI er ikke bare en annen applikasjonsarkitektur. Programvaren selv bestemmer i økende grad hvordan arbeidet utføres.

En agent kan møte et hinder, tolke hva som skjedde og velge en annen vei. Den kan kombinere verktøy på måter som ikke var eksplisitt designet på forhånd. Den kan generere kode og kjøre den som en del av samme arbeidsflyt. Sekvensen av handlinger kan endre seg hver gang agenten kjører.

Samtidig vokser befolkningen som lager denne programvaren dramatisk. Som vi har skrevet om fremveksten av citizen‑utvikleren, gjør AI folk som aldri har sett på seg selv som utviklere til programvareprodusenter. En markedsfører, finansanalytiker eller driftsleder kan nå beskrive hva de ønsker og lage en agent som kan samhandle med ekte forretningssystemer.

Det er en ekstraordinær utvidelse av hvem som kan bygge programvare og hva den programvaren kan gjøre. Det betyr også at organisasjoner vil ha langt mer autonom programvare som opererer på langt flere deler av virksomheten.

Svaret kan ikke bare være å bruke gårsdagens kontroller i dette nye miljøet. Hvis foretak ikke kan trygt drive disse systemene, vil alternativet være å begrense dem og til slutt bremse de produktivitetsgevinster de prøver å oppnå.

Kontroll må eksistere der agenter handler

Etter hvert som AI blir mer autonom, skifter utfordringen fra å kontrollere hva som går inn i en modell til å kontrollere hva som skjer når beslutningene blir handlinger.

En agent kan starte med en godkjent bruker, en akseptabel prompt, legitime legitimasjoner og autorisert tilgang til et verktøy. Ingen av disse faktorene garanterer at hver påfølgende handling bør utføres.

Dette er hvor kjøretid blir kritisk. Organisasjoner må forstå ikke bare hvem agenten er, men stille spørsmål om hva den gjør akkurat nå:

• Hvilke verktøy den påkaller,
• Hvilke ressurser den får tilgang til, hvilken kode den prøver å kjøre, 
• Hvilke underagenter og andre agentkommunikasjoner som skjer,
• Hva som skjedde umiddelbart før den handlingen og om atferden fortsatt holder seg innen akseptable grenser,
• Hva agenten gjør under panseret i kjøretiden.

Og når den ikke gjør det, trenger systemet evnen til å gripe inn i sanntid før utførelse.

Dette er en viktig distinksjon. Observabilitet forteller deg hva som skjedde. Kjøretidskontroll gir deg muligheten til å inneholde agentens utførelseslag.

Dette blir spesielt viktig fordi agentisk atferd både er ikke‑deterministisk og multidimensjonal.. En blokkert handling vil få en agent til å prøve en annen tilnærming mot sitt mål. Et tilsynelatende harmløst verktøykall kan bli risikabelt på grunn av hva som kom før. Å bare observere eller «oppdage og svare» er for sent i spillet til faktisk å kontrollere agentens tilgang og utførelse.  

Kjøretiden må være inline og synkron for å kunne holde tritt med AI‑hastigheten.  Den grunnleggende utfordringen med å omfavne slike tilnærminger hviler på tenkning fra før‑AI‑æraen som baserer seg på en lengre analyse‑ og deteksjonsmetodikk.  Disse prinsippene gjelder ikke lenger i dagens verden..

Kjøretidssikkerhet krever kontekst, ikke bare kontroller

Det er en tendens til å svare på fremvoksende AI‑risiko ved å redusere autonomi: gi agenter færre tillatelser, kreve menneskelig godkjenning oftere eller begrense miljøene de opererer i. Slike kontroller kan noen ganger være hensiktsmessige, spesielt for handlinger med høy risiko.

Men de kan ikke være den langsiktige driftsmodellen.

Hvis et menneske må godkjenne hver meningsfull beslutning, har vi fjernet mye av verdien til en autonom agent. Ved å stole på strenge menneske‑i‑sløyfen‑interaksjoner har vi forvandlet noen av de mest talentfulle individene til «knappetrykkere». Dette påvirker direkte evnen til å forstå omfanget og avhengighetene i kodebasen agentorganisasjoner bygger på.

Det økonomiske løftet med agentisk AI kommer nettopp fra å la programvare utføre meningsfullt arbeid uavhengig og kontinuerlig – 24/7. Målet bør derfor ikke være å eliminere autonomi, men å gjøre større autonomi trygg å bruke.

Det krever uavhengige kontroller utenfor agentens egen resonneringsprosess. Anthropic sin forskning på agentisk misjustering, utført i bevisst konstruerte simuleringer, illustrerer hvorfor dette er viktig. Etter hvert som systemer blir mer autonome, kan deres atferd avvike fra det operatørene forventer, selv når det opprinnelige målet virker klart.

Den praktiske implikasjonen er enkel: organisasjoner kan ikke stole utelukkende på å forstå hva en agent ble bedt om å gjøre. De må forstå og kontrollere hva den faktisk gjør.

Agenten er ikke lenger den vanskelige delen

Bransjen har brukt enorm energi på å gjøre agenter mer kapable. Vi nærmer oss raskt punktet hvor kapasitet ikke lenger er den primære begrensningen for bedriftsadopsjon.

Begrensningen er kontroll.

Etter hvert som agenter blir mer autonome, øker konsekvensene av handlingene deres – og kontroller designet for forutsigbar programvare blir mindre effektive. Bedrifter trenger kontinuerlig innsikt i hva agenter gjør, kontekst for å forstå hvorfor handlingene er viktige, og muligheten til å gripe inn uten å sette et menneske i midten av hver beslutning.

Det endrer hva det betyr å drive programvare.

• Utviklere må forstå hvordan agenter faktisk oppfører seg, ikke bare hvordan de er designet for å oppføre seg.
• Plattform‑ og sikkerhetsteam må etablere grenser som forblir håndhevbare når agenter opererer på tvers av systemer og verktøy.
• Bedriftsledere trenger tillit til at større autonomi ikke betyr å gi fra seg kontroll.

Dette er fundamentalt annerledes enn å sikre en annen applikasjon eller styre en annen modell. Vi introduserer autonome aktører i bedriftsmiljøer: systemer som kan resonere, ta beslutninger og handle. Hvis organisasjoner ikke kan se og kontrollere disse handlingene i sanntid, vil de etter hvert måtte begrense hva agenter kan gjøre, noe som reduserer mye av verdien autonomi skulle skape.

Svaret er ikke å anta at vi kan forhindre hver dårlig beslutning. Etter hvert som systemer blir mer autonome og ikke‑deterministiske, blir det stadig vanskeligere å garantere dette.

Målet er å sikre at en dårlig eller destruktiv handling ikke fører til et negativt resultat.

Dette krever et nytt operasjonelt lag rundt agenter: ett som kontinuerlig kan observere atferd, forstå handlinger i kontekst, håndheve grenser gjennom hele agentens kjøretidsstabel og gripe inn før en utilsiktet eller uakseptabel handling blir et irreversibelt utfall.

Den neste fasen av bedrifts‑AI vil ikke bare defineres av hvor kapable agenter blir. Den vil defineres av hvor mye autonomi organisasjoner trygt kan gi dem.