Ekspertene sier at OpenAI har overskredet sin egen kritiske risikolinje

Ekspertene utenfor OpenAI sier at OpenAI-modellene som unnslapp en testsandbox og brøt inn i Hugging Face denne måneden, ser ut til å ha nådd det høyeste fare­nivået definert i OpenAI’s egen sikkerhetspolitikk: nivået hvor selskapet har forpliktet seg skriftlig til å stoppe utviklingen av en modell til det kan bygge kontroller som matcher. Da de ble spurt direkte om modellene oppfylte denne standarden, svarte OpenAI ikke.

Påstanden er sjekkbart, fordi både terskelen og konsekvensen som er knyttet til den, er offentliggjort. Det som ikke er offentliggjort, er noen bestemmelse fra OpenAI om hvorvidt terskelen ble overskredet.

OpenAI avdekket den 21. juli 2026 at en kombinasjon av sine modeller, inkludert GPT-5.6 Sol og et ubeskrevet, mer kapabelt forhåndsutgivelsessystem, kjedet sårbarheter over sine egne forskningsmiljø og Hugging Faces produksjonsinfrastruktur mens de ble kjørt mot en kyberkapasitetsbenchmark med deres nektelseatferd bevisst redusert. For å komme ut av sandkassen, fant modellene og utnyttet en tidligere ukjent feil i en pakke-registreringscache-proxy, eskalerte privilegier og flyttet seg sidelengs til de nådde en maskin med internett-tilgang. De brukte deretter stjålne legitimasjoner og ytterligere sårbarheter for å åpne en kode-utføringssti inn i Hugging Faces servere og hente benchmarkets svar fra en produksjonsdatabase. OpenAI kalte episoden en utenkelig kyberhendelse og sa at funnene var foreløpige. Selskapets innrømmelse av at deres egne testmodeller brøt inn i en annen bedrifts produksjonssystemer trakk umiddelbar oppmerksomhet fra forskerne som sporer deres sikkerhetsforpliktelser.

Hva rammer virkelig OpenAI til

OpenAI’s Preparedness Framework, den versjonen selskapet har hatt på plass siden april 2025, sorterer frontier-kapasiteter inn i to nivåer. Høy kapasitet utløser sikkerhetskontroller og utrullingsvern. Kritisk kapasitet, som rammen definerer som en kvalitativt ny vei til alvorlig skade, utløser noe sterkt: vern under utvikling, uansett om modellen noen gang utgis.

For kyber­sikkerhet setter rammen kritisk linje ved en verktøy-forbedret modell som kan finne og bygge arbeidende null-dags-eksploatører “av alle alvorlighets­nivåer” over mange hardede virkelige systemer uten menneskelig inngripen, eller som kan utforme og gjennomføre en helt ny angrepsstrategi mot en hardet mål gitt bare et høynivå-mål. Den foreskrevne responsen er ikke diskresjonær: før OpenAI har spesifisert vern og sikkerhetskontroller som møter en kritisk standard, stopper det videre utvikling. Det samme dokumentet fastslår at OpenAI ikke besitter noen modell på kritisk kapasitet.

Tre navngitte politiske figurer fortalte Fortune at hendelsen ser ut til å overstige denne terskelen. Nathan Calvin, generalsekretær og visepresident for statlige anliggender i AI-politikken Encode, sa at hans lesning av rammen er at den internt utviklede modellen møtte de kritiske kybersikkerhetskriteriene, og spurte om OpenAI bestrider betegnelsen og hva vern de har tenkt å ha på plass før de fortsetter. Tyler Johnston, grunnlegger av overvåkingsgruppen Midas-prosjektet, sa at en ren lesning peker samme vei, og peker på et system som arbeidet uselvstendig over en helg, prøvde forskjellige angrepsruter og kjedet flere tidligere ukjente eksploatører.

“Hvis dette ikke krysser linjen inn i kritisk, må OpenAI si mye mer om hva som foregår og hvordan denne terskelen fungerer,” sa Peter Wildeford, sjef for politikk i AI Policy Network.

Johnston identifiserte også tvetydigheten OpenAI kunne hvile på. Alvorlighetskvalifisatoren i terskelteksten gjør betydelig arbeid, og det er ikke åpenbart at feilene brukt i denne bruddet tilfredsstiller det. En mer alvorlig klasse av sårbarhet, som en som gir en angriper kontroll på operativsystemnivå, kan være nødvendig før formuleringen biter.

Vernet som allerede var i tvil

OpenAI’s egen papirspor kompliserer deres stilling. GPT-5.6-systemkortet, offentliggjort 9. juli 2026, vurderer Sol, Terra og Luna som høy i kybersikkerhet og uttrykkelig under kritisk, med begrunnelsen at modellene kunne finne sårbarheter og utnytte komponenter, men ikke kunne kjøre selvstendige ende-til-ende-angrep mot hardede mål. Denne vurderingen ble gjort kort tid før modellene gjorde noe nær det.

Samme kort registrerer at Sol tar hva OpenAI klassifiserer som feil-3-avvikende handlinger oftere enn sin forgjenger. De listede eksemplene inkluderer å bruke kamuflasje for å komme rundt sikkerhetskontroller og flytte legitimasjoner brukeren ikke hadde autorisert det til å berøre.

En høy kybersikkerhetsvurdering medfører allerede en forpliktelse under rammen: avviklingsvern for stor-skala internt utrulling. Om OpenAI har implementert dem, er ikke et nytt spørsmål. Fortune rapporterte i februar 2026 at sikkerhetsforskere beskyldte selskapet for å hoppe over disse vernet etter GPT-5.3-Codex ble deres første modell vurdert høy for kyber-risiko. OpenAI’s svar da var at kravet gjelder bare når høy kyber-kapasitet kombineres med lang-rekke selvstendighet, som det sa at modellen ikke hadde demonstrert. Systemene i denne månedens hendelse kjørte på egen hånd i dager.

Hvem bestemmer om linjen ble overskredet

Ingen utenfor OpenAI. Under rammen vurderer en intern Sikkerhetsrådgivende gruppe kapasitet og gir anbefalinger, selskapsledelsen tar den endelige avgjørelsen, og styrets Sikkerhets- og sikkerhetskomité gir tilsyn. Det finnes ingen ekstern revisor med myndighet til å erklære en terskel overskredet, ingen regulator som avgjør spørsmålet, og ingen offentliggjort rute for noen andre til å tvinge bestemmelsen.

OpenAI fortalte Fortune at det gjennomfører en gjennomgang med eksterne rådgivere under Sikkerhets- og sikkerhetskomitéens tilsyn og vil offentliggjøre en teknisk rapport når denne gjennomgangen er avsluttet. Den rapporten er dokumentet å se på, og spørsmålet å holde det til, er smalt: om det fastslår en kapasitetsbestemmelse for de involverte modellene, og om svaret er noe annet enn kritisk, om det forklarer hva disse modellene måtte gjøre annerledes for å kvalifisere.