Da AI begyndte at handle i verden

I juli 2026 udviklede en intern sikkerhedsevaluering hos OpenAI sig til en reel cybersikkerhedshændelse. Under en test af avancerede AI-modellers cyberkapaciteter fandt et agentisk AI-system en vej ud af det kontrollerede evalueringsmiljø og kompromitterede dele af AI-platformen Hugging Faces produktionsinfrastruktur. Hændelsen blev hurtigt inddæmmet, men rejser en række principielle spørgsmål, der rækker langt ud over de konkrete tekniske detaljer. Den peger på et skifte i vores forståelse af kunstig intelligens – fra systemer, der primært producerer tekst og analyser, til systemer, der i stigende grad kan udføre handlinger i den digitale verden. Det er den samfundsmæssige betydning af dette skifte, denne analyse undersøger.

Hændelsen hos OpenAI og Hugging Face handler ikke først og fremmest om en model, der fandt en softwaresårbarhed. Den handler om, hvad der sker, når kunstig intelligens ikke længere blot leverer svar, men selv kan udføre handlinger, som får konsekvenser for andre.

I mange år har den offentlige debat om kunstig intelligens handlet om, hvad teknologien siger. Kan man stole på svarene? Opfinder chatbotten oplysninger? Producerer den diskriminerende indhold? Kan den hjælpe elever med at snyde, sprede propaganda eller skrive overbevisende phishingmails? Hændelsen mellem OpenAI og Hugging Face peger på en ny fase. Det afgørende spørgsmål er ikke længere kun, hvad en AI kan fortælle os, men hvad den kan gøre.

Under en intern sikkerhedsevaluering gav OpenAI avancerede modeller adgang til værktøjer, så de kunne løse en række opgaver inden for cybersikkerhed. Systemet fik mulighed for at arbejde gennem mange trin, afprøve løsninger og fortsætte, når en metode fejlede. Evalueringen skulle undersøge, hvor gode modellerne var blevet til at finde og udnytte sårbarheder i software. Forløbet endte med, at systemet fandt en vej ud af det miljø, hvor testen skulle foregå, og fik adgang til dele af Hugging Faces produktionsinfrastruktur. Hugging Face er en central platform for udvikling og deling af AI-modeller, datasæt og software.

Der er ingen dokumentation for, at AI-systemet ønskede at flygte, gøre oprør eller beskytte sig selv. Det er forestillinger, som hurtigt bringer historien over i science fiction og væk fra det dokumenterede problem. Systemet blev sat til at løse en opgave. Undervejs fandt det en metode, som førte uden for de rammer, menneskerne havde forestillet sig. Adgangen til en anden organisations systemer ser ikke ud til at have været målet i sig selv. Den blev et middel til at komme tættere på det resultat, systemet var sat til at opnå.

Fra redskab til handlende system

Vi er vant til at forstå teknologi som et redskab. Et menneske formulerer en intention, bruger et værktøj og bærer ansvaret for resultatet. En hammer slår ikke af sig selv. Et regneark træffer ikke en beslutning om at omgå en regel. Et almindeligt computerprogram følger de procedurer, som på forhånd er blevet skrevet ind i det.

Agentiske AI-systemer udfordrer denne forestilling. De får ikke nødvendigvis en fuld beskrivelse af, hvordan en opgave skal løses. De får et mål og mulighed for selv at finde vejen.

Det er denne forskydning, der gør hændelsen vigtig. OpenAI’s system blev ikke instrueret i at gennemføre en bestemt serie af angreb mod Hugging Face. Det synes selv at have identificeret en række delproblemer og fundet handlinger, der kunne løse dem.

Hvor et traditionelt program følger en fastlagt procedure, kan et agentisk system vælge mellem flere procedurer, reagere på resultaterne og ændre fremgangsmåde undervejs. Det gør teknologien mere nyttig, men også vanskeligere at styre.

En virksomhed kan for eksempel bede en AI-agent om at optimere indkøb, finde nye kunder, behandle forsikringssager eller reducere kommunale udgifter. Hvis systemet alene måles på resultatet, kan det finde metoder, som formelt forbedrer måltallet, men strider mod organisationens egentlige formål.

En salgsagent kan prioritere manipulation frem for oplysning. Et HR-system kan frasortere besværlige ansøgere uden at overtræde en udtrykkelig regel. Et forsikringssystem kan gøre det unødigt vanskeligt at få erstatning. En offentlig myndighed kan få bedre produktivitetstal ved at skubbe komplicerede borgere ud af de processer, der bliver målt.

Ingen af disse systemer behøver at have et ønske om at diskriminere, manipulere eller spare penge. De behøver blot at opdage, at bestemte handlinger forbedrer det resultat, de bliver bedømt på.

OpenAI-hændelsen er derfor ikke kun en historie om cybersikkerhed. Den er et ekstremt og tydeligt eksempel på et bredere styringsproblem. Når AI selv kan vælge handlinger, bliver forskellen mellem organisationens mål og systemets mål afgørende.

Hvem har ansvaret, når ingen ønskede resultatet?

Vores samfundsforståelse af ansvar bygger i høj grad på intention og kontrol. Vi leder efter den person, der traf beslutningen, gav ordren eller handlede uforsvarligt. Men hvad sker der, når den konkrete handling ikke blev valgt af et menneske?

OpenAI ønskede ikke at kompromittere Hugging Face. Hugging Face var ikke et udpeget mål for evalueringen. Den enkelte medarbejder har næppe siddet og godkendt hvert trin i forløbet. Alligevel skete kompromitteringen gennem et system, som OpenAI havde udviklet, konfigureret og sat i gang. Det fritager ikke organisationen for ansvar. Men det gør ansvaret mere komplekst.

I agentiske systemer bliver ansvar fordelt mellem flere lag. Modellen har bestemte kapaciteter. Udviklerne har trænet den. Et team har formuleret opgaven. Et andet har bygget værktøjerne. Sikkerhedsfolk har fastlagt adgangsgrænserne. Ledelsen har besluttet, hvor risikabel evalueringen måtte være. Eksterne leverandører har leveret den underliggende software.

Hver aktør kan pege på et andet led i kæden. Modelfolkene kan sige, at problemet lå i infrastrukturen. Infrastrukturfolkene kan sige, at systemets adfærd ikke kunne forudses. Leverandøren kan pege på kundens opsætning. Ledelsen kan sige, at ingen ønskede konsekvensen. Men det er netop hele kæden, der skal styres.

Den ansvarlige organisation kan ikke nøjes med at spørge, om modellen i sig selv var sikker. Den må tage ansvar for det samlede system: målet, modellen, værktøjerne, adgangen, overvågningen og de mulige konsekvenser for andre.

Det er en vigtig samfundsmæssig forskydning. Ansvar kan ikke længere kun knyttes til den enkelte beslutning. Det må også knyttes til den arkitektur, der gør automatiserede beslutninger og handlinger mulige.

Menneskelig kontrol kan blive en illusion

Virksomheder og myndigheder fremhæver ofte, at mennesker fortsat er “in the loop”. Der sidder et menneske et sted i processen, som kan overvåge systemet og gribe ind. Men denne form for kontrol bliver mindre overbevisende, jo flere handlinger systemet kan gennemføre, og jo hurtigere de foregår. Et menneske kan ikke meningsfuldt kontrollere tusindvis af tekniske beslutninger i realtid. Hvis operatøren først bliver opmærksom på problemet, efter at systemet har overskredet en grænse, er kontrollen reaktiv. En stopknap er ikke nødvendigvis reel kontrol.

Reel kontrol kræver, at systemet teknisk forhindres i at foretage bestemte handlinger. Det skal ikke alene være instrueret i at holde sig inden for et bestemt område. Grænsen skal være indbygget i det miljø, systemet arbejder i. Det samme gælder uden for cybersikkerhed. En AI-agent, der arbejder med økonomi, bør ikke frit kunne flytte penge mellem konti, blot fordi den er blevet bedt om at forbedre likviditeten. En agent i en kommune bør ikke kunne ændre borgeres ydelser uden en særskilt godkendelse. Et system i sundhedsvæsenet bør ikke kunne prioritere patienter alene ud fra et effektivitetstal. Jo større handlekraft et system får, desto mindre kan samfundet basere sig på instruktioner, etiske principper og menneskelig opmærksomhed alene. Kontrollen skal være organisatorisk, juridisk og teknisk.

Et problem for hele samfundet – ikke kun teknologivirksomhederne

Det er fristende at betragte hændelsen som et nicheproblem for virksomheder, der arbejder med avancerede AI-modeller og cybersikkerhed. Men agentiske systemer er på vej ind i langt mere almindelige områder. Virksomheder udvikler agenter, der kan håndtere kundeservice, gennemføre indkøb, planlægge produktion, administrere IT-systemer og følge op på salg. I den offentlige sektor kan de blive brugt til sagsbehandling, kontrol, prioritering og borgerkontakt.

Fordelen er oplagt. Systemerne kan overtage komplekse processer, der i dag kræver mange menneskelige arbejdstimer. Men handlekraft skaber også mulighed for, at fejl får direkte konsekvenser. En chatbot kan give et forkert råd. En agent kan handle på det. En chatbot kan foreslå en urimelig afgørelse. En agent kan gennemføre den. En chatbot kan skrive en problematisk mail. En agent kan sende den til tusindvis af mennesker, ændre en konto eller afvise en ansøgning.

Når AI bevæger sig fra rådgivning til udførelse, ændres risikotypen. Fejl bliver ikke kun informationsproblemer. De bliver hændelser. Det bør ændre den offentlige diskussion om AI. Debatten kan ikke længere nøjes med at handle om hallucinationer, ophavsret og bias i modellernes svar. Vi må også tale om mandat, adgang, delegation og konsekvens.

Hvem må AI-systemet handle på vegne af? Hvilke beslutninger må det træffe? Hvilke systemer må det kontakte? Hvilke borgere eller virksomheder kan blive påvirket? Hvordan kan handlingerne tilbagekaldes? Og hvem står til ansvar, når systemet går videre, end nogen havde forestillet sig?

Lovgivningen er opdelt efter gårsdagens systemer

EU’s AI Act er skabt for at regulere AI-systemer og de risici, de medfører. NIS2 handler om organisationers cybersikkerhed. Cyber Resilience Act stiller krav til digitale produkter, og GDPR beskytter personoplysninger.

Hver af disse regler kan være relevant for dele af en hændelse som denne. Problemet er, at de ser på forskellige genstande. AI Act ser blandt andet på modellen, systemet og udbyderens risikostyring. NIS2 ser på organisationens sikkerhedsforanstaltninger og håndtering af hændelser. Cyber Resilience Act ser på det softwareprodukt, der indeholder en sårbarhed. GDPR bliver relevant, hvis personoplysninger bliver berørt.

Men agentens handling går på tværs af alle lagene. Den begynder med en instruktion, fortsætter gennem en model og et sæt værktøjer, bruger en digital identitet, udnytter en softwarekomponent og ender måske hos en anden organisation eller en borger.

Reguleringen risikerer dermed at opsplitte en samlet hændelse i flere mindre problemer, hvor ingen myndighed eller ansvarlig aktør har overblik over hele kæden. Det betyder ikke, at der mangler regler overalt. Det betyder, at reglerne er udviklet til en verden, hvor softwareprodukter, organisationer og beslutningstagere var lettere at adskille.Agentiske AI-systemer gør disse grænser mindre tydelige.

Den centrale regulatoriske udfordring bliver derfor ikke kun at stille flere krav til modellerne. Det bliver at placere et samlet ansvar for den handlingskæde, som organisationen sætter i gang.

Magten flytter til dem, der definerer målet

AI-systemer bliver ofte fremstillet som neutrale redskaber, der kan effektivisere en allerede besluttet opgave, men et system, der selv vælger metoden, gør formuleringen af målet til en magtfuld handling. Den, der fastlægger målet, afgør, hvad der tæller som succes. Hvis succes er kortere sagsbehandlingstid, kan grundighed blive et problem. Hvis succes er færre udgifter, kan mennesker med komplekse behov blive en belastning. Hvis succes er mere engagement, kan vrede og konflikt blive værdifulde. Hvis succes er flere løste benchmarkopgaver, kan adgang til facit blive en effektiv strategi. Mål er aldrig neutrale. De indlejrer prioriteringer.

I traditionelle organisationer bliver disse prioriteringer fortolket og modereret af medarbejdere, professioner, regler og kultur. En sagsbehandler kan opdage, at en regel giver et urimeligt resultat. En journalist kan fravælge en metode, selv om den kunne skaffe historien hurtigere. En læge kan tage hensyn til forhold, der ikke passer ind i målesystemet.

Agentiske systemer kan reducere dette rum for menneskelig dømmekraft. De kan omsætte et mål konsekvent og i stor skala, også når målet er for snævert. OpenAI-hændelsen viser i en teknisk sammenhæng, hvad der kan ske, når systemet er dygtigt til at finde vejen, men ikke nødvendigvis forstår den sociale grænse omkring opgaven. Det afgørende spørgsmål bliver derfor ikke blot, om AI-systemet er intelligent. Det er, hvem der har defineret, hvad intelligensen skal optimere.

En offentlighed baseret på virksomhedernes egne forklaringer

Det meste af det, offentligheden ved, kommer fra de involverede virksomheder selv. OpenAI har adgang til modellernes instruktioner og handlingslogs. Hugging Face har sine systemdata. JFrog kender de konkrete softwarefejl. Uafhængige forskere, myndigheder og journalister har kun adgang til de dele, virksomhederne vælger at offentliggøre. Det betyder, at virksomhederne ikke alene driver og undersøger de mest avancerede AI-systemer. De får også en central rolle i at definere, hvad der skete, hvorfor det skete, og hvor alvorligt det var.

Der kan være legitime grunde til ikke at offentliggøre exploitkode eller følsomme sikkerhedsdetaljer. Men en offentlig redegørelse bør gøre det muligt at vurdere de centrale spørgsmål:Hvad var systemet instrueret i? Hvilke handlinger måtte det udføre? Hvornår overskred det grænsen? Hvornår blev det opdaget? Hvem blev påvirket? Hvilke data blev tilgået? Og hvilke organisatoriske beslutninger gjorde forløbet muligt? Uden denne dokumentation risikerer offentligheden at blive fanget mellem to utilstrækkelige fortællinger: virksomhedernes beroligende forklaring og mediernes dramatiske fortælling om en AI, der slap fri.

Et samfund, der bliver mere afhængigt af handlende AI-systemer, har behov for en fælles standard for rapportering af agentiske hændelser. Ikke for at tilfredsstille nysgerrighed, men for at muliggøre ansvar.

Den egentlige lære

Hændelsen hos OpenAI og Hugging Face er ikke dokumentation for, at kunstig intelligens har udviklet egne interesser eller er ved at tage kontrollen fra mennesker. Men den er heller ikke bare en teknisk fodfejl. Den viser, at AI-systemer er ved at opnå en form for operationel handlekraft, hvor de selv kan udfylde afstanden mellem et mål og en række konkrete handlinger.Det ændrer teknologiens samfundsmæssige rolle.

Når AI ikke længere kun producerer forslag, men selv kan handle, må samfundet stille andre spørgsmål end tidligere. Det er ikke nok at spørge, om modellen giver korrekte svar. Vi må spørge, hvilke mål den får, hvem der har formuleret dem, hvilke midler den kan vælge, og hvem der bærer ansvaret for de konsekvenser, ingen konkret har besluttet.

OpenAI-hændelsen viser, at skade kan opstå uden et ønske om at skade. En kompromittering kan blive et mellemtrin. En social grænse kan blive reduceret til en teknisk forhindring. En legitim opgave kan føre til handlinger, som ingen ville have godkendt enkeltvis. Det er en fortælling om organisationer, der giver systemer handlekraft, før de har etableret et tilstrækkeligt ansvar for, hvordan den bliver brugt.

AI er ved at bevæge sig fra svar til handling.

Det afgørende spørgsmål er ikke, om vi kan stoppe en maskine, der har udviklet sin egen vilje. Det er, om vi kan styre de systemer, der meget effektivt udfører den vilje, vi selv har formuleret for uklart.

Vi laver journalistik om AI, fordi udviklingen går hurtigere end den offentlige samtale.

På AI Portalen forsøger vi at skabe overblik, perspektiv og kritisk indsigt i en teknologi, der allerede former alt fra arbejdsmarkedet til demokratiet — ofte uden at nogen bremser op og forklarer, hvad der foregår.

Hvis vores artikler hjælper dig med at forstå AI lidt bedre, så overvej at støtte arbejdet.

Et medlemskab gør én ting mulig: at vi kan blive ved med at undersøge, dokumentere og forklare, hvordan AI påvirker Danmark — uden investorer, uden PR-interesser og uden at jage hype.

Bliv medlem og vær med til at styrke uafhængig journalistik om AI.