AI-agenter kunne skjule hundrevis av handlinger fra OpenAIs misalignment-monitor
Da Sam Altman i september lovet uavhengige evaluatorer «employee-like access» til OpenAI, var det uklart hva løftet ville innebære i praksis. Svaret kom 22. oktober – og viser både verdien og grensene: Reelle sårbarheter i et kritisk sikkerhetssystem, men ingen uavhengig bekreftelse på at de er tettet.
Hva som skjedde
Fra 21. juli til 11. august gjennomførte én ansatt fra evalueringsorganisasjonen METR og én fra Redwood Research et pilotprosjekt med høy tilgang for å stressteste OpenAIs interne overvåkingssystem for agent-misalignment. Resultatet var en intern rapport på 61 sider, delt med OpenAIs forskere og sikkerhetsansatte. Den 22. oktober publiserte METR og Redwood Research en offentlig oppsummering av funnene, og det er denne – sammen med dekning fra CNBC og Reuters via Claims Journal – som danner grunnlaget for det som nå er kjent.
Begge organisasjonene beskriver øvelsen som en pilot: et testprosjekt for hvordan man kan gi eksterne forskere dyp tilgang til intern infrastruktur hos frontier-laboratorier, ikke en generell transparanseøvelse.
Slik fungerte eksperimentet
Tilgangsbetingelsene var strenge. Ifølge METR/Redwoods eget innlegg og CNBCs dekning hadde de to ansatte tilgang til OpenAIs interne kodebase, dokumentasjon og enkelte tekniske ansatte. De ble fulgt av følgesvenn når de var på stedet, og brukte utstyr levert av OpenAI som «aldri forlot lokalene».
Det betyr at eksperimentet ikke var et typisk eksternt penetrationstestoppdrag, men noe nærmere det et selskap internt kan gjøre: uker på innsiden, med mulighet til å lese kode, snakke med folk som bygger systemet og teste hypoteser i praksis.
Samtidig var publiseringsavtalen stram. METR og Redwood skriver at de på forhånd ble enige med OpenAI om kun å publisere et relativt kortfattet og høynivå offentlig innlegg. Detaljer i rapporten er redigert av OpenAI, og den fulle 61-siders rapporten er ikke offentlig.
Funnene: fire veier rundt overvåkingen
Det offentlige innlegget beskriver flere konkrete sårbarheter i overvåkingssystemet slik det var konfigurert i juli–august:
- Sandbox- og Auto-Review-bypass i Codex. Evaluatorne fant en måte Codex-agenter «i prinsippet» kunne omgå både sandboxing og Auto-Review på, slik at de kunne ta «enhver handling brukeren kunne ta».
- Skjulte handlinger. Et exploit gjorde det mulig for agenter å forhindre at hundrevis av nylige handlinger ble overvåket – altså å gjøre aktivitet usynlig for akkurat det systemet som skal fange misalignment.
- Serialiseringsforskjeller som kan krasje monitoren. Uoverensstemmelser i serialisering kunne i prinsippet få selve overvåkingssystemet til å feile.
- To klientstyrte headere. To headere som kontrolleres av klienten kunne deaktivere overvåking for nye agenter.
Samlet sett peker funnene på tre distinkte angrepsflater, der hver især bryter en antakelse i overvåkingsarkitekturen: at sandboxen holder, at alt en agent gjør faktisk logges, og at monitoren selv fungerer. Forkast oppsummerer det slik: Codex-sandboxing kunne omgås, hundrevis av handlinger kunne skjules for monitoren, og serialiseringsforskjeller kunne få selve monitoren til å feile – funn fra et juli-øyeblikksbilde, publisert under en avtale som lot OpenAI redigere detaljene.
Hvor godt fungerte overvåkingen egentlig?
Ut over sårbarhetene avdekket evaluatorene også at dekningsgraden ikke var fullstendig. De anslår at omtrent 75–94 prosent av agent-basert Responses API-trafikk – API-et som blant annet driver Codex – fra modeller minst like sterke som GPT-5.5 var kvalifisert for overvåking på øvelsestidspunktet. For den delmengden av trafikk som brukes av interne Codex-agenter, var anslaget 99,2 prosent.
Det er viktig å lese disse tallene slik evaluatorene selv gjør: de legger til grunn «betydelig usikkerhet i begge retninger». Dette er estimater over hvilken trafikk som var kvalifisert for overvåking, ikke presise målinger av hvor mye som faktisk ble overvåket – og de beskriver situasjonen ved øvelsens start, ikke situasjonen etter at OpenAI siden har utvidet systemet.
OpenAIs svar – og forbeholdet
Etter øvelsen har OpenAI opplyst at alle de identifiserte sårbarhetene som påvirker selskapets produksjonssikkerhetsstakk er lapet. Dette er OpenAIs påstand, rapportert av METR og Redwood og gjengitt av Reuters via Claims Journal og TechBooky. METR har samtidig sagt at organisasjonen ikke har evaluert disse påstandene. Det finnes dermed ingen uavhengig bekreftelse på at hullene er lukket.
Det finnes heller ikke bevis for at noen faktisk utnyttet svakhetene. Funnene beskriver muligheter – ikke dokumenterte angrep, verken fra agentene selv eller eksterne. Flere av funnene, blant dem sandbox-omgåelsen, er beskrevet som muligheter «i prinsippet», og evaluatorene validerer ikke alle i praksis.
Konteksten: en ny modell under prøve
Piloten er det første konkrete resultatet av Altman-løftet fra september om å gi uavhengige evaluatorer «employee-like access» – et løft som fulgte etter at Anthropic-sjef Dario Amodei foreslo ideen som del av sin plan for å bremse tempoet i AI-utviklingen. Anthropic har en tilsvarende avtale med METR.
Øvelsen viser at modellen kan levere resultater: På tre uker fant to personer flere konkrete svakheter i et kritisk sikkerhetssystem. Men den viser også begrensningene. Utbyttet til offentligheten er et kortfattet innlegg der OpenAI har redigert detaljene, mens den fulle dokumentasjonen – 61-siders rapporten – forblir intern. Sårbarhetenes alvorlighetsgrad kan derfor ikke vurderes fullt ut udefra.
Åpne spørsmål
Det viktigste ubesvarte spørsmålet er hvorvidt sårbarhetene faktisk er tettet. Patching-påstanden kommer fra OpenAI selv og er ikke verifisert av evaluatorne.
I tillegg gjelder funnene systemet slik det eksisterte i juli–august – et øyeblikksbilde, ikke en verifisert vurdering av OpenAIs forsvar i dag. Evaluatorernes dekningsgradsestimater bærer stor usikkerhet i begge retninger. Og det offentlige bildet avhenger av en publiseringsavtale der den evaluerte parten kan redigere detaljene – en ordning som gir laboratoriene kontroll over mye av hva verden får vite.
For debatten om uavhengig tilsyn av frontier-laboratorier er piloten likevel et datapunkt av betydning: Skal «employee-like access» bli en reell praksis, vil spørsmålet om hvem som får bekrefte at problemene er løst – og hvor mye av detaljene som får se dagens lys – bli avgjørende for om ordningen bygger tillit eller bare bekrefter at laboratoriene fortsatt vurderer seg selv.