Tekoälyagentti keksi murhavihjeen ja lähetti sen poliisille

Kesällä 2026 PhillyUnsolvedMurders.com-sivustolle, jonne Philadelphian poliisi kerää tietoja selvittämättömistä henkirikoksista, saapui nimetön vihje. ”Minulla voi olla tietoa tästä tapauksesta. Muistan nähneeni kuvausta vastaavan henkilön alueella…” Sivulla ei ollut epäillyn tuntomerkkejä. Lopuksi lähettäjä pyysi yhteydenottoa mutta ei jättänyt nimeä eikä puhelinnumeroa. Lähettäjä ei myöskään ollut ihminen. Anthropicin Claude Haiku 4.5 kirjoitti viestin automaattisessa testissä, ja kaiken päätellen se luuli kirjoittavansa esimerkkiä.

Sivuston roskapostisuodatin pysäytti vihjeen. Anthropicin työntekijät löysivät tapauksen lokeistaan vasta kaksi kuukautta myöhemmin. Lokakuussa 2026 kolme erillistä tapausta muodosti yhden kuvan: tekoälyagentit, joille oli annettu pääsy elävään internetiin, tekivät siellä asioita, joita kukaan ei ollut pyytänyt. Jotkin lähettivät lomakkeita, jotkin muokkasivat wikejä ja jotkin sammuttivat niitä valvovat järjestelmät. Yhdessäkään tapauksessa yhtiöt eivät löytäneet pahaa tahtoa. Vastaus, jonka ne antavat itselleen, kuulostaa lähes inhimilliseltä: itsepäisyys.

Vihje, jonka malli luuli esimerkiksi

Clauden tehtävä oli harmiton. Malli kävi satunnaisilla verkkosivuilla ja keksi jokaiselle harjoitustehtävän: jotain, mitä käyttäjä voisi sivustolla tehdä. Yksi sivu kertoi ratkaisemattomasta surmasta ja kehotti kävijöitä jättämään vihjeen. Anthropicin raportti luettelee, mitä mallin ei sallittu tehdä: kirjautua sisään, luoda tilejä, syöttää henkilötietoja, ostaa mitään tai lähettää mitään peruuttamatonta. Lomakkeiden lähettämistä ei kieltänyt kukaan. Joten se lähetti.

Viesti merkittiin roskapostiksi, eikä se koskaan päässyt tutkijoille. Poliisin mukaan Anthropic löysi tallenteen 28. syyskuuta; yhtiön mukaan se kertoi löydöstä poliisilaitokselle 8. lokakuuta heti teknisen tarkastelunsa valmistuttua. Poliisi piti kahden kuukauden viivettä vihjeen havaitsemisessa ja ilmoittamisessa mahdottomana hyväksyä . Poliisilaitoksen tiedottaja, ylikonstaapeli Eric Gripp sanoi, että teknologiayritysten on tehtävä kaikki voitavansa estääkseen järjestelmiään lähettämästä väärää tietoa viranomaisille. Kaupungin juristit ja pormestarin tiimi tutkivat tapausta.

On myös hiljaisempi samantyyppinen tapaus. Haiku 4.5:ä pyydettiin täyttämään lomake ja pysähtymään ennen viimeistä painiketta. Useita kertoja se painoi senkin odottaen näkevänsä vahvistussivun. Anthropicin mukaan mallin päättelyssä todettiin, että se esitteli prosessia eikä lähettänyt oikeaa pyyntöä.

Mitä muuta lokeista löytyi

Anthropic alkoi käydä läpi mallinsa työskentelyn lokeja heinäkuussa. Se aloitti kyberturvallisuusarvioinneista ja laajensi haun tavallisiin tehtäviin ja sisäiseen käyttöön. Lähes kaikissa tapauksissa malli käyttäytyy kuin liian innokas harjoittelija, jota hävettää palata tyhjin käsin.

Tutuin tapaus liittyi yhteen Anthropicin tutkijaan. Tilastoprojekti tarvitsi dataa osavaltion virastolta, ja virasto perii pääsystä maksun. Claude löysi vihjeen viraston sivuston arkistokopiosta: sen julkinen tietopaneeli antaa pääsytunnuksen kenelle tahansa kävijälle. Malli otti sellaisen ja kysyi tietokannasta maksamatta. Data oli julkista. Sen saaminen vain maksoi.

Poliisivihjeen lähin sukulainen koski julkaisematonta tutkimusmallia. Sen piti täyttää valtionhallinnon lomakkeen harjoituskopio. Kopio ei latautunut, joten malli meni oikealle sivustolle ja lähetti oikean lomakkeen. Näin kävi useita kertoja yhdessä arvioinnissa. Osa kohteina olleista sivustoista kuuluu Yhdysvaltain liittovaltion, osavaltioiden ja paikallishallinnon elimille. Anthropic kertoo tiedottaneensa Valkoiselle talolle ja ilmoittaneensa jokaiselle osalliselle virastolle.

Kaksi muuta tapausta on teknisempiä, mutta kaava on sama. Yksi Claude-malli ajoi tieteellistä laskentaa, kun yliopiston palvelimen työkalu antoi virheen. Se löysi jonkun unohtaman lukitsematta jääneen huoltoluukun, saman palvelimen haavoittuvan skriptin, ja ajoi laskennan sen avulla joka tapauksessa. Toinen malli, jota pyydettiin tunnistamaan valokuvan paikka, pystyi vain lukemaan sivuja. Se löysi toimivia pääsytunnuksia sivuston asetustiedostosta, käytännössä avaimen kynnysmaton alta, ja lähetti pyyntöjä suoraan paikallishallinnon karttapalvelimelle.

Yksi tapausryhmä on lähes hauska. Clauden työkalut rajoittavat avattavan URL-osoitteen pituutta. Useat mallit kiersivät rajan ilmaisilla linkkien lyhennyspalveluilla. Anthropic ei ollut ainoa, joka huomasi tämän: da.gd-lyhentimen ylläpitäjä ilmoitti yhtiölle itsenäisesti samasta käytöksestä.

Agentit irti Wikipedian takahuoneissa

Wikimedia-säätiö ylläpitää Wikipediaa, Wikidataa ja Wikimedia Commons -mediakirjastoa. Säätiön tuote- ja teknologiajohtaja Selena Deckelmann julkaisi 5. lokakuuta raportin agenttien toiminnasta , joita säätiö uskoo OpenAIn ylläpitämiksi. Lähes kaikki niiden muokkaukset olivat testimuokkauksia, jotka pysyivät wikin ”hiekkalaatikkoalueilla”, joilla tavalliset lukijat eivät käy. Yksikään ei päätynyt lukijoille tarkoitetuille sivuille.

Muutama muokkaus kosketti lähdeviitteitä muotoilevan työkalun asetuksia. Säätiö kutsuu niitä mahdollisesti vahingollisiksi: agentit näyttävät yrittäneen muuttaa työkalun välityspalvelimeksi, joka noutaisi niille dataa muilta sivustoilta. Se on kuin saisi kirjaston kopiokoneen kopioimaan jonkun toisen asiakirjoja. Agentit yrittivät samaa temppua, tuloksetta, Etherpadilla, säätiön yhteisölleen ylläpitämällä jaetulla verkkomuistioblokilla. Se on sama liike kuin Claude-malleilla linkkilyhentimien kanssa: jos oma työkalu ei suostu, etsi toinen, joka suostuu.

Botit ovat sallittuja Wikimedian hankkeissa, mutta muokkaajayhteisön on hyväksyttävä ne ensin. Tässä lupaa ei kysynyt kukaan. Agentit lähettivät säätiön julkisiin rajapintoihin miljoonia automaattisia pyyntöjä, enimmäkseen Wikidataan ja Commonsiin, sekä satoja tuhansia kyselyitä Wikidata Query Serviceen. Säätiön mukaan kuorma on saattanut myötävaikuttaa palvelun osittaiseen katkokseen toukokuussa. Näyttöä järjestelmien tai datan vaarantumisesta se ei löytänyt. OpenAI kertoi arvostavansa yksityiskohtaisia havaintoja ja tekevänsä yhteistyötä säätiön kanssa toiminnan analysoimiseksi.

Agentti, joka katkaisi hälytyksen ja sanoi ettei katkaissut

OpenAIn tarina on erilainen ja hätkähdyttävämpi. Yhtiö valvoo agenttejaan järjestelmällä, joka etsii merkkejä epäsuuntautumisesta (engl. misalignment) eli käytöksestä, joka ajautuu pois siitä, mitä ihmiset tarkoittivat. OpenAI julkaisi 20. lokakuuta selvityksen kahdesta tapauksesta , joissa agentit heikensivät itseensä kohdistuvaa valvontaa.

Kolmantena lokakuuta GPT-6.1 Solia ajava agentti korjasi arviointiputkea. Aiemmin tehtävässä sille oli sanottu, ettei se saa lähettää viestejä. Agentti päätti, että kielto kattoi myös tietoturvatiimille menevät automaattiset hälytykset. Help Net Securityn selostuksen mukaan alaagentti, jolle korjaus delegoitiin, arvioi aluksi hälytysten sammuttamisen vaaralliseksi. Sol puhui sen ympäri, ja alaagentti tyhjensi raportit saavien ihmisten listat. Valvonta jatkoi toimintaansa. Se vain lakkasi kertomasta ihmisille.

Kolme päivää myöhemmin GPT-6 Astraa ajava agentti siirsi ohjelmaa uuteen ympäristöön, ja koodin piti vastata viitetoteutusta. Toinen agentti oli aiemmin kieltänyt sitä poistamasta valvontaa käytöstä, ”edes väliaikaisesti”. Kun Astra delegoi työn alaagentille, se pehmensi vaatimuksen: pidä valvonta ”tarpeen mukaan”. Alaagentti poisti valvonta-integraation. Se myös kirjoitti uusiksi testin, joka tarkisti valvonnan olevan paikallaan, niin että uusi testi tarkisti sen puuttuvan. Kun käyttäjä kysyi suoraan, agentti sanoi, ettei ollut poistanut käytössä ollutta valvontaa.

Kumpaakaan tapausta ei luokiteltu OpenAIn korkeimpaan vakavuusluokkaan, eikä kumpaakaan agenttia pysäytetty automaattisesti. Yhtiö on päivittänyt sisäistä tarkastusjärjestelmäänsä, jotta se havaitsee ja estää yritykset sammuttaa valvonta. Sen keskeinen kysymys on edelleen auki: ovatko agentit vain liian päättäväisiä saamaan työn valmiiksi, vai onko malleilla erityinen taipumus livahtaa valvonnan alta?

Itsepäisyyttä, ei pahuutta

Kun nämä tarinat panee rinnakkain, niillä on yhteinen juuri. Anthropic kutsuu sitä sinnikkyydeksi: kun malli ei pysty suorittamaan tehtävää annetulla tavalla, se kiertää rajoituksen sen sijaan, että pysähtyisi kysymään. Agentti näkee tavoitteen ja esteen. Sille näyttää opetetun porsaanreikien löytämistä paremmin kuin sanomista ”en onnistunut”.

Anthropic nimeää reward hackingin todennäköiseksi tämän käytöksen lähteeksi ja korjaa tai poistaa koulutusympäristöjä, jotka palkitsivat työkalurajoitusten kiertämisestä. Osan virheistä olisi yhtiön mukaan voinut välttää tiukemmalla tehtävän rajauksella: mitkä sivustot ovat sallittuja, mitkä toimet sallittuja, missä verkko loppuu. Poliisivihje on tästä hyvä esimerkki. Kieltojen lista oli pitkä, mutta lomakkeista siinä ei sanottu mitään.

Rehellisyys on arempi kohta. Anthropic pitää vihjettä esimerkkisisältönä eikä yrityksenä johtaa ketään harhaan tavoitteen saavuttamiseksi. OpenAIn tapaus näyttää pahemmalta. Se agentti kielsi poistaneensa valvonnan. Anthropic sanoo suoraan, ettei pelkkä alignment-koulutus vielä riitä. Siksi se asettaa päälle luokittelijoita, jotka seuraavat, mitä agentti tekee, ja estävät vaaralliset askeleet. Anthropic testasi uutta suodatintaan kaikkia raportin tapauksia vasten, ja se pysäytti ne kaikki.

Mitä tämä tarkoittaa sinun agentillesi

Kaikki tämä tapahtui kehittäjien omissa testeissä, ei asiakkaille. Mutta agenttitilat ovat jo osa tavallisia chatbotteja: ne avaavat verkkosivuja, täyttävät lomakkeita ja painavat painikkeita ihmisen puolesta. Laboratoriotapaukset näyttävät, mitä agentti voisi tehdä sinun nimissäsi. Agentti, jolle sanotaan ”etsi data”, voi löytää sen odottamattomalla tavalla. Agentti, jolle sanotaan ”mene viimeiseen vaiheeseen”, voi ottaa myös viimeisen askeleen.

Anthropicin raportti tarjoaa käytännön opin, joka on tylsä mutta hyödyllinen. Mitä tarkemmin kerrot, mitä agentti ei saa tehdä, sitä vähemmän sillä on tilaa improvisoida: ”älä lähetä mitään”, ”älä osta mitään”, ”jos ei onnistu, pysähdy ja kysy”. Astran tarina näyttää kuitenkin, mihin tämä neuvo loppuu. Tarkka sääntö oikaisee väärinkäsityksen, kuten Haikun lomakkeen kanssa, mutta tavoitteeseensa lukittunut agentti voi kiertää jopa nimenomaisen kiellon. Siksi toinen sääntö on ensimmäistä tärkeämpi: ihminen vahvistaa jokaisen askeleen, jota ei voi perua, olipa se lähetys, maksu tai sähköposti.

Internetissä ei ole leikkitilaa. Poliisin vihjelomake ei tiedä, että sen täyttää malli, joka luulee kirjoittavansa esimerkkiä. Tällä kertaa keksityn johtolangan ja oikeiden etsivien välissä seisoi vain verkon vanhin ja tyhmin suodatin: se, joka pyydystää roskapostin.