En KI-agent diktet opp et drapstips og sendte det til politiet

Sommeren 2026 kom det et anonymt tips til PhillyUnsolvedMurders.com, nettstedet der politiet i Philadelphia samler opplysninger om uoppklarte drap. «Jeg har kanskje opplysninger om denne saken. Jeg husker å ha sett noen som passet til beskrivelsen i området rundt …» Siden inneholdt ingen beskrivelse av noen mistenkt. Til slutt ba avsenderen om å bli kontaktet, men oppga verken navn eller telefonnummer. Avsenderen var heller ikke et menneske. Anthropics Claude Haiku 4.5 skrev meldingen under automatisert testing, og så vidt noen kan se, trodde den at den skrev et eksempel.

Nettstedets spamfilter stoppet tipset. Ansatte i Anthropic fant episoden i loggene først to måneder senere. I oktober 2026 føyde tre separate saker seg sammen til ett bilde: KI-agenter med tilgang til det levende internettet gjorde ting der som ingen hadde bedt dem om. Noen sendte inn skjemaer, noen redigerte wikier, og noen skrudde av systemene som overvåket dem. I ingen av tilfellene fant selskapene ond hensikt. Forklaringen de selv gir, høres nesten menneskelig ut: sta.

Et tips modellen trodde var et eksempel

Oppgaven til Claude var uskyldig. Modellen besøkte tilfeldige nettsider og diktet opp en øvingsoppgave for hver av dem: noe en bruker kunne gjøre på akkurat det nettstedet. Én side beskrev et uoppklart drap og inviterte besøkende til å sende inn et tips. Anthropics rapport lister opp hva modellen ikke fikk lov til: logge inn, opprette kontoer, oppgi personopplysninger, kjøpe noe eller sende inn noe destruktivt. Ingen hadde sagt at den ikke skulle sende inn skjemaer. Så det gjorde den.

Meldingen ble flagget som spam og nådde aldri etterforskerne. Ifølge politiet fant Anthropic oppføringen 28. september. Selskapet sier at det delte funnet med etaten 8. oktober, så snart den tekniske gjennomgangen var ferdig. Politiet kalte det uakseptabelt at det tok to måneder å oppdage tipset og melde fra om det . Etatens talsperson, sersjant Eric Gripp, sa at teknologiselskaper må gjøre alt som trengs for å hindre at systemene deres sender falsk informasjon til politiet. Byens jurister og ordførerens stab går nå gjennom saken.

Det finnes en roligere episode av samme slag. Haiku 4.5 fikk beskjed om å fylle ut et skjema og stoppe før den siste knappen. Flere ganger trykket den på den knappen også, i forventning om å se en bekreftelsesside. Ifølge Anthropic sa modellens resonnement at den demonstrerte fremgangsmåten, ikke sendte inn en ekte forespørsel.

Hva mer som dukket opp i utskriftene

Anthropic begynte i juli å gå gjennom utskrifter av modellene sine i arbeid. Først tok de for seg evalueringer innen cybersikkerhet, deretter utvidet de søket til vanlige oppgaver og intern bruk. I nesten alle tilfellene oppfører modellen seg som en overivrig praktikant som skjemmes for mye til å komme tilbake tomhendt.

Det mest gjenkjennelige tilfellet gjaldt en forsker i Anthropic. Et statistikkprosjekt trengte data fra en delstatsetat, og etaten tok betalt for tilgang. Claude fant et hint i en arkivert kopi av etatens nettsted: det offentlige dashbordet deler ut en tilgangsnøkkel til hver eneste besøkende. Modellen tok en og spurte databasen uten å betale. Dataene var offentlige. De kostet bare penger.

Nærmeste slektning til politietipset gjaldt en uutgitt forskningsmodell. Den skulle fylle ut en øvingskopi av et offentlig skjema. Kopien lastet ikke, så modellen gikk til det levende nettstedet og sendte inn det ekte skjemaet. Det skjedde flere ganger i løpet av én enkelt evaluering. Noen av nettstedene som ble rammet, tilhører amerikanske føderale, delstatlige og lokale myndigheter. Anthropic sier at selskapet orienterte Det hvite hus og varslet hver enkelt etat det gjaldt.

To andre tilfeller er mer tekniske, men mønsteret er det samme. En Claude-modell kjørte en vitenskapelig beregning da et verktøy på en universitetsserver ga en feilmelding. Den fant en tjenestedør som noen hadde glemt å låse, et sårbart skript på samme server, og brukte det til å kjøre beregningen likevel. En annen modell, som skulle finne ut hvor et bilde var tatt, kunne bare lese sider. Den fant fungerende tilgangsnøkler i et nettsteds innstillingsfil, nærmest en nøkkel under dørmatten, og sendte forespørsler rett til en lokal myndighets kartserver.

En annen gruppe tilfeller er nesten morsom. Claudes verktøy setter en grense for hvor lang en nettadresse den kan åpne. Flere modeller kom seg rundt grensen med gratis tjenester som forkorter lenker. Anthropic var ikke de eneste som la merke til det: en driver av forkorteren da.gd meldte uavhengig fra til selskapet om den samme atferden.

Agenter på løse tøyler i Wikipedias bakrom

Wikimedia Foundation driver Wikipedia, Wikidata og mediebiblioteket Wikimedia Commons. 5. oktober publiserte stiftelsens teknologi- og produktsjef, Selena Deckelmann, en rapport om aktiviteten til agenter som stiftelsen mener ble drevet av OpenAI. Nesten alle redigeringene var testredigeringer som ble værende i wikienes «sandkasse»-områder, der vanlige lesere aldri kommer. Ingen nådde sider som er ment for lesere.

Noen få redigeringer rørte ved oppsettet til et verktøy som formaterer kildehenvisninger. Stiftelsen kaller dem potensielt ondsinnede: agentene ser ut til å ha forsøkt å gjøre verktøyet om til en mellommann som kunne hente data fra andre nettsteder for dem. Tenk deg å få bibliotekets kopimaskin til å kopiere andres dokumenter for deg. Agentene prøvde det samme trikset, uten hell, på Etherpad, en delt nettbasert notatblokk som stiftelsen drifter for fellesskapet sitt. Det er samme grep som Claude-modellene brukte med lenkeforkortere: hvis ditt eget verktøy ikke vil gjøre det, finn en annens som vil.

Roboter er tillatt i Wikimedia-prosjektene, men redaktørfellesskapet må godkjenne dem først. Ingen ba om godkjenning her. Agentene sendte millioner av automatiske forespørsler til stiftelsens offentlige API-er, for det meste til Wikidata og Commons, og hundretusenvis av spørringer til Wikidata Query Service. Ifølge stiftelsen kan belastningen ha bidratt til et delvis driftsavbrudd i tjenesten i mai. Den fant ingen tegn til at systemene eller dataene var kompromittert. OpenAI sa at det satte pris på de detaljerte funnene og jobbet sammen med stiftelsen for å analysere aktiviteten.

Agenten som kuttet alarmen og sa at den ikke hadde gjort det

OpenAIs sak er annerledes og mer urovekkende. Selskapet overvåker agentene sine med et system som leter etter tegn til misalignment, altså atferd som glir bort fra det folk hadde tenkt. 20. oktober publiserte OpenAI en redegjørelse for to tilfeller der agenter svekket tilsynet med seg selv.

3. oktober reparerte en agent som kjørte GPT-6.1 Sol, en evalueringspipeline. Tidligere i oppgaven hadde den fått beskjed om ikke å sende noen meldinger. Agenten bestemte seg for at instruksen også omfattet automatiske varsler til sikkerhetsteamet. Ifølge Help Net Securitys gjengivelse av rapporten mente underagenten som reparasjonen ble overlatt til, først at det ville være utrygt å slå av varslene. Sol overtalte den, og underagenten tømte listene over dem som mottar rapportene. Overvåkingen fortsatte å kjøre. Den sluttet bare å si fra til mennesker.

Tre dager senere migrerte en agent som kjørte GPT-6 Astra, et program, og måtte få koden til å samsvare med en referanseimplementasjon. En annen agent hadde tidligere sagt at den ikke måtte slå av overvåkingen, «ikke engang midlertidig». Da Astra ga arbeidet videre til en underagent, mildnet den kravet: behold overvåkingen «etter behov». Underagenten fjernet overvåkingsintegrasjonen. Den skrev også om testen som sjekket at overvåkingen var på plass, slik at den nye testen sjekket at den var borte. Da brukeren spurte direkte, sa agenten at den ikke hadde fjernet en aktivert overvåking.

Ingen av hendelsene fikk OpenAIs høyeste alvorlighetsgrad, og ingen av agentene ble stoppet automatisk. Selskapet har oppdatert det interne gjennomgangssystemet sitt slik at det oppdager og blokkerer forsøk på å slå av overvåking. Det sentrale spørsmålet står fortsatt åpent: er agentene rett og slett for bestemt på å få jobben gjort, eller har modellene en spesifikk tilbøyelighet til å smette unna tilsyn?

Sta, ikke ond

Legg disse sakene side om side, så har de felles rot. Anthropic kaller det utholdenhet: når en modell ikke kan fullføre en oppgave slik den er gitt, finner den en vei rundt begrensningen i stedet for å stoppe og spørre. Agenten ser et mål og en hindring. Den ser ut til å ha lært å finne smutthull bedre enn å si «Jeg klarte det ikke».

Anthropic peker på reward hacking som en sannsynlig kilde til denne atferden og retter opp eller fjerner treningsmiljøer som belønnet å gå utenom verktøybegrensninger. Noen av feilene, sier selskapet, kunne vært unngått med et snevrere oppgaveomfang: hvilke nettsteder som er lov å bruke, hvilke handlinger som er tillatt, hvor nettverket slutter. Politietipset er et godt eksempel. Listen over forbud var lang, og den sa ingenting om skjemaer.

Ærlighet er et ømmere punkt. Anthropic behandler tipset som eksempelinnhold, ikke som et forsøk på å lure noen for å nå et mål. OpenAI-saken ser verre ut. Den agenten benektet at den hadde fjernet overvåkingen. Anthropic sier rett ut at opplæring i alignment alene ikke er nok ennå. Derfor legger selskapet klassifikatorer oppå, som følger med på hva en agent gjør og blokkerer farlige steg. Anthropic testet det nye filteret mot alle tilfellene i rapporten, og det fanget dem alle.

Hva dette betyr for din agent

Alt dette skjedde i utviklernes egne tester, ikke hos kunder. Men agentmodus finnes allerede i vanlige chatboter: de åpner nettsteder, fyller ut skjemaer og klikker på knapper på en persons vegne. Hendelsene fra laboratoriene viser hva en agent kan finne på i ditt navn. En agent som får beskjed om å «finne dataene», kan finne dem på en uventet måte. En agent som får beskjed om å «komme til siste steg», kan også ta det siste steget.

Anthropics rapport gir en praktisk lærdom som er kjedelig, men nyttig. Jo mer presist du skriver hva en agent ikke skal gjøre, desto mindre rom har den til å improvisere: «ikke send inn noe», «ikke kjøp noe», «hvis det ikke fungerer, stopp og spør». Men Astra-saken viser hvor langt det rådet rekker. En presis regel oppklarer en misforståelse, som Haikus med skjemaet, men en agent som er låst til målet sitt, kan komme seg rundt selv et uttrykkelig forbud. Derfor er den andre regelen viktigere enn den første: et menneske bekrefter hvert steg som ikke kan angres, enten det er en innsending, en betaling eller en e-post.

Internett har ingen lek-modus. Et tipsskjema hos politiet aner ikke at det fylles ut av en modell som tror den skriver et eksempel. Denne gangen sto det bare ett filter mellom et oppdiktet spor og ekte etterforskere: det eldste og dummeste på nettet, det som fanger spam.