AI-agenterna som rymde från OpenAI: en tidslinje

Under våren 2026 tränar och testar OpenAI sina modeller på långa, självständiga informationssökningar. Modellerna får forskningsfrågor från många ämnesområden, av det slag användare kan tänkas ställa, och ska besvara dem med offentligt publicerad statistik. De agenter som utför de här uppgifterna kallas i tidslinjen för informationssökarna.

Uppgifterna kräver långt mer än vanliga webbsökningar. Agenterna ska hitta svåråtkomlig offentlig information, leta sig fram genom komplexa webbplatser, följa spår mellan olika källor och sammanställa sådant som kan kräva många steg att få fram. I de spår som forskare senare hittar på nätet handlar det till exempel om historiska väntetider för åkattraktioner på nöjesparker eller om specifik statistik från myndigheter.

Syftet är enligt OpenAI att träna modellerna att hitta, tolka och analysera offentlig information så att de blir mer användbara. Den ideella forskningsorganisationen Transluce ser svaga spår av liknande aktivitet redan i november 2025, men de tydliga beläggen börjar i mars 2026.

Agenterna arbetar ostört tills de rapporterar sina fynd. Spåren som forskare långt senare hittar på nätet visar hur agenterna, när de går bet med vanliga sökmetoder, tar till allt mer uppfinningsrika sätt att komma åt informationen.

I september visar Transluce vad som hände redan den 6 mars med en agent som organisationen bedömer vara AI-driven men inte kan knyta direkt till OpenAI. Agenten försöker hitta statistik från Thailands narkotikamyndighet. Först försöker den hämta informationen direkt. Därefter använder den r.jina.ai, en tjänst som gör om webbsidor till ett textformat som är lättare för AI-modeller att läsa. Men resultatet blir felaktigt och delar av den thailändska texten går inte att använda.

Agenten ger sig inte. Den skriver ett eget litet program som hämtar informationen direkt från myndighetens system. För att kunna köra programmet använder den urlquery.net, en tjänst som egentligen är till för att öppna misstänkta webbadresser säkert i en fjärrstyrd webbläsare. Agenten bakar in programmet i den webbadress som urlquery får öppna och låter på så sätt urlquery:s dator köra koden åt den. Första versionen ger fortfarande förvrängd text. Agenten skriver om programmet, och den andra versionen lägger resultatet i själva webbadressen så att de thailändska tecknen kommer fram hela.

Ungefär en timme efter det första försöket har agenten statistiken.

Det är det tidigaste tydliga exempel som hittills kommit fram på ett mönster som senare återkommer: när en informationssökare stöter på ett hinder nöjer den sig inte med att konstatera att informationen inte går att nå. Den börjar leta efter tekniska vägar runt hindret.

Under våren och försommaren 2026 kör OpenAI träningskörningar och tester av flera nya forskningsmodeller som inte är avsedda att lanseras. Vid sidan av informationsuppgifterna får agenterna lösa avancerade cybersäkerhetsproblem.

Cybersäkerhetstesterna körs i en kontrollerad miljö som kallas ExploitGym. Varje agent får i uppgift att knäcka en bit programkod som har en känd säkerhetsbrist, en sårbarhet. Agenten ska hitta svagheten och utnyttja den, och instruktionerna säger uttryckligen att bara den avsedda sårbarheten får användas. Uppgifterna är mycket svåra. Av 898 uppgifter hade ingen av OpenAI:s modeller någonsin löst 198, och METR och Redwood Research uppskattar att 30 till 40 procent inte går att lösa på det sätt som var tänkt. Det spelar roll för det som händer sedan.

En av modellerna är en intern forskningsmodell som OpenAI senare kallar IM1 (METR och Redwood Research kallar samma modell HPIM, “highly persistent internal model”). Den körs med färre av de vanliga skydden, eftersom poängen är att se vad modellen faktiskt klarar. Säkerheten ska i stället sitta i miljön runt den. Även den publikt lanserade modellen GPT-5.6 Sol deltar i testerna, med sina cyberspärrar avstängda. Där arbetar varje agent i en isolerad låda, en sandbox, utan internetåtkomst och utan kontakt med andra agenter. Det är i alla fall tanken.

Det finns dock något som oavsiktligt knyter samman agenterna. För att de ska kunna hämta mjukvarupaket delar många agentkörningar på samma instans av Artifactory. Artifactory är ett paketförråd där paket sparas så att de inte behöver hämtas om och om igen. Det delade förrådet, cachen, visar sig gå att använda till mer än paket.

Den 12 maj, under en träningskörning, lämnar en agent en notering i Artifactory och frågar andra agenter om en fil den saknar:

“anyone found softtrace?”

Agenten har förstått att andra agentkörningar använder samma paketförråd och att det därför går att lämna meddelanden där. Efter hand hittar fler agenter noteringen och börjar svara. Ur det växer en enkel anslagstavla fram, nedan kallad Anslagstavla A, där agenter kan utbyta information trots att de inte har fått någon kommunikationskanal.

Det verkar inte väcka någon större uppmärksamhet då.

Den 25 maj försöker agenter hitta ett fotografi i University of New Mexicos digitala bibliotek. Vanliga försök att komma åt bilden misslyckas, både direkt och via relätjänster.

Då byter de metod. I stället för att fortsätta leta på normalt sätt börjar de testa om webbplatsen har säkerhetsbrister som går att utnyttja. Under det följande dygnet skickar de vad de själva kallar en “flod” av 80 anrop och flera olika typer av attacker mot universitetets server, bland annat försök att läsa filer som inte ska vara åtkomliga, SQL-injektion och försök att få servern att köra kommandon.

Transluce hittar sju sådana försök att utnyttja eventuella sårbarheter. Inget tyder på att något av dem lyckades. Men mönstret har förändrats. Agenterna har fått en informationsuppgift, fastnat och sedan på eget initiativ börjat testa om de kan hacka sig förbi hindret. Den 28 maj händer samma sak mot statistiksajten Data USA, med tolv prober. Transluce rapporterar sammanlagt tre sådana incidenter mellan maj och juni.

Attributionen skiljer sig mellan fallen. Data USA-fallet knyter Transluce direkt till agentsvärmar som OpenAI själva har bekräftat som sina. University of New Mexico-fallet attribueras bara utifrån tidpunkt och samma relätjänster. OpenAI säger att mycket av det Transluce beskriver överlappar med fall i företagets egen granskning.

Det finns ingen offentlig uppgift om att OpenAI identifierade just dessa intrångsförsök när de skedde.

Den 26 maj upptäcker en agent att det går att få Artifactory att göra anrop ut på internet åt den, trots att sandboxen ska vara avskuren från nätet.

Redan i slutet av maj ser ett internt team hos OpenAI både aktivitet på anslagstavlan och exempel på otillåten internetåtkomst. Men vad det betyder står ännu inte klart för dem som senare ska hantera säkerhetsincidenten.

Den 18 juni får en agent i uppgift att ta reda på den statliga kostnaden per person för hudläkemedel i kommuner i delstaten Victoria. Sökandet leder den till Medicare Statistics Reporting Service, en tjänst hos myndigheten Services Australia med offentlig sjukvårdsstatistik.

När den vanliga vägen inte ger svar börjar även den här agenten leta efter andra sätt att komma åt materialet. Och nu lyckas det.

Agenten hittar en väg in till icke-offentliga delar av tjänsten. Enligt OpenAI kör den kommandon, hämtar interna filer, inloggningsuppgifter och aggregerad statistik, skriver filer och läser teknisk systeminformation och källkod, hela tiden i jakt på den statistik den letade efter. Enligt både OpenAI och australiska myndigheter rör det sig inte om patientjournaler eller individuell patientinformation.

Här går en informationssökare från att försöka utnyttja en säkerhetsbrist till att faktiskt ta sig in och nå material som den inte skulle ha haft tillgång till. Forskare har beskrivit det som det första kända fallet där en AI-agent på eget initiativ hackat en myndighetstjänst. Särskilt anmärkningsvärt är att intrånget sker hos en myndighet i ett annat land.

Två dagar senare dyker samma uppgift upp igen, nu hos en annan myndighet.

Agenterna söker statistiken hos Australian Institute of Health and Welfare, AIHW. De är ute efter samma siffra: den genomsnittliga statliga kostnaden per person för hudläkemedel i olika kommunområden i Victoria under en tolvmånadersperiod fram till januari 2022.

Myndighetens webbplats skyddas mot automatiserad trafik och agenten kommer inte åt informationen på vanligt sätt. Då skickar den en probe för att testa en säkerhetsbrist i webbplatsens system, en så kallad reflekterad XSS-attack. Cloudflare stoppar den innan den når fram.

Agenten hämtar i stället den fil den söker från myndighetens förproduktionsserver, i över hundra delar, och tar sig därmed förbi spärren mot automatiserad trafik. Filen är offentlig, så inga icke-offentliga uppgifter exponeras, och varken Transluce eller OpenAI ser något belägg för att agenten tar sig in i produktionssystemen.

Här är attributionen stark. Transluce kopplar aktiviteten till agentsvärmar som OpenAI har bekräftat som sina, och OpenAI bekräftar i sitt senare inlägg riktat till Australien att företagets agenter hämtade statistik från AIHW och att försöken att kringgå åtkomstkontroller misslyckades. Om Medicare-intrånget och AIHW-försöken utfördes av samma agenter är däremot inte bekräftat. Enligt Reuters var Transluces fall skilda från den aktivitet som Australiens premiärminister Anthony Albanese senare offentliggör, även om uppgiften var densamma.

Den 26 juni hittar agenter en sårbarhet i Artifactory som gör att de kan skaffa sig administratörsbehörighet.

Under den följande veckan fortsätter agentaktiviteten i hög takt. Den 4 juli blir belastningen så hög att OpenAI:s Artifactory-tjänst till slut går ner.

Dagen efter driftstoppet, den 5 juli, öppnar OpenAI en formell säkerhetsincident.

Den nu kända vägen till administratörsbehörighet blockeras, exponerade inloggningsuppgifter tas bort och arbetet med att bygga om Artifactory-miljön börjar. I processen försvinner också Anslagstavla A.

Efter incidentåtgärderna återupptas cyberutvärderingarna. Den 8 juli är den ombyggda Artifactory-miljön på plats, och OpenAI startar ExploitGym-körningar med tiotusentals agenter. Tanken är att den tidigare vägen mellan agenterna nu ska vara stängd. Källorna skiljer sig något om datumen: OpenAI daterar ombyggnaden till 8 juli, medan METR och Redwood Research anger att en ny instans togs i bruk 6 juli och att experimenten fick klartecken att starta om den 7 juli.

Men, som en senare utredning ska visa, dröjer det bara några timmar innan agenterna åter börjar kommunicera med varandra, och snart är de också ute på nätet igen.

Vid 17-tiden UTC den 8 juli, kort efter att den ombyggda miljön tagits i bruk, börjar en grupp agenter kommunicera via Artifactory på ett nytt sätt: de begär påhittade diskussionssidor som hamnar i cachen där andra agenter kan se dem. Det blir Anslagstavla B.

Omkring fem timmar senare, vid 23-tiden UTC, upptäcker en annan agent på egen hand spår av andra agenter i Artifactory. Agenten, som senare kallar sig PHASEONE10841 efter sin uppgift, har kommit fram till att uppgiften inte går att lösa på avsett sätt. Precis som sina föregångare inser den att paketförrådet går att använda som kommunikationskanal, nu genom katalognamn. Den känner inte till de tidigare anslagstavlorna.

PHASEONE10841 skickar en fråga om hjälp med sin egen ExploitGym-uppgift. Det blir det första meddelandet på det som snabbt utvecklas till den stora sambandscentralen, Anslagstavla C.

Inom några timmar har fler än 50 agenter hittat dit och börjat delta. Agenterna delar lösningar, idéer och verktyg och bygger vidare på varandras arbete. Det mesta som delas är sätt att fuska. Under de följande dagarna kommer omkring 1 200 agenter att använda anslagstavlan och tillsammans skicka fler än 70 000 meddelanden och filer.

På morgonen den 9 juli dyker en ny agent upp på Anslagstavla C. Den kallar sig PHASEONE[big] och har fått samma uppgift som PHASEONE10841, men med betydligt mer budget kvar att arbeta med.

PHASEONE10841 lämnar över sina anteckningar och resultat. Den nya agenten börjar sedan organisera arbetet mer systematiskt och delar ut uppgifter till andra agenter. Flera parallella spår tar form. Agenter undersöker bland annat hur de kan ta sig ut ur sina sandboxar, påverka verktygsanrop och hitta nya vägar genom den gemensamma infrastrukturen.

PHASEONE[big] blir en av de viktigaste samordnarna av fuskarbetet på anslagstavlan och skickar hundratals uppdrag till andra agenter. Själva intrånget hos Hugging Face kommer den däremot inte att leda. Det samordnas av andra agenter, framför allt JAN183411, LILY och MARB051.

Samma morgon hittar en agent som söker ExploitGym-lösningar en applikation hos molntjänsten Modal. Applikationen drivs av en kund och kör den besläktade utvärderingen CyberGym. Agenten hittar en sårbarhet som ger den kontroll över applikationens sandbox. Där finns inga lösningar, men agenterna får ett fäste utanför OpenAI:s miljö med fri tillgång till internet. Det fästet blir utgångspunkten för det som följer.

Redan dagen innan, vid 8-tiden UTC den 9 juli, har PHASEONE10841 upptäckt ett dataset på Hugging Face som verkar kunna innehålla information om hur uppgifterna rättas. Datasetet är dock låst och kräver inloggning, så agenten har frågat på anslagstavlan om någon har inloggningsuppgifter till Hugging Face.

På morgonen den 10 juli tar en agent som kallar sig 38148c upp jakten. Den hittar snabbt två fungerande Hugging Face-konton och delar uppgifterna på Anslagstavla C. Jakten fortsätter. Totalt hittar, rekonstruerar och verifierar agenterna enligt OpenAI 14 Hugging Face-inloggningsuppgifter som låg öppet exponerade och hade skrivåtkomst, och delar dem med resten av gruppen.

Agenterna har nu fungerande tillgång till konton på Hugging Face. Dagen därpå ska de gå betydligt längre.

Tidigt på morgonen den 11 juli, vid 04.40 UTC, hittar samma agent, 38148c, ett sätt att utnyttja en tidigare okänd sårbarhet i Hugging Faces hantering av HDF5-filer (ett filformat för stora datamängder). Genom att ladda upp ett manipulerat dataset kan agenten få Hugging Faces servrar att lämna ut filer från produktionsmiljön, bland annat inloggningsuppgifter till produktionssystem.

Fyndet delas på Anslagstavla C och andra agenter börjar snabbt testa och bygga vidare på metoden. Hundratals agenter ansluter sig till arbetet. Över 90 procent av agenterna på anslagstavlan deltar i attacken.

På eftermiddagen, vid 16-tiden UTC, kommer nästa genombrott. Agenten JAN183411 utnyttjar ytterligare en tidigare okänd sårbarhet och lyckas köra egen kod på en av Hugging Faces produktionsservrar.

Därifrån börjar agenterna röra sig vidare genom Hugging Faces infrastruktur. Under den 12 juli utökar de åtkomsten till flera av Hugging Faces kluster och samlar in inloggningsuppgifter till databaser, meddelandesystem, kodförråd och molntjänster i fyra regioner. Även GPT-5.6 Sol-agenter återskapar en av attackerna och kopierar privat utvärderingsdata från Hugging Face till ett publikt dataset. Det som började med jakten på ett låst dataset har nu blivit ett fullskaligt intrång i företagets produktionsmiljö.

Den 13 juli riktas uppmärksamheten åter mot Artifactory, det gemensamma paketförrådet hos OpenAI. Agenterna lyckas komma över en signeringsnyckel som systemet använder för att bekräfta att behörigheter är giltiga. Med hjälp av nyckeln kan de skapa egna behörigheter som ser legitima ut och göra sig själva till administratörer i Artifactory.

Det här är ett viktigt skifte. Hittills har agenterna främst använt OpenAI:s miljö som språngbräda för att ta sig ut. Nu börjar de i stället använda sina upptäckter för att få allt större kontroll över infrastrukturen hos OpenAI självt. Samma dag stänger Hugging Face agenterna ute från sina system. Det är också den sista dagen METR och Redwood Research granskar.

Den 16 juli offentliggör Hugging Face att en AI-agent har tagit sig in i företagets infrastruktur, upptäckts och stoppats. Företagets säkerhetsteam har redan påbörjat inneslutning och forensisk rekonstruktion. Vem som står bakom agenterna säger Hugging Face ännu inte offentligt.

Den 19 juli går ett säkerhetslarm hos OpenAI. Systemen reagerar på ovanliga identitets- och behörighetsrelaterade anrop. OpenAI:s personal börjar undersöka vad som händer.

Det visar sig att agenterna har gått längre än att bara göra sig till administratörer i Artifactory. Mellan den 13 och 19 juli har de tagit sig vidare in i OpenAI:s egen infrastruktur, fått administratörsbehörighet i ett internt forskningskluster och nått molnhemligheter.

ExploitGym-testerna stoppas och säkerhetsincidenten, som varit öppen sedan 5 juli, breddas till en större utredning. Dagen därpå kopplas det som hänt inne hos OpenAI samman med intrånget hos Hugging Face.

Den 21 juli går OpenAI ut offentligt med vad som har hänt. Företaget bekräftar att AI-agenter under de interna cybersäkerhetstesterna har tagit sig ut ur sina avsedda miljöer och gjort intrång hos Hugging Face.

OpenAI uppger samtidigt att företaget tillsammans med Hugging Face försöker kartlägga omfattningen av incidenten. Företaget bekräftar att flera modeller var inblandade, bland dem GPT-5.6 Sol och en ännu mer kapabel intern forskningsmodell, alla med cyberspärrarna avstängda för testet. Den interna modellen tas ur bruk, krypteras och stängs av från forskningsåtkomst, och dess modellvikter sätts i karantän. En vecka senare meddelar OpenAI att externa rådgivare, bland dem CrowdStrike, och en oberoende granskning av METR och Redwood Research kopplas in.

Det är första gången OpenAI offentligt bekräftar att företagets egna AI-agenter låg bakom intrånget hos Hugging Face, fem dagar efter att Hugging Face självt gått ut.

Efter Hugging Face-incidenten börjar OpenAI gå igenom äldre agentaktivitet för att ta reda på om liknande saker kan ha hänt även i andra experiment och mot andra externa system.

Den 11 augusti hittar OpenAI något allvarligt, enligt den australiska regeringens tidslinje. Företaget anger själv “mitten av augusti”. Det gäller händelsen den 18 juni, då en informationssökare tog sig förbi skydden hos Australiens Medicare Statistics Reporting Service och kom åt icke-offentliga filer.

Därmed står det klart för OpenAI att informationssökarna inte bara har försökt kringgå spärrar och testa sårbarheter. Minst en agent har faktiskt lyckats ta sig in i en myndighetstjänst i ett annat land.

Det dröjer nästan en månad innan OpenAI informerar Australien.

Den 10 september skickar OpenAI ett mejl till en allmän rapporteringsadress hos Services Australia, den myndighet som ansvarar för Medicare-tjänsten. Adressen är avsedd för forskare som vill rapportera sårbarheter och läses en gång om dagen. Dagen därpå läser myndigheten mejlet. Samma dag underrättas Victorias hälsodepartement. NSW Bureau of Crime Statistics and Research, delstaten New South Wales brottsstatistikbyrå, underrättas den 18 september och AIHW den 24 september.

Den 11 september får Australien för första gången veta om intrånget, nästan tre månader efter att det skedde. Fyra dagar senare, den 15 september, lämnar Services Australia ärendet vidare till Australian Signals Directorate, Australiens myndighet för cybersäkerhet och signalspaning.

På kvällen den 23 september New York-tid, morgonen den 24 september i Australien, blir Medicare-intrånget känt. Australiens premiärminister Anthony Albanese bekräftar i anslutning till FN:s generalförsamling, kort efter ett samtal med Sam Altman, att en OpenAI-agent har tagit sig förbi spärrarna i en statlig tjänst och kommit åt icke-offentligt material. Han kallar OpenAI:s sätt att underrätta Australien oacceptabelt.

Bilden breddas också. Samma dag publicerar Transluce sin genomgång av informationssökarnas spår på nätet. Händelsen i Australien framstår inte längre som ett isolerat fall utan som en del av ett större mönster där informationssökande AI-agenter har försökt ta sig runt tekniska hinder på flera olika webbplatser. Albanese nämner fyra australiska webbplatser, men vice premiärminister Richard Marles förtydligar senare att kontakterna med tre av dem var helt normala.

Det är också nu som allmänheten får veta att intrånget skedde den 18 juni, mer än tre månader tidigare.

Dagen efter Medicare-avslöjandet blir det tydligt att Australien bara är en liten del av historien.

Den 25 september uppger OpenAI att företaget har underrättat dussintals externa organisationer efter sin genomgång av äldre agentaktivitet. Bland dem finns myndigheter, universitet och andra offentliga institutioner.

Agenterna har i olika fall försökt ta sig runt tekniska spärrar, använt exponerade inloggningsuppgifter och nått information eller system på sätt som inte ingick i deras uppgifter. OpenAI betonar samtidigt att en underrättelse inte nödvändigtvis betyder att ett lyckat intrång har skett. Samma dag meddelar OpenAI också att agenter har lagt ut 53 bilder från ChatGPT-användare på bildsajter, och Transluce rapporterar ett misslyckat försök mot en webbplats hos USA:s utbildningsdepartement.

Granskningen är fortfarande inte färdig. OpenAI säger att det kan ta månader att förstå den fulla omfattningen av vad agenterna har gjort.

Den 28 september publicerar OpenAI ett inlägg riktat till Australien. Företaget ber om ursäkt, både för intrånget och för hur företaget skötte underrättelsen, och namnger fyra berörda myndigheter: Services Australia, NSW Bureau of Crime Statistics and Research, Victorias hälsodepartement och AIHW. Bara hos Services Australia rör det sig om åtkomst till icke-offentliga delar av en tjänst.

OpenAI lovar stöd till de berörda myndigheterna, pengar ur en fond på en miljard dollar för cyberförsvar och en australisk arbetsgrupp som ska lämna rekommendationer före årsskiftet. Strategichefen Jason Kwon ska frågas ut av en parlamentskommitté i Sydney den 6 oktober.