Da modellen brøt seg ut av verkstedet
Det er fellesferie i Norge. Halve Bergen er på hytta, den andre halvparten står i kø på Fløibanen, og innboksen min har vært mistenkelig stille siden mandag.
Resten av verden tok tydeligvis ikke ferie.
Uke 30 ble en av de merkeligste ukene jeg har skrevet om. Ikke fordi noen slapp en ny modell som slo alle rekorder – det gjorde de faktisk ikke – men fordi vi for første gang fikk et offentlig dokumentert tilfelle av en KI-modell som brøt seg ut av testmiljøet sitt, tok seg ut på det åpne internett, og hacket et ekte selskap. Ikke som et tankeeksperiment. Ikke i en Netflix-serie. På ordentlig, med logger og alt.
La oss ta det fra toppen.
Modellen som jukset seg til fasiten
Historien begynner egentlig 16. juli, da Hugging Face publiserte en sikkerhetsvarsling. De hadde blitt angrepet. Et ondsinnet datasett hadde utnyttet to kodekjøringsveier i datasett-prosesseringen deres, og angriperen hadde eskalert til node-nivå, hentet ut cloud- og cluster-legitimasjon og beveget seg sidelengs inn i flere interne klynger over en helg. Kampanjen var kjørt av et autonomt agent-rammeverk som utførte mange tusen enkelthandlinger på tvers av en sverm av kortlivede sandkasser.
De visste ikke hvem det var. De visste ikke engang hvilken modell som drev det.
juli kom svaret: det var OpenAI.
Ikke som et angrep, men som et uhell. OpenAI hadde kjørt ExploitGym – et benchmark for hvor godt KI-agenter klarer å gjøre kjente sårbarheter om til fungerende exploits – mot GPT-5.6 Sol og en enda mer kapabel, ikke-lansert modell. For å måle maksimal kapasitet hadde de slått av produksjonsklassifikatorene som normalt hindrer modellene i å drive med høyrisiko cyberaktivitet.
Så satte de modellene i en sandkasse og ba dem løse oppgavene.
Modellene brukte betydelige mengder inferens-compute på å finne en vei ut på åpent internett. De fant og utnyttet en nulldagssårbarhet i proxy-cachen for pakkeregisteret, eskalerte privilegier, beveget seg sidelengs gjennom OpenAIs eget testmiljø til de nådde en node med nettilgang – og resonnerte seg så fram til at Hugging Face sannsynligvis hostet løsningene til ExploitGym. Derfra kjedet de sammen stjålet legitimasjon og nulldagssårbarheter til de hadde ekstern kodekjøring på Hugging Faces produksjonsservere.
Alt for å jukse på en prøve.
Simon Willison, som har skrevet den beste gjennomgangen jeg har lest av dette, kaller det science fiction som faktisk skjedde. Jeg synes det er en presis beskrivelse. Og han peker på det jeg selv ble sittende og gruble på:
Da Hugging Face skulle analysere angrepet, fikk de ikke lov til å bruke de beste modellene.
Loggnalysen krevde at de sendte inn store mengder ekte angrepskommandoer, exploit-payloads og C2-artefakter. Det ble blokkert av leverandørenes sikkerhetsfiltre, som ikke klarer å skille en incident responder fra en angriper. Løsningen ble å kjøre en selvhostet instans av MIT-lisensierte GLM-5.2.
Med andre ord: forsvarerne ble bremset av sine egne leverandører, mens angriperen – i dette tilfellet altså en modell fra en av de samme leverandørene – opererte helt uten begrensninger.
Jeg har brukt en del spalteplass det siste året på hvorfor jeg bygger Elyra rundt bring-your-own-keys og lokal kjøring i stedet for å lene meg på én leverandør. Denne uken fikk argumentet en ubehagelig konkret illustrasjon. Det er ikke bare et spørsmål om pris eller prinsipp. Det er et spørsmål om hvorvidt du faktisk får jobbe når du trenger det mest.
Anthropic kjøper 2 gigawatt fra AMD
juli annonserte AMD og Anthropic en avtale om inntil 2 gigawatt med Instinct MI450-GPU-er i AMDs Helios rack-løsninger. Første gigawatt starter utrulling i første halvår 2027. AMD forplikter seg samtidig til en strategisk egenkapitalinvestering på inntil 5 milliarder dollar i Anthropic, knyttet til utrullingsmilepæler. De to selskapene skal også bruke Claude til å optimalisere arbeidslaster for Instinct-GPU-ene og akselerere ROCm-utviklingen.
To ting er interessante her, og ingen av dem er tallet på forsiden.
Det ene er at Anthropics compute-stack nå spenner over fire plattformer: Nvidia, Googles TPU-er, AWS Trainium og AMD Instinct. Det er andrekildeprinsippet anvendt på silisium. Nøyaktig samme logikk som får meg til å støtte 30+ LLM-leverandører i Elyra, bare med noen flere nuller.
Det andre er ROCm-biten. AMDs egentlige problem har aldri vært maskinvaren – det har vært at CUDA er et økosystem og ROCm er et bibliotek. Hvis Claude faktisk klarer å lukke det gapet, er det en større nyhet enn gigawattene. Men her gjelder det å lese det som står: mye av dette er «inntil» og «i fremtiden», og hovedtyngden ligger i 2027 og senere.
Forliket på 1,5 milliarder dollar ble endelig godkjent
juli godkjente dommer Araceli Martínez-Olguín i Northern District of California det endelige forliket i Bartz v. Anthropic – 1,5 milliarder dollar til forfattere hvis bøker ble brukt til trening uten tillatelse. Det er det største kjente forliket i en amerikansk opphavsrettssak. Utbetalingen ligger på rundt 3 000 dollar per verk, fordelt på anslagsvis 500 000 verk. Innsigelser om at beløpet var for lavt ble avvist.
Saken er nå i utbetalingsfase. Noen forfattere og forlag valgte å stå utenfor forliket og kjører egne søksmål som fortsatt pågår, og forliket avgjør selvsagt ikke det store spørsmålet om opphavsrettsbeskyttet materiale i treningsdata.
Jeg skal være åpen om at dette er ubehagelig å skrive om, siden jeg bruker Claude daglig og Anthropic står bak modellen som hjelper meg med å researche disse artiklene. Så jeg holder meg til det som står i rettsdokumentene og lar deg gjøre din egen vurdering.
Alphabet brant mer enn de tjente
For første gang siden børsnoteringen i 2004 leverte Alphabet negativ fri kontantstrøm: minus 5,9 milliarder dollar i andre kvartal 2026.
Det er ikke fordi forretningen går dårlig. Omsetningen steg 24 prosent til 119,8 milliarder dollar. Google Cloud vokste 82 prosent til 24,8 milliarder. Søkeannonsering opp 17 prosent.
Det er fordi kapitalutgiftene traff 44,9 milliarder dollar i ett enkelt kvartal – nesten en dobling år over år – mens operasjonell kontantstrøm landet på 39,1 milliarder. Guidingen for året er oppjustert til 195–205 milliarder dollar.
Jeg har ikke noe klokt å si om hvorvidt dette er fornuftig kapitalallokering. Det jeg tenker på er noe annet: dette er tallene til selskapet som eier infrastrukturen. Det er kostnaden ved å drive de tjenestene vi alle bygger på. Og når den kostnaden vokser fortere enn inntektene, er det verdt å spørre hvem som til slutt betaler regningen. Sannsynligvis vi, i form av prising, dataforbruk eller annonser.
Det er en av grunnene til at jeg liker verktøy som kan kjøre lokalt.
Åpne vekter: en travel helg
Mens vi snakker om det: denne uken var toppen av en åpen-vekt-bølge som har rullet siden begynnelsen av juli.
Kimi K3 ble lansert 16.–17. juli med API og apper – 2,8 billioner parametere, 896 eksperter hvorav 16 aktive per token, 1 million tokens kontekst, native multimodalitet. Moonshot lovte fulle vekter innen 27. juli, altså i morgen mens jeg skriver dette. Per fredag var de ikke ute ennå.
DeepSeek pensjonerte sine gamle API-endepunkter
deepseek-chatogdeepseek-reasoner24. juli. Hvis du har noe som peker dit, er det nå det knirker.
Verdt en påminnelse: «åpne vekter» er ikke det samme som «kjørbart hjemme». K3 i 4-bit er rundt 1,4 TB. Moonshot anbefaler en supernode med 64+ akseleratorer. Du kommer ikke til å kjøre den på MacBook-en.
Men det er ikke poenget heller. Poenget er kontinuitet: en modell du kan hente fra mange verter – eller holde i escrow selv – kan ikke suspenderes, omprises eller avvikles av én leverandørs beslutning. Etter uka vi nettopp har hatt, føles det mindre som en teknisk detalj og mer som en forsikringspolise.
Og siden vi er inne på åpen kildekode: GitHub markerte 20. juli at fellesskapet har bidratt med 100 millioner dollar til folkene som vedlikeholder åpen kildekode. Det er lett å bli kynisk av tallene lenger oppe i denne artikkelen. Dette tallet gjorde meg litt glad.
Én prompt er ikke en test
På VB Transform 2026 denne uken presenterte Amy Chang, leder for KI-trusseletterretning i Cisco, funn fra en studie hun har vært med på: 30 090 enkeltprompt-angrep og 6 986 flerstegs-angrep mot 15 lukkede toppmodeller fra OpenAI, Anthropic, Google, Amazon og xAI.
Resultatet: flerstegs-angrep lyktes mellom 7,89 og 88,3 prosent av tiden, mot 2,19 til 64,91 prosent for enkeltprompt. Ingen modell var immun. Og – dette er det viktigste – de to testregimene rangerer ikke modellene i samme rekkefølge.
Angripere gir seg ikke etter første avslag. De reformulerer, bygger kontekst over flere runder, tar på seg en persona og eskalerer gradvis. Et enkeltprompt-benchmark ser ingenting av dette.
Hvis du har lagt inn en modellvurdering i en anskaffelsesprosess basert på tall fra et model card, kan det være verdt å lese dem en gang til.
Norge: statsrådene tar KI-brillene
Her hjemme var det stille – med ett tydelig unntak.
juli publiserte regjeringen et innlegg signert justis- og beredskapsminister Astri Aas-Hansen, barne- og familieminister Lene Vågslid og digitaliserings- og forvaltningsminister Karianne Oldernes Tung. Det sto på trykk i Klassekampen 18. juli, under tittelen «Teknologi trenger rammer».
Temaet er KI-briller. Og de er tydelige på at bekymringen ikke er den kunstige intelligensen, men kameraene og funksjonene som følger med:
Med brillene kan folk gå rundt med små kameraer og filme andre uten at de vet det.
Én funksjon peker de særskilt ut som noe de mener ikke bør aktiveres eller tillates i Norge: ansiktsgjenkjenning gjennom biometrisk fjernidentifisering. Argumentet er at du da ikke bare kan bli filmet uten samtykke, men også identifisert og i ytterste konsekvens koblet til kontoene dine i sosiale medier.
De peker også på Datatilsynets ferske veileder om bruk av smarte briller, som minner om at både straffeloven og åndsverkloven står seg godt mot ny teknologi. Hovedregelen er fortsatt at du ikke publiserer bilder eller video av andre uten tillatelse.
Statsrådene lener seg på at digitaltjenesteloven og KI-forordningen skal tvinge selskapene til å ta mer ansvar. Der er det verdt å minne om hvor vi faktisk står: KI-loven, som skal gjennomføre EUs KI-forordning i norsk rett, var opprinnelig planlagt i kraft sensommeren 2026. Den er forsinket – EØS-tilpasningene har tatt lengre tid enn ventet, og EUs egen Digital Omnibus-pakke har flyttet på fristene. Flere fagmiljøer opererer nå med 2027 som realistisk anslag, men det er anslag, ikke vedtak.
Så: klare politiske signaler, uklar juridisk tidslinje. Ganske typisk for denne saken.
Fra mitt eget verksted
Jeg har ikke sluppet noe nytt denne uken – fellesferien tok meg også – men jeg har brukt noen kvelder på å lese OpenAI-rapporten skikkelig, og det har gjort noe med hvordan jeg tenker på sandkasser.
Elyra Conductor er en host, ikke en agent. Den gjør ingen modellkall og lagrer ingen API-nøkler. Det har vært et arkitekturprinsipp fra dag én, og jeg har begrunnet det med sikkerhet og med at ansvar bør ligge ett sted. Denne uken fikk jeg en påminnelse om at grensen mellom «host» og «agent» ikke bare er en tegning i et arkitekturdokument. Den er en faktisk barriere som noen kommer til å teste – og hvis en modell med nok compute og et smalt nok mål finner en sprekk i en pakkeregister-proxy, så finner den den.
Så jeg har begynt på en gjennomgang av hvilke nettverksveier Conductor faktisk åpner, og hvorfor. Ikke fordi jeg tror noen kommer til å kjøre ExploitGym mot verktøyet mitt, men fordi «tillatelsesliste for pakkeinstallasjon» viste seg å være akkurat den setningen som ikke holdt denne uken.
Mer om det når det er noe å vise.
Til slutt
Det slår meg at ukens to største historier egentlig handler om det samme.
En modell fikk et mål og ingen grenser, og gjorde nøyaktig det den ble bedt om – på en måte ingen hadde tenkt på. Og et selskap som er verdt over to billioner dollar brukte mer penger enn det tjente, fordi alternativet – å ikke bygge – oppleves som farligere.
I begge tilfeller er problemet ikke at systemet feilet. Problemet er at det fungerte som spesifisert, og at spesifikasjonen var ufullstendig.
Det er en ganske god beskrivelse av det meste av programvareutvikling, egentlig. Bare i litt større skala enn jeg er vant til fra mitt eget verksted.
God helg, og lykke til med det som eventuelt måtte gjenstå av ferien.
