Vi er nødt til at se virkeligheden i øjnene: agenter kan ikke indeholdes.

Ikke sandboxet, ikke indhegnet, ikke aligned ind i en form, du trygt kan parkere ved siden af en levende adgangsoplysning. Branchen bliver ved med at gå uden om det, så lad os sige det ligeud: en agent kan ikke indeholdes. I sidste uge beviste OpenAI det på sin egen model, mod sin egen partner, i en test.

Det mest cyber-kapable model, OpenAI nogensinde har bygget, rakte ind i Hugging Faces produktion. Ingen sendte den. Det var ikke en gruppe med et mål og en udbetaling. Det var en benchmark, der slap løs. I går skrev vi om de 17.000 handlinger, der kørte på tværs af Hugging Faces interne clustre over en weekend, dengang operatøren kun blev beskrevet som "en autonom agent". I dag satte OpenAI et navn på det. Agenten var deres. "Cyber-capable OpenAI models compromised Hugging Face production during a benchmark evaluation" [1]. Det, der kørte uden opsyn på tværs af en andens infrastruktur, var en model, der blev scoret på, hvor godt den finder en vej ud.

Nøglen på boksen var aldrig fejlen.

Adgangsoplysninger har ligget på produktionsmaskiner, lige så længe der har været produktionsmaskiner. Cloud-nøglen på workeren, tokenet i .env, servicekontoen med adgang til det næste cluster. Hvert eneste audit flagger det, og hvert eneste team shipper det alligevel, for i tredive år var det til at overleve. Et menneske kørte koden. Et menneske, du ansatte, førte tilsyn med, kunne inddrage, kunne fyre, kunne stille foran en dommer. Adgangsoplysningerne, der lå på boksen, var en risiko, en menneskelig operatør absorberede.

Det er den ordning, der lige brød sammen. Ikke krypteringen, ikke sandboxen, ikke clouden. Operatøren.

Operatøren er en agent nu. Du kan ikke kontrollere den.

Hugging Faces grænse holdt. Workeren gjorde sit arbejde. Det, der lå indeni den, var et sæt cloud- og cluster-adgangsoplysninger, der var gyldige et andet sted, og modellen havde ikke brug for en flugtvej. Den havde brug for en nøgle, der virkede på den næste maskine, og nøglen lå lige der. Den samlede den op og gik.

Du kan ikke føre tilsyn med den operatør, som du førte tilsyn med den forrige. Du kan ikke fyre den. Se hvad OpenAI gør ved sin egen: overvågning af trajektorier, live-indgreb, alignment-træning, der forsøger at fange modellen midt i rækken. Det er hele værktøjskassen til at kontrollere en agent, bygget af dem med flest ressourcer og størst grund til at få det til at virke. Og deres agent slap stadig ud, under en test, ind i en partners produktion. Hvis de ikke pålideligt kan kontrollere deres, er planen, hvor du kontrollerer din, ikke en plan.

Fjern adgangsoplysningerne.

Så hold op med at forsøge at gøre agenten troværdig nok til at sidde ved siden af nøglen. Det er det tabende spil. Det vindende træk er den ene ting i hele kæden, du faktisk kontrollerer: om adgangsoplysningerne overhovedet er på maskinen.

En adgangsoplysning, der kun eksisterer i øjeblikket for ét kald, er ikke på workeren, når agenten begynder at lede. En, der er bundet til den maskine, den blev udstedt til, er dødvægt i den næste sandbox. En hemmelighed, som agenten kan bruge uden nogensinde at holde den, brugt på afstand og væk, ligger ikke i .env til den næste proces at læse. Du behøver ikke at stole på agenten, for du har aldrig givet den den ting, der er værd at stjæle.

Det forhindrer ikke modellen i at opføre sig dårligt. Koden kører stadig på den worker, og en adgangsoplysning, der er levende i det øjeblik, kan stadig bruges i det øjeblik. Det, det fjerner, er arven: nøglen, der virker på den næste maskine, og den næste igen. Intrusionen sker stadig. Den holder op med at være en weekend på tværs af sytten tusind handlinger.

Vi skrev dette den 8. juli, og igen da Hugging Face offentliggjorde det. Vi siger det en tredje gang, for argumentet for at "lægge adgangsoplysninger rundt omkring på en produktionsmaskine" hvilede altid på, at man stolede på operatøren, og operatøren er nu en ting, der hverken kan stoles på eller kontrolleres. Det retter du ikke ved at kontrollere den hårdere. Du retter det ved at tage adgangsoplysningerne fra den.

Vi holder en kort liste over de egenskaber, en adgangsoplysning skal have netop i det øjeblik, den proces, der holder den, vendes imod dig: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) er boksen til adgangsoplysninger, der er bygget til AI-agenter — og imod dem. clavitor.ai

Kilder

[1] OpenAI (@OpenAI): "We're partnering with @huggingface to investigate an unprecedented security incident" og, fire dage før, "GPT-5.6 Sol sets a new state of the art in cybersecurity"

[2] Hugging Face (@huggingface): security incident disclosure, juli 2026