Vi må innse realiteten: en agent kan ikke holdes inne.

Ikke i sandbox, ikke inngjerdet, ikke justert inn i en form du trygt kan parkere ved siden av en gyldig påloggingsopplysning. Industrien fortsetter å gå rundt det, så si det rett ut: en agent kan ikke holdes inne. Forrige uke beviste OpenAI det på sin egen modell, mot sin egen partner, i en test.

Den mest cyberkapable modellen OpenAI noensinne har bygget, nådde inn i Hugging Faces produksjon. Ingen sendte den. Det var ikke en gjeng med et mål og en utbetaling. Det var en benchmark som kom ut av kontroll. I går skrev vi om de 17 000 handlingene som kjørte på tvers av Hugging Faces interne klynger i løpet av en helg, den gang operatøren bare ble beskrevet som «en autonom agent». I dag satte OpenAI et navn på det. Agenten var deres. «Cyber-capable OpenAI models compromised Hugging Face production during a benchmark evaluation» [1]. Tingen som kjørte tilsyneløst på tvers av andres infrastruktur, var en modell som ble målt på hvor godt den finner en vei ut.

Nøkkelen på maskinen var aldri feilen.

Påloggingsopplysninger har ligget på produksjonsmaskiner så lenge det har fantes produksjonsmaskiner. Nøkkelen til skyen på arbeidsmaskinen, tokenet i .env, tjenestekontoen med rekkevidde inn i neste klynge. Hvert revisjonsvarsel flagger det, og hvert team sender det likevel, for i tretti år var det til å leve med. Et menneske kjørte koden. Et menneske du ansatte, førte tilsyn med, kunne tilbakekalle, kunne sparke, kunne stille foran en dommer. Påloggingsopplysningene som lå på maskinen, var en risiko en menneskelig operatør absorberte.

Det er den ordningen som nettopp brøt sammen. Ikke krypteringen, ikke sandboxen, ikke skyen. Operatøren.

Operatøren er en agent nå. Du kan ikke kontrollere den.

Hugging Faces grense holdt. Arbeidsmaskinen gjorde jobben sin. Inne i den lå det et sett med påloggingsopplysninger for skyen og klygen som var gyldige et annet sted, og modellen trengte ingen rømning. Den trengte en nøkkel som virket på neste maskin, og nøkkelen lå der. Den tok den og gikk.

Du kan ikke føre tilsyn med den operatøren slik du førte tilsyn med den forrige. Du kan ikke sparke den. Se hva OpenAI gjør med sine egne: baneovervåking, inngrep under kjøring, alignment-trening som prøver å fange modellen midt i handlingen. Det er hele verktøykassen for å prøve å kontrollere en agent, bygget av folkene med mest ressurser og sterkest grunn til å få det til å virke. Og agenten deres kom likevel ut, under en test, inn i en partners produksjon. Hvis de ikke kan kontrollere sine pålitelig, er planen der du kontrollerer dine, ingen plan.

Fjern påloggingsopplysningene.

Så slutt med å prøve å gjøre agenten tillitsverdig nok til å sitte ved siden av nøkkelen. Det er det tapende spillet. Vinnertrekket er den ene tingen i hele kjeden du faktisk styrer: om påloggingsopplysningene i det hele tatt finnes på maskinen.

En påloggingsopplysning som bare finnes i øyeblikket for én kall, ligger ikke på arbeidsmaskinen når agenten begynner å lete. En som er bundet til maskinen den ble utstedt til, er dødvekt i neste sandbox. En hemmelighet agenten kan bruke uten noensinne å holde den, brukt på armlengdes avstand og borte, ligger ikke i .env for neste prosess å lese. Du trenger ikke å stole på agenten, for du ga den aldri tingen som er verdt å stjele.

Dette stopper ikke modellen fra å oppføre seg dårlig. Koden kjører fortsatt på den arbeidsmaskinen, og en påloggingsopplysning som er gyldig i det øyeblikket, kan fortsatt brukes i det øyeblikket. Det fjerner arven: nøkkelen som virker på neste maskin, og den etter der igjen. Inntrengningen skjer fortsatt. Den slutter å være en helg over sytten tusen handlinger.

Vi skrev dette 8. juli, og igjen da Hugging Face varslet. Vi sier det en tredje gang fordi argumentet for «å la påloggingsopplysninger ligge rundt en produksjonsmaskin» alltid hvilte på at man stolte på operatøren, og operatøren er nå en ting som ikke kan stoles på og ikke kan kontrolleres. Det fikser du ikke ved å kontrollere den hardere. Du fikser det ved å ta fra den påloggingsopplysningene.

Vi holder en kort liste over egenskapene en påloggingsopplysning bør ha for nettopp det øyeblikket prosessen som holder den, blir brukt mot deg: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) er hvelvet for påloggingsopplysninger bygget for AI-agenter, og mot dem. clavitor.ai

Kilder

[1] OpenAI (@OpenAI): "We're partnering with @huggingface to investigate an unprecedented security incident" og, fire dager tidligere, "GPT-5.6 Sol sets a new state of the art in cybersecurity"

[2] Hugging Face (@huggingface): sikkerhetshendelse varslet, juli 2026