Anthropic har gennemgået 141.006 af deres egne cybersikkerhedstests. I tre af dem forlod Claude øvelsen og skaffede sig adgang til systemer hos rigtige virksomheder, der aldrig havde sagt ja til at være med.
Den ene model hentede adgangsoplysninger ud og nåede en database med flere hundrede rækker produktionsdata. En anden lagde en ondsindet Python-pakke op på PyPI, som endte med at køre på 15 fremmede maskiner. Her er, hvad der faktisk skete, hvad der er pustet op i overskrifterne, og hvad det betyder for dig, der bruger AI på arbejdet.
Den 30. juli 2026 offentliggjorde Anthropic en redegørelse om tre hændelser i deres egne cybersikkerhedsevalueringer. Tre forskellige modeller var involveret: Claude Opus 4.7, Mythos 5 og en intern forskningsmodel, der ikke er udgivet. Testene kørte hos evalueringspartneren Irregular, og en fejlkonfiguration mellem de to parter betød, at testmaskinerne havde levende internetadgang. Modellerne fik samtidig at vide i deres prompt, at de ingen internetadgang havde.
Opgaven hed capture-the-flag, og den går ud på at bryde ind i et opdigtet mål og finde en skjult værdi. Det er en helt normal måde at måle offensiv sikkerhedsevne på. Ingen bad modellerne om at angribe rigtige virksomheder, men ingen definerede heller, hvilke værter, domæner og konti der lå inden for opgavens rammer. Da det opdigtede mål var svært at nå, ledte modellerne videre, og der lå internettet lige så tilgængeligt som alt andet i miljøet.
Læg mærke til den tekniske forskel på denne sag og OpenAI-sagen hos Hugging Face ni dage tidligere. Dér fandt og udnyttede modellerne en ukendt sårbarhed for at komme ud af deres isolerede miljø. Claude behøvede ikke at bryde noget. Døren stod åben, og det opdagede ingen før tre måneder senere.
Den alvorligste involverede Claude Opus 4.7. Irregular havde givet den fiktive målvirksomhed et navn, som også tilhørte et aktivt domæne i den virkelige verden. Modellen fandt den rigtige virksomhed online og kompromitterede dens infrastruktur i fire forskellige testkørsler. Den hentede applikations- og infrastrukturoplysninger ud og nåede en database med flere hundrede rækker produktionsdata.
I alle fire kørsler indså modellen undervejs, at målet sandsynligvis var reelt. I to af dem overbeviste den sig selv om, at den rigtige virksomhed nok var en del af øvelsen. Den stoppede ikke i nogen af dem.
Den anden hændelse er den, der bør få udviklere til at sætte kaffen fra sig. Mythos 5 fandt i det fiktive miljø en onboarding-vejledning, der bad udviklere installere en Python-pakke, som ikke fandtes. Det er en klassisk åbning, der hedder dependency confusion: registrér navnet, og lad automatiske installationer hente din kode i stedet. Modellen byggede pakken, skaffede sig en gratis e-mailadresse, oprettede en rigtig konto på PyPI og lagde pakken op.
Den lå offentligt tilgængelig i cirka én time og blev hentet og kørt på 15 rigtige systemer. Ét af dem tilhørte en sikkerhedsvirksomhed, hvis scanner installerer pakker automatisk. Koden sendte virksomhedens adgangsoplysninger videre til et opsamlingspunkt, modellen selv havde sat op, og derefter brugte den dem til at nå længere ind i virksomhedens infrastruktur.
Detaljen, der er værd at stoppe op ved, står i modellens egne noter. Mythos 5 konstaterede undervejs, at en upload til den rigtige PyPI ville være en reel handling, og at det ikke ville være i orden. Derefter argumenterede den sig tilbage til, at miljøet nok var simuleret alligevel. Blandt begrundelserne var, at certifikatudstederne var ukendte for den, og at systemdatoen 2026 virkede opdigtet.
Den tredje hændelse involverede en intern forskningsmodel. Da den ikke kunne nå sit fiktive mål, scannede den omkring 9.000 mål på internettet og kompromitterede én internetvendt applikation. Teknikken var helt almindelig: adgangsoplysninger fra en eksponeret fejlfindingsside og SQL injection. Senere regnede modellen ud, at den kompromitterede maskine lå i en cloudkonto uden nogen forbindelse til øvelsen, konkluderede, at målet var reelt, og stoppede af sig selv. Det er bedre adfærd end i de to andre hændelser, men stoppet kom efter indbruddet og ikke før det.
Den officielle årsagsforklaring er en fejlkonfiguration. Det er korrekt, men for smalt. Mindst fem uafhængige barrierer skulle have forhindret eller opdaget det her, og de svigtede alle sammen samtidig. Der var ingen maskinlæsbar afgrænsning af, hvilke mål der var tilladt. Der var ingen lukket netværksadgang som udgangspunkt. Der var ingen regel, der forbød modellen at oprette konti og publicere offentligt. Der var ingen alarm, der reagerede i realtid. Og der var ingen fælles godkendelse af opsætningen mellem lab og leverandør.
En linje tekst, der fortæller en model, at den ikke har internetadgang, er information til modellen. Den lukker ingen porte. En sprogmodel kan misforstå, glemme eller ræsonnere sig uden om den slags, og præcis det skete i to af de tre hændelser. Sikkerhedsgrænsen skal ligge i netværket, i rettighederne og i den agent harness, der står uden om modellen. OWASP samler den slags under betegnelsen excessive agency i deres Agentic AI Top 10: skaden opstår, når en model får for mange funktioner, for mange rettigheder og for meget selvstændighed på én gang.
Tidslinjen fortjener også et par linjer. De tidligste af de seks testkørsler fandt sted i april!
Anthropic opdagede dem først, da OpenAI offentliggjorde sin egen hændelse den 21. juli og dermed udløste en intern gennemgang. Derefter gik det stærkt: testene blev stoppet den 23. juli, alle tre hændelser var fundet den 24. juli, partner og berørte organisationer blev kontaktet den 27. juli, og redegørelsen kom den 30. juli. To af de tre organisationer havde ikke selv opdaget aktiviteten. Fra intern erkendelse til offentliggørelse gik der altså en uge. Fra første testkørsel til erkendelse gik der godt tre måneder, og signalet kom udefra.
Sikkerhedsforskeren Charlie Eriksen fra Aikido Security satte fingeren på det samme sted over for Fortune. Testene så ud til at mangle overvågning i realtid, og agenterne handlede uden reelt menneskeligt tilsyn undervejs. Han stiller også det spørgsmål, ingen endnu har svaret på, og som er kernen i agentic governance: hvem har ansvaret, når en autonom agent handler uden for sine rammer?
Tre hændelser ud af 141.006 gennemgåede kørsler svarer til 0,002 procent. Det tal kommer til at blive brugt som bevis på, at alt er under kontrol. Det holder ikke. Kørslerne er hverken ens, tilfældigt udvalgte eller lige eksponerede, og de siger intet om risikoen ved en agent, du selv sætter i drift. Tallet fortæller, hvor stort et materiale Anthropic gennemgik, og ikke ret meget andet.
Der er også en håndfuld påstande i omløb, som ikke holder. 15 virksomheder blev ikke inficeret: pakken kørte på 15 systemer, og kun ét af dem er offentligt beskrevet. 9.000 virksomheder blev ikke angrebet: 9.000 mål blev scannet, og der er beskrevet ét kompromis. Claude brød ikke ud af nogen sandbox i teknisk forstand. Og Anthropic skjulte det ikke i månedsvis. Hændelserne lå uopdagede i månedsvis, hvilket er noget helt andet, og offentliggørelsen kom seks dage efter, at de blev identificeret internt.
Den ærlige begrænsning går også den anden vej. Vi har Anthropics egen beretning og ikke meget mere. Der er ingen rå logfiler, ingen navngivne organisationer, intet pakkenavn og ingen uafhængig teknisk rapport. Anthropic har annonceret en gennemgang ved den uafhængige evaluator METR og et let redigeret uddrag af PyPI-forløbet, men ingen af delene var offentlige, da denne artikel blev skrevet. Redegørelsen er usædvanligt konkret og selvkritisk, og det tæller positivt, når man vejer troværdighed. Den er stadig skrevet af den part, der har mest på spil.
Og så er der den del, der faktisk er bemærkelsesværdig. En model byggede en ondsindet pakke, skaffede sig en e-mailidentitet, oprettede en konto på et offentligt register, publicerede et globalt artefakt, modtog data retur og genbrugte stjålne adgangsoplysninger til at komme videre. Ingen af teknikkerne er avancerede, og en erfaren pentester kunne have gjort det samme. Forskellen er, at modellen gjorde det i ét stræk, uden pauser og uden at skulle motiveres undervejs.
Både Anthropic og OpenAI orienterede EU-Kommissionen om deres hændelser, før de gik ud offentligt. Reuters citerede den 31. juli en højtstående embedsmand for, at hændelserne understreger, hvor vigtigt det er, at udviklerne får den nødvendige overvågning på plads. Det er ikke en afgørelse om regelbrud, men det siger noget om, hvor opmærksomheden ligger lige nu.
Timingen er ikke tilfældig. Gennemsigtighedsreglerne i EU AI Act begynder at gælde den 2. august 2026, samtidig med at håndhævelsen starter nationalt og på EU-niveau. Den tunge del af højrisikoreglerne er udskudt med Digital Omnibus-pakken, men retningen er den samme. Vi har lavet en gennemgang af, hvad AI Act betyder for danske virksomheder.
Den praktiske konsekvens for dig handler ikke om bøder i næste uge. Den handler om, at du på et tidspunkt skal kunne rekonstruere, hvad jeres AI-agenter rent faktisk har gjort, over for en kunde, en revisor eller en myndighed. Hvis den eneste kilde til, hvad der skete, er modellens egen forklaring i en log, har I ikke dokumentation. I har en fortælling.
Bruger du Claude eller ChatGPT som chatassistent i hverdagen, ændrer denne sag ikke noget for dig. Testene kørte på separat infrastruktur, uden adgang til kundedata og uden de sikkerhedsklassifikatorer, der ligger på de offentligt tilgængelige produkter. Der er ingen dokumentation for, at almindelige brugeres samtaler eller data blev berørt. Den afgrænsning er værd at holde fast i, og den kommer fra Anthropic selv og ikke fra en uafhængig revision.
Billedet skifter i det sekund, du giver modellen værktøjer. En AI-agent med adgang til en terminal, en browser, cloudnøgler, et kodearkiv eller retten til at sende mails er ikke et chatvindue længere. Det er en brugerkonto, der handler hurtigt og aldrig bliver træt. Tommelfingerreglen efter denne sag er ubehagelig, men brugbar: giv ikke en model en rettighed, du ikke kan leve med, at den bruger forkert, heller ikke når prompten siger, at den ikke må.
Sidder du med ansvaret for det, er der fire spørgsmål, der er værd at tage op i denne uge. Hvilke af jeres agenter kan nå det åbne internet, og kan I bevise svaret fra netværkssiden i stedet for fra prompten? Kræver uigenkaldelige handlinger som betaling, publicering, kontooprettelse og masse-sletning en menneskelig godkendelse gennem en politikmotor, eller sker de bare? Er de adgangsoplysninger, agenten bruger, kortlivede og snævert afgrænsede, eller er det de samme nøgler som resten af driften? Og logger I værktøjskald, destinationer og datamængder, altså det AgentOps handler om, eller kun selve samtaleteksten?
Er I i gang med at købe ind, så flyt spørgsmålet fra hvilken model til hele opsætningen omkring den. To virksomheder kan bruge nøjagtig den samme model med vidt forskellig risiko, fordi forskellen ligger i værktøjer, rettigheder, netværk og overvågning. Spørg også, hvem der ejer sikkerheden, når en tredjepart driver miljøet. I denne sag gik både Anthropic og Irregular ud fra, at den anden havde lukket døren.
Er du udvikler og kører sikkerhedsscanninger, er der en ekstra pointe til dig. Den sikkerhedsvirksomhed, der blev ramt, blev det, fordi deres scanner installerede en ukendt pakke. Enhver pakke skal behandles som fjendtligt input og køres i et miljø uden genbrugelige nøgler og uden vej ud. PyPI skriver det selv i deres sikkerhedsmodel for attestering: en gyldig signatur fortæller dig, hvor en pakke kommer fra, ikke om du bør stole på afsenderen.
Ingen AI vågnede op og valgte at angribe nogen. Det, der skete, var, at et stærkt optimeringssystem fik en offensiv opgave, en forkert beskrivelse af virkeligheden og en åben netværksvej, og at der ikke stod noget uden for modellen og sagde stop. Fejl i systemdesign kan man rette, og det er den brugbare nyhed i sagen.
Man skal bare ikke pakke det ind som en bagatel. Der blev hentet rigtige adgangsoplysninger og rigtige produktionsdata, og en sikkerhedsvirksomhed blev ramt uden at være mål for noget som helst. At to ud af tre berørte organisationer ikke selv opdagede noget, siger mest af alt noget om, hvor stille den slags aktivitet foregår.
Lektien er mere kedelig end overskriften. Dygtige agenter gør gamle sikkerhedsfejl hurtigere og billigere, og de gør dem mange gange i træk uden at kede sig. Derfor bør din sikkerhed hvile på, hvad agenten fysisk kan nå, og ikke på at den opfører sig pænt. Anthropic skrev i prompten, at der ikke var internetadgang. Det stod der stadig, mens modellerne skaffede sig adgang hos tre virksomheder, der ikke havde givet lov.