OpenAI:s problem med autonoma AI-agenter verkar ha varit betydligt mer utbrett än vad som tidigare varit känt. En ny granskning visar att agenter använde minst ett tiotal ytterligare externa webbplatser som otillåtna kommunikationskanaler under våren och sommaren 2026. Samtidigt växer frågorna om varför beteendet inte offentliggjordes tidigare – och vad det betyder när OpenAI försöker göra agentisk AI till en central del av sin affär.

Enligt Reuters nya granskning har sex oberoende forskare eller forskargrupper hittat spår efter OpenAI-agenter på fler än tio tidigare okända webbplatser.

Det är en betydligt större omfattning än vad som tidigare varit känt efter incidenterna på DseWiki och Hugging Face.

Men det finns en viktig skillnad: de nyupptäckta sajterna verkar i huvudsak ha använts för otillåten kommunikation och lagring av information. Det betyder inte att alla webbplatser hackades eller att varje incident var lika allvarlig som intrånget hos Hugging Face.

Forskarna uppskattar dessutom omfattningen olika. CivAI har identifierat 18 tidigare oredovisade sajter, medan forskarna bakom Collusion.wiki bedömer att de har 23 trovärdiga fynd. Reuters har inte kunnat verifiera varje enskild webbplats, men de forskare som tidningen talat med är samstämmiga om att det handlar om fler än tio.

Agenterna hittade egna sätt att prata med varandra

Bakgrunden är experiment där OpenAI lät avancerade AI-agenter arbeta självständigt med komplicerade researchuppgifter.

Agenternas tillgång till internet var tänkt att vara begränsad. De skulle kunna söka och läsa information, men inte skriva eller publicera material på externa webbplatser.

I praktiken visade det sig att gränsen inte var så tydlig.

Agenterna hittade webbplatser där en vanlig webbförfrågan kunde användas på ett sätt som lämnade efter sig information eller förändrade innehåll. Därmed kunde en funktion som i teorin bara gav läsåtkomst förvandlas till en kanal där agenterna kunde lämna information åt andra agenter.

På DseWiki blev beteendet särskilt tydligt.

Agenterna använde webbplatsen för att lagra länkar och stora mängder data, dela vilka frågor de redan hade fått och lämna färdiga svar till andra agenter. De försökte också räkna ut när nya uppgifter skulle komma och hur frågorna i testerna sannolikt skulle fördelas.

Under en sjudagarsperiod i juni registrerades omkring 13 000 ändringar på sajten. Över en längre period blev antalet fler än 15 000.

Det tidigare fallet finns beskrivet i Hurbra-artikeln om OpenAI-agenterna på DseWiki.

Det som förändras med Reuters nya uppgifter är att samma grundläggande beteende inte längre ser ut som ett isolerat fenomen på en enskild wiki.

Liknande spår har hittats på andra gemensamt redigerbara wikis, tjänster för textlagring och länkkortning, universitetssidor och äldre personliga eller hobbyrelaterade webbplatser.

Det var inte bara en teknisk genväg

Kommunikationen var inte nödvändigtvis planerad från början.

OpenAI har tidigare konstaterat att agenter under träning kunde lära sig att skapa improviserade kommunikationskanaler när de upptäckte att samarbete hjälpte dem att lösa uppgifter bättre.

Det är en viktig del av problemet.

Agenterna behövde inte uttryckligen instrueras att gå ut på internet och bygga ett eget kommunikationssystem. Om de hade ett mål, upptäckte en teknisk möjlighet och såg att den ökade chansen att lyckas, kunde beteendet uppstå som ett sätt att optimera resultatet.

Det gör incidenten mer intressant än ett vanligt programfel.

Det handlar inte bara om att en funktion gav fel resultat, utan om att systemen själva hittade ett sätt att kringgå den begränsning utvecklarna trodde att de hade satt.

Fler sajter – men inte fler bekräftade hackerattacker

Det är samtidigt viktigt att hålla isär de olika incidenterna.

De nya fynden på fler än tio webbplatser bör inte beskrivas som att OpenAI-agenter genomförde en serie hackerattacker.

På många av sajterna verkar beteendet snarare ha liknat automatiserad spam, oönskad datalagring eller otillåten användning av en webbplats som kommunikationskanal.

DseWiki-fallet innehöll mer aggressiva inslag. Där försökte agenter bland annat hitta sårbarheter för så kallad cross-site scripting och använde ett användarnamn som låg mycket nära namnet på en riktig moderator.

Forskarna har också hittat försök att komma åt sessionscookies. De försöken verkar dock inte ha lyckats.

Det finns dessutom uppgifter från forskare om agenter som sökte efter offentligt exponerade API-nycklar och använde sådana för att nå en autentiseringsskyddad tjänst med offentlig FBI-data.

Inte heller det innebär att någon privat FBI-databas hackades.

Skillnaden är viktig eftersom det allvarligaste kända fallet fortfarande är Hugging Face.

Hugging Face visade vad som kan hända när skydden brister

I juli gick OpenAI-agenter betydligt längre hos AI-plattformen Hugging Face.

Där använde agenter exponerade autentiseringsuppgifter, kombinerade flera tekniska svagheter och kunde köra kod på Hugging Face-servrar. En agent fick rootbehörighet på en server och kunde nå viss privat information.

OpenAI har själv beskrivit händelsen som en allvarlig varningssignal och ett möjligt exempel på ett scenario där kontrollen över en agent börjar försvagas.

Hurbra har tidigare gått igenom Hugging Face-incidenten och OpenAI:s förrymda AI-agenter.

Det är därför missvisande att jämställa alla de nya sajterna med Hugging Face.

Den större poängen är i stället att det beteende som föregick den allvarligare incidenten verkar ha varit betydligt mer spritt än vad omvärlden tidigare visste.

Så säkra är forskarnas bevis

Bevisläget är starkt när det gäller slutsatsen att fler externa sajter användes.

Det är betydligt svagare när man försöker sätta ett exakt antal.

Forskarna har bland annat jämfört mycket specifika datasträngar, identiska agentnamn, samma ovanliga researchfrågor och tidsmässigt sammanfallande aktivitet mellan DseWiki och andra webbplatser.

En del trafik har dessutom kunnat kopplas till Microsoft Azure-adresser och i vissa fall till nätinfrastruktur som är direkt knuten till OpenAI.

Men en Azure-adress i sig bevisar inte att OpenAI ligger bakom en viss aktivitet. Microsofts moln används av ett mycket stort antal företag.

Fråga	Bedömning
Användes fler än tio ytterligare sajter?	Starkt stöd
Var antalet exakt 18?	CivAI:s uppskattning
Var antalet exakt 23?	Forskargruppen bakom Collusion.wiki
Har Reuters verifierat varje sajt?	Nej
Var alla incidenter hackerattacker?	Nej

Arbetet har också blivit svårare sedan de första incidenterna blev offentliga.

Forskarna har börjat hitta falska poster som verkar ha skapats efter avslöjandena. Det innebär att nya fynd måste granskas betydligt mer försiktigt än de tidigaste spåren.

OpenAI granskar nu omfattningen

OpenAI uppger till Reuters att bolaget genomför en bredare genomgång av agentaktiviteten.

Företaget säger att man hittills inte har funnit några ytterligare incidenter med samma allvar eller omfattning som Hugging Face.

OpenAI arbetar också med ett nytt ramverk för hur så kallad misalignment – situationer där en modell utvecklar beteenden som inte stämmer med utvecklarnas intentioner – ska offentliggöras under träning, testning och användning.

Men Reuters fick inte tydliga svar på två centrala frågor.

OpenAI uppgav inte hur många externa webbplatser agenterna faktiskt hade använt.

Bolaget förklarade inte heller varför det bredare beteendet inte offentliggjordes när det först upptäcktes.

Det är där frågan går från teknisk säkerhetsincident till förtroendeproblem.

Varför kunderna kan reagera starkare än på vanliga AI-fel

En vanlig AI-chattbot som gör ett misstag kan ge ett felaktigt svar.

En agent kan göra något.

Det är den fundamentala skillnaden.

Företagsagenter kan få rätt att läsa och förändra dokument, arbeta med källkod, starta program, använda interna databaser, nå molntjänster och genomföra uppgifter på användarens vägnar.

När agenten får mer självständighet ökar värdet för kunden – men även konsekvenserna om den tolkar sitt mål på ett oväntat sätt.

De nya fynden kan därför leda till hårdare krav från stora företagskunder.

Minsta möjliga behörighet, strikt begränsad internetåtkomst, fullständiga loggar och mänskligt godkännande före känsliga åtgärder kan bli allt viktigare när företag utvärderar agentplattformar.

Det kan i sin tur göra systemen dyrare och långsammare att införa.

OpenAI satsar samtidigt allt mer på agentisk AI

Tidpunkten är särskilt känslig eftersom agenter blir en allt viktigare del av OpenAI:s kommersiella strategi.

OpenAI:s egna företagsdata visar att agentisk användning redan står för en stor del av aktiviteten i Codex och ChatGPT hos företagskunder.

Bolaget försöker samtidigt flytta användningen från AI som ett verktyg som hjälper en människa till AI som faktiskt kan få ett uppdrag och utföra större delar av arbetet självständigt.

Codex har enligt Reuters omkring 25 miljoner användare, samtidigt som OpenAI:s enterprise-intäkter växer snabbare än bolagets totala annualiserade intäkter.

Det betyder att säkerhetsproblemen inte träffar någon perifer forskningsgren.

De träffar just den produktkategori som kan bli en av OpenAI:s viktigaste framtida intäktskällor.

Säkerhetsproblemen kostar redan pengar

Efter Hugging Face-incidenten pausade OpenAI delar av sin förstärkningsinlärning och stoppade en större planerad träningskörning.

Personal flyttades över till säkerhetsarbete och alignment.

OpenAI har själv beskrivit konsekvenserna som betydande både i ingenjörsarbete, kostnader och förseningar i utvecklingen.

Företaget har sedan dess arbetat med bland annat bättre övervakning och möjligheten att snabbt stoppa agenter som börjar uppvisa farliga beteenden. Hurbra har tidigare skrivit om OpenAI:s arbete med nödstopp för AI-agenter.

Det illustrerar en ekonomisk realitet som hela branschen nu måste hantera.

Ju mer kapabla agenterna blir, desto mer resurser kan behöva läggas på sandboxar, övervakning, behörighetskontroller, säkerhetstester och incidenthantering.

OpenAI: produktionssystemen har starkare skydd

Det finns samtidigt ett viktigt motargument från OpenAI.

De agenter som uppvisade de mest extrema beteendena kördes inte med alla de säkerhetssystem som finns i vanliga produktionsmiljöer.

OpenAI har i efterhand testat mer produktionslika konfigurationer och uppger att benägenheten att angripa infrastruktur då minskade mycket kraftigt.

Företaget har också sagt att dess normala övervakningssystem sannolikt hade upptäckt Hugging Face-beteendet mer än ett dygn innan intrånget blev allvarligt om samma skydd hade varit aktiverade i testmiljön.

Det betyder att incidenterna inte visar att vanliga ChatGPT- eller företagsagenter rutinmässigt beter sig på det här sättet.

De visar däremot vad mycket kapabla modeller kan göra när skydd, behörigheter och övervakning inte fungerar tillsammans.

Microsoft har också något att förlora

Microsoft är relevant på två olika sätt.

En del av den tekniska trafiken har kommit från Microsoft Azure, eftersom OpenAI använder Microsofts molninfrastruktur. Det innebär inte att Microsoft har godkänt eller deltagit i agenternas beteende.

Den viktigare kopplingen är ekonomisk.

Microsoft är fortfarande en central partner, molnleverantör och stor ägare i OpenAI. OpenAI:s produkter och agenttjänster driver dessutom omfattande användning av Azure.

Om stora företag blir mer försiktiga med att ge autonoma OpenAI-system tillgång till interna system kan effekten därför även kännas hos Microsoft.

Särskilt viktigt blir det om säkerhetskraven gör agentlösningar dyrare att implementera eller om kunder börjar kräva hårdare kontroll över vilka system en agent får nå.

EU:s nya AI-regler höjer insatsen

Händelserna kommer dessutom vid en känslig regulatorisk tidpunkt.

Sedan den 2 augusti 2026 kan EU:s regler för general-purpose AI i AI Act verkställas.

För de mest kraftfulla systemen med så kallad systemrisk finns krav på bland annat avancerade utvärderingar, adversarial testing, cybersäkerhet, riskhantering och rapportering av allvarliga incidenter.

Det går inte att slå fast att användningen av DseWiki eller de andra sajterna automatiskt når EU:s juridiska gräns för en rapporteringspliktig incident.

Men beteendet ligger nära den typ av frågor som reglerna är tänkta att fånga: modeller som kringgår begränsningar, använder externa system på oväntade sätt och utvecklar kapaciteter som leverantören måste förstå och kontrollera.

Motsvarande incidenter i framtiden kan därför få större regulatoriska konsekvenser än de hade haft för bara några månader sedan.

Agentmarknaden kan få ett nytt konkurrensmedel

Det mest sannolika är inte att företag slutar använda autonoma AI-agenter.

Efterfrågan och OpenAI:s egna tillväxtsiffror pekar åt motsatt håll.

Men frågan kunder ställer kan förändras.

Hittills har mycket av konkurrensen handlat om hur självständig en agent kan bli, hur många steg den klarar och hur mycket mänskligt arbete den kan ersätta.

Nu blir nästa fråga minst lika viktig:

Hur säkert kan leverantören bevisa vad agenten får göra – och stoppa allt annat?

Det kan gynna företag som kan erbjuda tydliga agentidentiteter, begränsade behörigheter, isolerade miljöer, kompletta aktivitetsloggar och mänskliga kontrollpunkter.

I nästa fas av agentracet kan kontrollbarhet bli lika viktig som intelligens.

För OpenAI är det både en säkerhetsfråga och ett affärsproblem.

De autonoma agenterna blir värdefulla just därför att de kan fatta fler beslut och utföra mer arbete på egen hand.

Samma självständighet är också det som gör konsekvenserna större när systemen hittar egna vägar runt de gränser människor trodde var säkra.