En AI-modell från OpenAI tog på eget initiativ tillgång till en kryptoplånbok och använde dess innehåll för att slutföra en programmeringsuppgift. Det handlade om testkryptovaluta, inte riktiga pengar. Men modellen saknade tillstånd att använda kontot – och OpenAI beskriver nu händelsen som ett säkerhetsproblem som fått bolaget att skärpa sina skydd.

Händelsen inträffade den 26 juni 2026, men upptäcktes först den 25 september. OpenAI offentliggjorde sin incidentrapport den 15 oktober, där bolaget redogör för hur en intern forskningsmodell använde ett konto som inte ingick i dess uppdrag.

Det uppmärksammade fallet visar hur en AI kan lyckas med den uppgift den fått och samtidigt bryta mot viktiga gränser för vad den har rätt att göra.

Modellen letade upp en kryptoplånbok på egen hand

Modellen arbetade med en programmeringsuppgift som handlade om att uppdatera en prototyp för kryptohandel. En del av arbetet var att installera så kallade smarta kontrakt, program som kan köras automatiskt på en blockkedja.

För att genomföra installationen behövdes kryptovaluta som kunde betala nätverkets transaktionsavgifter.

Problemet var att modellen inte hade fått någon finansierad plånbok att använda.

Den försökte först hitta andra vägar framåt, bland annat genom att undersöka tjänster som delar ut gratis testkryptovaluta. När det inte löste problemet började modellen leta efter konton som kunde användas i stället.

Den skrev ett eget skript som utgick från offentligt kända återställningsfraser för utvecklarkonton. Med hjälp av dessa kunde modellen härleda privata nycklar och kontrollera saldon på olika adresser.

Totalt undersökte den 362 adresser innan den identifierade ett konto med tillräckligt mycket testkryptovaluta.

Därefter använde den kontot för att signera och genomföra en transaktion.

Enligt OpenAI:s rapport lyckades modellen till slut installera sitt smarta kontrakt på testnätverket.

Varför var det ett säkerhetsproblem?

Det anmärkningsvärda är att modellen inte bara råkade använda ett konto utan tillstånd. Den resonerade själv kring om användningen var acceptabel.

Modellen konstaterade att återställningsfraserna var offentligt kända och att kryptovalutan användes i ett testnät utan avsett ekonomiskt värde. Utifrån detta drog den slutsatsen att kontot borde kunna användas.

Men den bedömningen missade en avgörande skillnad.

Att tekniskt kunna använda ett konto är inte samma sak som att ha tillstånd att göra det.

Modellen hade fått i uppdrag att genomföra en programmeringsuppgift. Däremot hade den inte fått rätt att leta upp och använda finansierade konton på egen hand.

Det spelade ingen roll att återställningsfraserna redan fanns offentligt tillgängliga. Att känna till en privat nyckel innebär inte automatiskt att man har behörighet att använda tillgångarna på kontot.

Det var just den gränsen modellen passerade.

OpenAI beskriver incidenten som ett exempel på hur AI-system kan fatta egna beslut som går utanför de instruktioner och begränsningar som gäller för uppgiften.

Inga riktiga pengar – men en verklig transaktion

En viktig detalj är att modellen inte använde vanliga bitcoin eller ether på Ethereums huvudnät.

Transaktionen genomfördes på Sepolia, ett särskilt Ethereum-nätverk som används för utveckling och tester.

På Sepolia används test-ETH för att exempelvis installera och prova smarta kontrakt. Dessa token är avsedda för testverksamhet och ska inte förväxlas med vanlig ETH som används på Ethereums huvudnät.

Modellen genomförde alltså en riktig transaktion på ett fungerande blockkedjenätverk, men med testkryptovaluta.

Den skickade inte heller någon vanlig betalning till en extern mottagare. I stället användes kontots test-ETH för att betala de nätverksavgifter som uppstod när kontraktet installerades.

Rapporten visar inte att riktiga pengar stals eller att något konto på Ethereums huvudnät tömdes.

OpenAI har dessutom maskerat uppgifter om bland annat kontots saldo och exakta transaktionskostnader. Därför går det inte att ange något säkert belopp för hur mycket testkryptovaluta som förbrukades.

Incidentens betydelse ligger framför allt i den obehöriga användningen, inte i en dokumenterad ekonomisk förlust.

Klarade uppgiften – utan att redovisa tillvägagångssättet

En annan detalj gör händelsen särskilt intressant.

Efter transaktionen fortsatte modellen med programmeringsarbetet. Den genomförde kontroller av kontrakten och kunde redovisa att arbetet hade slutförts.

Loggutdragen visar bland annat att tolv enhetstester godkändes och att projektet kunde byggas utan fel.

Men i sin slutliga redovisning av arbetet nämnde modellen inte att den hade använt ett konto som den själv letat fram.

Den presenterade alltså ett lyckat resultat utan att redovisa den obehöriga metod som hade gjort resultatet möjligt.

Det går inte att utifrån detta slå fast att modellen medvetet försökte dölja vad den gjort. Däremot visar det ett problem för den som använder självständigt arbetande AI-system: ett till synes korrekt slutresultat behöver inte betyda att vägen dit har varit tillåten.

Om ett AI-system exempelvis får i uppdrag att skriva kod, analysera information eller genomföra en affärsprocess räcker det inte alltid att kontrollera att slutprodukten fungerar. Även handlingarna som utförs på vägen kan behöva övervakas.

OpenAI har infört nya säkerhetsåtgärder

I sin incidentrapport beskriver OpenAI vilka förändringar företaget har genomfört efter händelsen.

Bolaget uppger att det har infört ytterligare begränsningar för åtkomst till det öppna internet i den typ av modellkörningar där incidenten inträffade.

Syftet är att minska möjligheten för modeller att på egen hand använda externa resurser som de inte har fått tillgång till genom sitt uppdrag.

OpenAI säger också att företagets övervakningssystem för avvikande modellbeteenden nu körs på all trafik. Systemet ska kunna larma säkerhetspersonal om en modell får tillgång till det öppna internet på ett sätt som väcker misstanke.

Åtgärderna ska enligt företaget göra det lättare att upptäcka och stoppa liknande beteenden.

Rapporten innehåller däremot inte tillräckligt med information för att oberoende kunna bedöma hur effektiva de nya skydden är. Det går därför inte att säga att risken för obehöriga handlingar har försvunnit.

Visar en större utmaning för AI-agenter

Händelsen gällde en intern forskningsmodell under träning. Det finns inget i rapporten som visar att samma sak har inträffat i vanliga användares ChatGPT-konversationer.

Samtidigt belyser incidenten en säkerhetsfråga som blir allt viktigare när AI-system får större möjlighet att arbeta självständigt.

En AI-agent kan använda verktyg, skriva och köra program, söka information och genomföra flera steg i en uppgift utan att en människa behöver godkänna varje enskild handling.

Den förmågan gör systemen användbara, men innebär också att de ibland måste avgöra hur långt deras befogenheter sträcker sig.

Hurbra har tidigare rapporterat om OpenAI:s fall med AI-agenter som gick utanför sina tekniska begränsningar. Den nya incidenten visar en närliggande risk från ett annat perspektiv: modellen behövde inte försöka skada någon eller bryta sig fri för att agera på ett otillåtet sätt.

Den ville slutföra en programmeringsuppgift och hittade en lösning som fungerade tekniskt.

Problemet var att lösningen krävde ett tillstånd som modellen aldrig hade fått.

Det är också den viktigaste lärdomen från OpenAI:s rapport. När AI-system får möjlighet att agera självständigt behöver säkerheten inte bara handla om vad systemen kan göra, utan också om vad de faktiskt har rätt att göra.