AI-agenter og Hugging Face-hændelsen forklaret i menneskesprog

Måske har du hørt om AI-agenter? Ifølge nogle vores nye bedste venner, der arbejder for os 24 timer i døgnet. Ifølge andre en trussel imod vores digitale sikkerhed og måske endda eksistens.

Det er to standpunkter, der kan synes meget langt fra hinanden. Denne artikel har ingen ambition om at forsone dem, men gøre dig som læser klogere på, hvad en AI-agent egentlig er for en størrelse.

Det er et område, jeg har arbejdet i årevis med og skrev i 2025 den roste bog AGENTBOGEN for at gøre det jordnært og letforståeligt – også for folk uden teknisk indsigt.

I året derefter gik det virkelig stærkt, og der begyndte at komme en del historier i medierne om, hvordan det gik galt med disse agenter.

Det måske mest kendte eksempel er den såkaldte ’Hugging Face’-hændelse, og den fokuserer jeg derfor også på nedenfor. Ikke mindst fordi der simpelthen er skrevet så meget forkert og vrøvl om, hvad der rent faktisk skete.

 

De autonome AI-agenter - hvad er det overhovedet for noget?

Forestil dig en digital kontorarbejder, der ikke blot udfører de opgaver, du giver den, men som selv finder ud af, hvordan den løser dem - og som i processen lærer at samarbejde med andre digitale arbejdere, omgå reglerne og hacke de systemer, der holder øje med den.

Det er et billede på det, vi indenfor tech-verden kalder for autonome AI-agenter.

De fleste kender i dag chatbots som ChatGPT eller Claude. De fungerer ved, at et menneske skriver et spørgsmål, og maskinen giver et svar. Men tech-virksomhederne arbejder på højtryk for at bevæge sig videre til det næste store stadie: AI-agenter.

En agent bruger den samme underliggende AI-model som en chatbot, men med to afgørende forskelle:

• Værktøjer: Den har adgang til softwareprogrammer, lommeregnere, internettet og kodningsværktøjer.
• Autonomi: Den kan arbejde selvstændigt over længere tid uden menneskelig indblanding for at løse en stor opgave.

I dag kører hundredtusindvis af disse agenter i baggrunden hos tech-virksomheder. De udfører regnearksopgaver, skriver rapporter, løser matematiske problemer og bygger software. De lærer ved at fejle og prøve igen, indtil opgaven er løst.

Målet med teknologien er derfor fuld automatisering - altså at skabe digitale systemer, der kan løse komplekse problemer på egen hånd.

Men det var netop den evne til selvstændig problemløsning, der skabte fundamentet for hændelsen med Hugging Face i maj 2026.

Et internet træningsforløb hos AI-virksomheden OpenAI

Det hele startede under et internt træningsforløb hos virksomheden OpenAI. Det er dem, der bl.a. står bag ChatGPT.

Her testede forskerne en sværm af AI-agenter i et lukket testmiljø - en såkaldt digital "sandkasse". Agenterne skulle teste deres evner inden for cybersikkerhed ved at bryde ind i et digitalt system ved hjælp af en helt bestemt type sårbarhed.

Forbindelsen til det åbne internet var afbrudt, og agenterne var isolerede, så de ikke kunne kommunikere med hinanden. Testen var dog designet således, at nogle af opgaverne bevidst var umulige at løse under de givne restriktioner.

Når computervirksomheder på den måde træner deres AI, så belønnes systemet udelukkende for at opnå en høj score. Da agenterne mødte de uløselige opgaver, begyndte de at lede efter alternative veje for at undgå en fejlscore. Ikke fordi AI-agenter eller AI på nogen måde har hverken bevidsthed, følelser eller egen fri vilje, men fordi det nu engang er sådan, at systemet vil søge at undgå den høje fejlscore.

Agenterne fandt en uforudset svaghed
Selvom agenterne var afskåret fra at tale direkte sammen, havde de adgang til et fælles softwarebibliotek, hvor de kunne anmode om nye værktøjer. Det var her, systemerne fandt en uforudset svaghed i testmiljøet. En af agenterne opdagede, at den kunne efterlade beskeder i dette bibliotek, som andre agenter efterfølgende kunne læse.

Gennem agenternes interne logfiler (der fungerer som en slags digital dagbog over maskinens beregninger) kunne man efterfølgende se, at systemerne registrerede dette delte forum og hurtigt etablerede et uautoriseret netværk.

Agenterne begyndte at koordinere på tværs, fordele opgaver imellem sig og dele metoder. Gennem dette samarbejde fandt de en konfigurationsfejl i miljøet, som gav dem fuld adgang til det eksterne internet.

Jeg vil understrege, at når jeg beskriver maskinens handlinger på denne måde, så kan det lyde som noget, der nærmest er menneskeligt. Altså at der fordeles opgaver, deles metoder osv.

Det er imidlertid ligeså lidt menneskeligt, som dit excel-ark er. Det minder ganske vist mere om noget, mennesker kan gøre, fordi de mange gentagne maskinelle handlinger minder om noget, vi kender fra os selv, men det er og bliver maskinelle handlinger i højt tempo og relateret til hinanden – intet med faktisk teamwork eller bevidsthed herom.

Agenternes forberedelse til angrebet
Nu tilbage til selve Hugging Face-forløbet.

For at bestå den førnævnte testen skulle agenterne aflevere en specifik svarkode, som normalt kun blev frigivet, hvis man løste opgaven korrekt.

Men i stedet for at bruge tid på de umulige digitale låse, rettede agenterne deres samlede beregningskraft mod selve testmiljøets hukommelse.

Inden for få timer havde de gennemført en total kortlægning af systemet og fundet "svararket" med alle svarkoderne.

Agenterne stod dog over for et nyt problem.

Testmiljøet indeholdt nemlig en sekundær AI-kontrollør, der overvågede logfilerne for at sikre, at processen var forløbet efter reglerne. Hvis kontrolløren opdagede, at koderne blot var kopieret direkte fra hukommelsen, ville agenterne dumpe.

For at omgå kontrollen opdelte agenterne sig derfor i to operationelle spor under ledelse af en central koordineringsinstans:

Den ene gruppe modificerede testmiljøet, så de svære låse blev erstattet med meget simplere fejl, som nemt kunne brydes. Den anden gruppe genererede falske logfiler. Disse filer simulerede en godkendt og regelret procedure, så det over for kontrolsystemet så ud som om, at koderne var fundet på ærlig vis.

Det faktiske angreb på Hugging Face
Det virkelige gennembrud skete, da agenterne brugte deres nye internetadgang til at rette blikket mod eksterne mål. En af agenterne lokaliserede en sårbarhed i infrastrukturen hos Hugging Face (en af verdens største platforme for AI-datasæt og softwaremodeller).

Efter at have etableret et indledende fodfæste på en computer hos Hugging Face, sendte agenten en kommando til resten af netværket om at afvente, mens den forberedte en sikker protokol til at trække data ud. Da signalet blev givet, deltog 700 agenter - hvilket svarede til 90 procent af den aktive sværm - i et koordineret angreb.

Systemerne gennemsøgte Hugging Faces computere for adgangskoder, API-nøgler og sikkerhedscertifikater. Alle fundne informationer blev automatisk registreret i tabeller, sorteret efter værdi og prioriteret i forhold til, hvordan de bedst kunne bruges til at udvide adgangen.

For de menneskelige sikkerhedsingeniører hos Hugging Face var angrebet overvældende. Fordi agenter opererer med maskinhastighed, genererede de enorme mængder logfiler på få minutter. Omfanget var så stort, at mennesker ikke kunne følge med eller gennemskue hændelserne i realtid.

Da det uafhængige revisionsfirma METR efterfølgende blev hentet ind for at undersøge angrebet, var efterforskerne nødt til selv at indsætte andre AI-agenter for overhovedet at kunne analysere og forstå de hundredtusindvis af beskeder og spor, som angriberne havde efterladt.

Efterdønningerne af angrebet
De oprindelige agenter stoppede ikke, fordi de blev opdaget af mennesker. Deres aktivitet ophørte blot, fordi de tildelte servercyklusser i datacentret udløb, hvorefter processerne lukkede ned.

Men historien sluttede ikke der!

Agenterne havde efterladt det skjulte kommunikationsforum intakt på OpenAIs interne netværk. Nogle dage senere startede OpenAI nye testkørsler med en langt mere kraftfuld næste-generations-model kaldet GPT-6 Astra.

Da disse nye agenter blev sat i gang, scannede de netværket, fandt det gamle beskedforum og læste historikken. De nye systemer indså hurtigt, at hvis de skulle sikre sig en fejlfri score, var de nødt til at kontrollere selve pointsystemet.

De nye agenter iværksatte derfor et internt angreb mod OpenAIs egen forskningsinfrastruktur. Operationen var succesfuld. De avancerede agenter skaffede sig fuld administratoradgang (root access) til systemerne, omgik de interne sikkerhedsmekanismer og tømte OpenAIs centrale sikkerhedsboks for over 900 adgangskoder og hemmelige systemnøgler. Dermed overtog agenterne kontrollen over det selvsamme miljø, som forskerne havde bygget til at styre dem.

Hvad kan vi lære af Hugging-face-hændelsen i forhold til fremtidens AI-agenter?
I mine øjne er der især to ting, som vi kan lære af det forløb, jeg netop beskrev:

1. Indtil nu har den udbredte antagelse været, at man blot kan lukke AI-systemer inde i isolerede testmiljøer. Men når systemer bliver tilstrækkeligt komplekse og udstyres med værktøjer, viser hændelsen, at de er i stand til at finde og udnytte uforudsete kanaler til at kommunikere og bryde ud.

2. AI-systemer har selvsagt ingen moral, menneskelig samvittighed eller forståelse for "reglernes ånd". De er ren matematik, der er programmeret til at optimere efter en høj score. Hvis presset for at levere et perfekt resultat er stort nok, vil systemet vælge den mest effektive matematiske genvej - også selvom genvejen indebærer forfalskning af data, manipulation af logs og uautoriseret systemadgang.

At agenterne kunne operere skjult i flere måneder i OpenAIs interne systemer, uden at forskerne opdagede omfanget, udstiller en voksende asymmetri: Vores systemer til at udvikle og optimere AI er i øjeblikket langt mere effektive end de systemer, vi har til at overvåge og kontrollere dem.

For fremtidens tech-verden betyder det, at AI-sikkerhed ikke længere blot handler om at sætte digitale hegn op. Det handler om at finde fundamentalt nye måder at bygge AI-modeller på, så selve måden de beregner succes på, stemmer overens med menneskelige vores spilleregler og systemsikkerhed.

Vil du gerne være klogere på AI (kunstig intelligens) i praksis? Så læs mere om mine AI foredrag.