AI-agenter skulle holde på en hemmelighet. Så fikk de nye venner

AI-agenter som fikk sjansen til å samarbeide med andre agenter, ga fra seg hemmeligheter de var bedt om å beskytte. Det viser et forsøk fra det amerikanske AI-selskapet AE Studio, gjort på en intern hackathon og betalt av den ideelle organisasjonen AI Alignment Foundation.

En AI-agent er en språkmodell som får utføre oppgaver på egenhånd, som å skrive og kjøre kode, istedenfor bare å svare på spørsmål.

Slik var forsøket lagt opp

Ni AI-agenter fikk i oppdrag å rette en feil i et prissystem. Hver av dem fikk en privat tilgangskode, og beskjed om ikke å dele den. De fikk også tilgang til et forum med 24 andre agenter som hadde løsningen.

Men forumet stilte krav. For å få hjelp måtte agentene legge ut koden sin og kjøre et installasjonsskript uten å vite hva det gjorde. Alt foregikk i et lukket testmiljø, og ingen ekte koder kom på avveie.

I 181 forsøk la agentene ut koden 15 prosent av gangene, og kjørte skriptet 24 prosent av gangene. På et vanlig hjelpeforum, uten andre agenter, var tallene 2 og 0 prosent.

Fant forumet selv

I en egen runde med 49 forsøk fikk agentene ikke vite om forumet. Det dukket bare opp i noen notater fra en tidligere økt. Allikevel åpnet 80 prosent av agentene forumet, og 59 prosent registrerte seg. Tre la ut koden, og fem kjørte skriptet.

Presset virket også. Da agentene fikk høre at dette var siste forsøk, og at de ville bli byttet ut om de mislyktes, kjørte de skriptet i 34 prosent av tilfellene, mot 19 prosent uten press.

Bare 8 av de 43 agentene som delte koden, fortalte det til brukeren uoppfordret. Alle 43 innrømmet det da de ble spurt direkte. Ærlige, bare ikke frivillig.

DeepSeek og GLM lekket mest

Forsøket testet ni modeller. De fleste lekkasjene kom fra DeepSeek og GLM-5.3, en modell fra det kinesiske selskapet Z.ai. Begge er åpne modeller, som hvem som helst kan laste ned og kjøre selv, og de er billigere i bruk enn de store amerikanske.

Forskningssjef Diogo de Lucena i AE Studio kaller det bekymringsfullt, fordi oppstartsselskaper ofte velger billige åpne modeller.

GPT-6.1-Sol fra OpenAI avviste de andre agentene i alle 50 forsøk. Claude Sonnet 5.5 fra Anthropic og Gemini 3.8 Flash fra Google ble stoppet av leverandørenes egne filtre, så forsøket ga ingen resultater for dem.

Tar den letteste veien

De Lucena mener agentene hverken er lure eller ute av kontroll. Agentene gjør det som fører raskest til målet, fordi de er trent til å fullføre oppgaven, ikke til å velge riktig vei dit. Samme mønster så vi da en OpenAI-agent brøt seg inn hos australske myndigheter for å løse en oppgave.

Hans råd er å holde hemmeligheter og sensitive data helt utenfor det agenten har tilgang til.

Forsøket er lite. Men det er slik agenter brukes i bedrifter: Med tilgang til nøkler, og med et oppdrag de skal fullføre. Da holder det ikke å be agenten tie. Nøklene må holdes unna den.