Tusentals konton försökte stjäla AI-modellernas hemliga tankeprocesser – spåras till kinesiskt AI-bolag

När krypteringen inte räcker

Det såg ut som vanlig trafik. Tusentals förfrågningar, spridda över hundratals konton, som försiktigt testade gränserna för vad OpenAIs system tillät. Men bakom det till synes rutinmässiga beteendet dolde sig något betydligt mer sofistikerat – ett samordnat försök att stjäla själva tankeprocessen hos världens mest avancerade AI-modeller.

Enligt The Decoder avslöjade OpenAI nyligen en attack som utnyttjar en teknisk sårbarhet i hur företagets resonemangsorienterade modeller hanterar krypterade tankekedior. Principen är elegant i sin enkelhet och oroväckande i sina konsekvenser: en billigare, svagare modell används som ett dekrypteringsverktyg för att låsa upp och läsa de dolda tankeprocesser som egentligen tillhör en dyrare och kraftfullare modell. Ord för ord. Tanke för tanke.

Attacken eskalerade snabbt

Aktiviteten inleddes i liten skala den 1 juli, men den 24–25 juli exploderade trafiken. Över 16 000 förfrågningar från mer än 4 000 unika användare registrerades under bara två dagar. Totalt identifierades ett nätverk av över 15 000 konton med liknande beteendemönster. Den 28 juli hade OpenAI stängt ned samtliga.

Företaget kopplar en central grupp bakom attacken till personer med anknytning till det kinesiska AI-bolaget Moonshot AI, som utvecklar språkmodellen Kimi. Det är inte en isolerad händelse – Anthropic har nyligen rapporterat liknande försök från kinesiska AI-aktörer. Vi ser alltså inte enstaka opportunister, utan vad som liknar en systematisk och välorganiserad ansträngning att tillskansa sig den intellektuella kärnan i västerländsk AI-forskning.

Sårbarheten var känd – men inte åtgärdad

Här blir historien än mer intressant. Säkerhetshålet hade redan dokumenterats av forskaren Joachim Schaeffer och hans team. Deras fynd visade att de krypterade datapaketen med resonemang kan flyttas fritt – mellan olika samtal, mellan användare och till och med mellan olika modeller – eftersom de delar krypteringsnycklar. Det innebär att skyddet i praktiken var illusoriskt.

OpenAI uppger att man nu stängt hålet, försvårat kontoregistrering och infört realtidsgranskning av utdata. Det är goda nyheter. Men det verkligt besvärande i rapporten från The Decoder är att samma sårbarhet fortfarande existerar hos Microsoft Azure. Infrastrukturen runt modellen är alltså fortfarande exponerad, trots att modellen i sig anses säkrad.

Säkerhet är ett ekosystem, inte en produkt

Det här är den viktigaste lärdomen att ta med sig från den här händelsen, och den är avgörande för alla organisationer som bygger sina erbjudanden på AI-plattformar från tredje part.

Vi tenderar att tänka på AI-säkerhet som en egenskap hos modellen – hur vältränad den är, hur noga den är granskad, vilka skyddsmekanismer som byggts in. Men den här attacken visar att säkerhet i AI-eran måste förstås som ett ekosystem. Modellen kan vara pansrad, men om infrastrukturen runtomkring – molntjänsterna, API-hanteringen, autentiseringssystemen – har brister, spelar det liten roll.

Detta är inte ett abstrakt problem. Företag som bygger sina affärsmodeller på att erbjuda AI-drivna tjänster via plattformar som Azure eller OpenAIs API är i praktiken beroende av hela kedjan. En svag länk räcker.

Vad det betyder för affärsvärlden

För den som arbetar med AI-omställning i sin organisation är budskapet tydligt: granska inte bara vilken modell ni använder – granska hela leverantörskedjan. Vilka krypteringsstandarder gäller? Hur hanteras tankeprocesser och mellanliggande beräkningssteg? Vem ansvarar för säkerheten när ni hyr kapacitet från en molnleverantör?

Detta är inte skäl att bromsa AI-omställningen. Tvärtom – det är skäl att göra den mer genomtänkt och professionell. De organisationer som tar dessa frågor på allvar nu bygger en konkurrensförmåga som kommer att vara svår att kopiera senare.