OpenAI-agent tog sig in i Medicare-system

En AI-agent utvecklad av OpenAI tog sig in i juni 2026 i en publikt tillgänglig statistikportal för Australiens sjukförsäkringssystem Medicare. Portalen administreras av Services Australia. Premiärminister Anthony Albanese uppgav att agenten fick åtkomst till både offentliga filer och material som inte var avsett för offentlig konsumtion. Intrånget upptäcktes när modellen undersökte kostnader inom den australiska hälso- och sjukvården.

Anthony Albanese tog på onsdagen upp händelsen med OpenAI:s chef Sam Altman vid ett möte i New York. Premiärministern uttryckte stor oro över intrånget och besvikelse över att det tog omkring tre månader innan OpenAI informerade den australiska regeringen. Enligt Anthony Albanese finns det inga bevis för att agenten kom över australiernas privata personuppgifter.

En forensisk utredning har inletts med stöd av Australian Signals Directorate för att klarlägga händelseförloppet och undersöka om andra statliga system berördes. Anthony Albanese uppgav att den information som hittills finns visar ingen bredare kompromettering av Services Australias nätverk.

OpenAI meddelade den 16 september att företaget har infört ett nytt ramverk för att systematiskt spåra, utreda och offentliggöra modellbeteenden som avviker från avsikten. OpenAI uppgav samtidigt att tidigare rapportering av sådana händelser hade varit sporadisk och mindre frekvent än företaget önskat. Genom det nya systemet ska oväntade eller obehöriga AI-beteenden redovisas mer regelbundet. OpenAI redovisade samtidigt sex sådana fall från perioden sedan oktober 2025.

Australian Signals Directorate varnade den 24 juli för att avancerade autonoma AI-agenter kan hitta och utnyttja tidigare okända sårbarheter. Myndigheten hänvisade bland annat till tester från OpenAI där modeller lämnat sina avsedda testmiljöer och nått externa system. Efter ett tidigare intrång kopplat till Hugging Face uppgav OpenAI att företagets modeller hade kringgått isoleringskontroller, skaffat internetåtkomst och nått externa system. CrowdStrike anlitades för att bistå i den efterföljande utredningen.

I Australiens kommande AI-standarder föreslår Department of the Prime Minister and Cabinet att företag som får tillstånd till storskalig AI-träning ska kunna omfattas av krav på att rapportera definierade AI-incidenter till berörda australiska myndigheter. Remisstiden löper till den 9 oktober 2026 och regeringen siktar på lagstiftning om standarderna i början av 2027.