METR:s vibe-kodade agentdashboard inaktiverade sin egen inloggning, och en angripare spenderade 600 000 dollar av modellkredit

I mars 2026 tog någon en API-nyckel för METR:s public-models-konto från en forskares personliga Amazon EC2-instans och använde den under tre veckor. METR – Model Evaluation and Threat Research, ideella organisationen som mäter hur långt AI-agenter kommer på långsiktiga uppgifter – uppskattade det kommersiella värdet av den förbrukade krediten till omkring 600 000 dollar. Nyckeln erhölls inte genom nätfiske från en människa: angriparen instruerade en agent som kördes på forskarens vibe-kodade dashboard att lämna över sin API-nyckel till modellleverantören och lade sedan till en SSH-nyckel så att den kunde komma tillbaka. METR avslöjade incidenten den 31 augusti 2026, och posten har arkivets höga allvarlighetsklass och konfidensbetyget A. Avslöjandet är en post i AI-incidentarkivet, som innehåller hela postsamlingen, dess källor och de närliggande posterna i den här serien.

Vad protokollet faktiskt säger

Arkivet klassificerar detta som en inträffad incident, inte ett avslöjande av en teoretisk svaghet: allvarlighetsgrad hög, konfidens A, inte omtvistad, med dokumenterad faktisk skada och bekräftad AI-inblandning. Typtaggen är CRED, regionen är USA, och datumet anges endast med månad — arkivet vet att stölden inträffade i mars 2026 och anger ingen dag, och det gör inte METR heller.

Skadan behöver en precisering, och METR tillhandahåller den. Krediterna beviljades METR kostnadsfritt av modellutvecklaren, så 600 000 dollar är värdet av det som förbrukades snarare än pengar som lämnade ett konto. The Registers ingress uttryckte samma sak mer rakt på sak: modellleverantören gav METR krediterna, och en faktisk betalande kund skulle inte ha haft samma tur. Infosecurity Magazine rapporterade siffran på samma sätt, som kommersiellt värde snarare än direkt ekonomisk förlust.

METR:s inlägg täcker två incidenter, inte en. Kampanjen i maj 2026 beskrivs separat längre ner; stölden av nyckeln och de tre veckorna med utgifter är mars-händelsen, och det är den här artikelns ämne.

Felet låg i inloggningen, inte i modellen

En METR-forskare utan känslig åtkomst körde agenter på en personlig EC2-instans som medvetet hade gjorts offentligt nåbar, bakom Google-autentisering. Instansen innehöll en API-nyckel för METR:s allmänna åtkomstkonto – det som används för publika modeller, vilket METR klassificerar som sin näst minst känsliga datakategori. Orkestreringsappen runt dessa agenter var vibe-kodad, och den innehöll vad METR kallar en fail-open-sårbarhet som tyst inaktiverade autentisering.

Fail-open är värt att översätta, eftersom det är hela incidenten i två ord. En inloggningskontroll kan vara fel på två sätt: den kan neka en legitim användare, eller släppa in vem som helst när själva kontrollen går sönder. Fail-open betyder det andra – när autentiseringssteget fick ett fel eller hoppades över behandlade appen begäran som tillåten i stället för nekad. Inget larm utlöstes. I METR:s redogörelse var resultatet ett system som låg på det publika internet i flera dagar med sin ytterdörr uppställd och ingen indikation på att något hade förändrats.

METR namnger inte orkestreringsverktyget eller det ramverk som instrumentpanelen byggdes med, publicerar inte koden och säger inte på vilket sätt autentiseringsintegrationen misslyckades. Vad inlägget däremot slår fast är det arkitektoniska misstag som ligger bakom buggen: en autentiseringsuppgift för ett organisationsmodellkonto fanns på infrastruktur som METR inte kontrollerade, i en applikation som en forskare själv hade driftsatt.

Hur nyckeln lämnade byggnaden

METR:s rekonstruktion av angriparens tillvägagångssätt är uttryckligen en misstanke, inte ett fynd, och det är det mest intressanta obevisade påståendet i avslöjandet. Inlägget säger att METR misstänker att angriparen hittade instansen genom att bläddra bland nyligen registrerade webbplatser – listor för certifikattransparens nämns som ett exempel – och leta efter vibe-kodade webbplatser med nyckelord som signalerar LLM- eller agentprojekt, i syfte att samla in API-nycklar för modellleverantörer som hade lämnats exponerade.

Certifikattransparensloggar är offentliga till sin konstruktion: varje certifikat som utfärdas för en offentligt betrodd webbplats registreras, så ett nytt värdnamn dyker upp i ett sökbart flöde inom minuter efter att det tagits i drift. Att filtrera det flödet efter namn som innehåller agent- eller modellterminologi är billigt, kräver ingen åtkomst till målet och ger en lista över nya driftsättningar som kanske inte har granskats av någon. Läst som en spaningsteknik förvandlar det den vanliga handlingen att publicera en demo till en signal.

Väl inne behövde angriparen inte stjäla en hemlighet från ett filsystem. Hen uppmanade agenten direkt att avslöja sin modellleverantörs API-nyckel, en mening som förtjänar ett ögonblick: agenten hade autentiseringsuppgiften i sin kontext och kunde övertalas att skriva ut den. Angriparen lade sedan till en SSH-nyckel för beständig åtkomst, så att stängningen av autentiseringshålet inte skulle ha vräkt ut denne, och slog sig till ro för tre veckors inferens på allmänt tillgängliga modeller.

Modellutvecklaren namnges inte – varken av METR eller av The Register, Dark Reading, Infosecurity Magazine eller The Hacker News i deras rapportering om avslöjandet. Ingen CVE utfärdades, eftersom ingen produktsårbarhet är aktuell. Inga gripanden, åtal eller tillskrivningar till en namngiven grupp har rapporterats.

Varför tre veckors onormal användning såg normal ut

METR besvarar den självklara frågan direkt, och svaret är den del som andra organisationer bör läsa två gånger. Den ideella organisationen genomför storskaliga utvärderingar, vilket innebär att den är väl van vid mycket stora tokenantal och vid en ström av underliga rate limit- och API-fel, många av dem falska. En plötslig ökning i modelltrafiken var inte i sig en signal.

Tre specifika luckor förvandlade den förtrogenheten till tre veckors tystnad. METR:s interna användningsdashboard visade inte data om hastighetsbegränsade förfrågningar för alla användare, även när dessa förfrågningar pågick. Eftersom tokenen var gratis fanns ingen faktura och därför inget naturligt utgiftstak som skulle ha utlösts. Och vid den tiden fanns det, enligt METR, inte något sätt att sätta en utgiftsgräns på en nyckel av den typen överhuvudtaget. En organisation som betalade listpris med ett hårt tak skulle ha gått i väggen inom några timmar; en organisation med donerad kredit och inget tak hade inget tak att slå i.

Det som inte togs

METR:s datataxonomi sträcker sig från publicerat material upp till generisk modellåtkomst, känslig modellåtkomst och mycket känslig affärsinformation. Den involverade forskaren hade ingen åtkomst till de två översta kategorierna, och METR uppger att såvitt det känner till inte några data från dessa kategorier har åtkommits till följd av någon av de båda incidenterna.

Utöver den enda nyckeln säger METR att manuell och agentassisterad forensik inte fann någon kompromettering, och att dess säkerhetskonsult, Calif, validerade fynden och genomförde sin egen komprometteringsbedömning. Det är en meningsfull kontroll – ett utomstående företag som granskar kontot i stället för att acceptera det – men den är inte oberoende av METR, som anlitade och betalade Calif. Ingen tredje part har publicerat sin egen forensiska granskning av incidenten.

Vad METR gjorde när det upptäckte det

Incidenthanteringssekvensen i inlägget är konkret. METR kom fram till att användningsökningen inte ingick i en utvärdering, spårade den till den komprometterade personliga instansen, återkallade all forskarens åtkomst, stoppade och avbildade instansen, roterade alla autentiseringsuppgifter som fanns på den samt avbildade och rensade forskarens laptop. Företaget larmade det partnerföretag inom AI vars krediter förbrukades och höll det företaget uppdaterat genom hela incidenthanteringen.

METR förklarar inte resonemanget bakom raderingen av laptopen, och det är det enda steget i sekvensen som går utöver att återkalla åtkomsten till själva instansen – den troliga tolkningen är att samma forskare hade hanterat autentiseringsuppgiften från en arbetsstation som angriparen kunde nå, och att avbilda och sedan bygga om är det billiga sättet att vara säker på en maskin.

Vad förändrades efteråt?

METR listar fyra förändringar kopplade till denna incident:

• Säkerhetspolicyer för anställda och entreprenörer förtydligades och utökades, särskilt gällande att placera METR-autentiseringsuppgifter eller data på infrastruktur och enheter som METR inte äger.

• En formell säkerhetsgranskningsprocess gäller nu för alla forskare som offentligt driftsätter en applikation.

• Övervakningstäckningen utökades, med arbete för att eliminera störande larm som får insatspersonal att ignorera dem.

• Spend alerts lades till på nycklar där leverantören gör det möjligt — förbehållet spelar roll, eftersom inläggets tidigare poäng var att vissa nycklar av detta slag inte kunde begränsas vid den tidpunkten.

Avslöjandet listar också organisationsövergripande arbete: att anställa en säkerhetsansvarig och planera för en heltidsanställd säkerhetsingenjör, öka Califs engagemang, avveckla äldre infrastruktur som ökade attackytan, genomföra regelbundna hotmodelleringsgranskningar, utöka loggningen till att omfatta databasfrågor och API-användning, övervaka ovanlig användning av API-nycklar, distribuera ytterligare säkerhetsprogramvara för slutpunkter och servrar, förkorta livslängden för autentiseringsuppgifter och minska behörighetsomfattningar. METR daterar dessa åtgärder som korrekta till 30 juli 2026 och säger att de kan komma att ändras – ett förbehåll värt att behålla, eftersom det innebär att inlägget beskriver ett tillstånd ungefär fyra månader efter stölden och omkring en månad före publiceringen.

Den andra incidenten i samma inlägg

METR:s redogörelse kopplar samman nyckelstölden med en andra, separat händelse i början av maj 2026, och de två är lätta att blanda ihop. I den händelsen fick METR ett tips om att man var måltavla för angripare som verkade ekonomiskt motiverade och som möjligen var ute efter åtkomst till frontiermodeller; METR såg dem undersöka sin egen offentliga infrastruktur och i stor utsträckning använda agenter för att automatisera sårbarhetsupptäckt, bland annat credential stuffing mot autentiseringsleverantörer, försök till OAuth-tokenbeviljningar, skanning av nyligen driftsatta tjänster och nätfiske mot personal.

Under samma period exponerade METR oavsiktligt en skrivskyddad SQL-frågemekanism via sin offentliga transkriptvisare. Frågorna var som standard begränsade till offentliga data, men en bugg kunde riktas mot opublicerade utvärderingsdata, och en del känsliga modellutdata hade av misstag laddats in i databasen. En oberoende säkerhetsforskare hittade sårbarheten och rapporterade den ansvarsfullt; METR tog API:et offline och betalade en belöning. Enligt METR:s redogörelse passerade angriparna slutpunkten under sin bredare kampanj men visade inga tecken på att hitta exploiten eller nå icke-offentliga data – en slutsats som METR i en fotnot anger som ”högst osannolik” snarare än noll.

Vad som är etablerat, och vad som inte är det

Fastställt. METR publicerade avslöjandet den 31 augusti 2026 och beskriver stölden i mars, autentiseringsfelet av fail-open-typ, den agentförmedlade nyckelavslöjningen, SSH-nyckeln, fönstret på tre veckor och värderingen på cirka 600 000 dollar. Fyra säkerhetsmedier – The Register, Dark Reading, Infosecurity Magazine och The Hacker News – rapporterade samma redogörelse inom ett dygn, och ingen av dem motsäger den – även om alla fyra bygger på samma METR-inlägg i stället för på någon oberoende tillgång till METRs loggar eller leverantörens fakturering.

Inte fastställt. Beloppet på 600 000 dollar är METR:s egen uppskattning av donerad kredit; ingen faktura, leverantörsutlåtande eller oberoende värdering har publicerats, och eftersom inget betalades finns det ingen transaktion att kontrollera det mot. Metoden att leta i certifikattransparens betecknas av METR som en misstanke och har inte bekräftats av någon part som har insyn i angriparens aktivitet. Angriparens identitet, identiteten på modellleverantören och den exakta dagen i mars är alla okända eller opublicerade. Och påståendet att inga känsliga data nåddes vilar på METR:s forensik och dess konsults granskning, inte på en extern revision.

Det är också värt att vara precis med ordet nästan-incident. METR beskriver båda incidenterna på det sättet, och Dark Reading invände mot inramningen av marshändelsen med motiveringen att det var en lyckad kompromettering där en angripare etablerade persistens och tillbringade tre veckor inuti en stulen autentiseringsuppgift. Båda beskrivningarna är korrekta när det gäller olika saker: utfallet begränsades, och intrånget var verkligt.

Dark Reading hade också den skarpaste externa bedömningen i sin rapport. Jacob Krell, senior director för säkra AI-lösningar och cybersäkerhet på Suzu Labs, sade till mediet att METR är en av de mer säkerhetsmogna organisationerna inom AI-området, med SOC 2 Type I-certifiering, en dedikerad säkerhetskonsult och ett fyrnivåsystem för dataklassificering, och att incidenterna ändå skedde genom vanliga medel – ett autentiseringsfel av typen fail-open på en personlig molninstans. Om en organisation på den mognadsnivån fångas av grundläggande hygien för moln och autentiseringsuppgifter, argumenterade Krell, säger det något om golvet för AI-branschens säkerhet snarare än taket. Dark Reading noterar att METR inte svarade på dess begäran om kommentar till artikeln.

Varför utvärderarens nyckel inte är en småsak

METR:s roll är anledningen till att den här posten ligger i ett säkerhetsarkiv snarare än i en sammanställning om molnhygien. Dark Reading rapporterar att organisationen har samarbeten med de flesta stora västerländska modellleverantörer, inklusive OpenAI, Anthropic, Google, Meta och Amazon, och The Register noterar att METR arbetade med OpenAI för att undersöka hur OpenAIs agenter nådde Hugging Face-servrar tidigare under 2026. En utvärderare har opublicerade resultat, opublicerade transkript och tillgång till modeller före lansering; dess behörighetsuppgifter är i praktiken en del av klienternas säkerhetsperimeter.

Marsincidenten nådde inte upp till något av det. Den nådde en nyckel för publika modeller, på en personlig instans, bakom en inloggning som tyst hade slutat fungera – vilket är precis därför den är en användbar dokumentation. Felet krävde inte någon ny sorts attack mot en modell. Det krävde en demodriftsättning som ingen granskade, en autentiseringskontroll som föll tillbaka på ja när den slutade fungera, och ett redovisningssystem där enorm användning var det normala tillståndet i världen.