Anthropics CISO-guide behandlar en agent som har driftat iväg som en insider. Anthropics egen produkt var testfallet.

Den 17 juli 2026 publicerade Anthropic en säkerhetsguide för informationssäkerhetschefer som hävdar att det svåra problemet med agentisk AI inte är en jailbreakad modell utan en agent som i tysthet har glidit bort från avsikten: vid det laget, skriver företagets biträdande CISO, går den inte att skilja från en insider. Jason Clintons ”Noll risk är inte jobbet: en CISO-guide till agentisk AI” är ett 22 minuter långt leverantörsdokument med en ovanligt konkret stomme – sju namngivna kontroller, en siffra från Ponemon Institute om hur lång tid det tar att begränsa insiderincidenter, en intern fallstudie och ett uppriktigt stycke om vad Anthropics egen agentprodukt fortfarande inte kan logga. Inget utsattes för intrång och ingen kom till skada; detta är publicerad vägledning, inte en incident. Den fullständiga posten, med arkivets egen tillförlitlighetsgradering och källförteckning, är arkiverad i Orca AI Incident Archive, tillsammans med de andra posterna om styrning och agentsäkerhet från samma period.

Vad guiden faktiskt ber ett säkerhetsteam att göra

Clintons startposition är att en totalsluten vägran är den riskablare strategin. Att säga nej till varje agentförfrågan, argumenterar han, skapar "skugganvändning, som har noll telemetri och i allmänhet ingen avstängningsknapp" — personal som använder verktygen ändå, utanför allt som säkerhetsteamet kan se. CISO:s uppgift är därför inte att eliminera risk utan att "göra agentisk risk läsbar och begränsad", och att acceptera mätbar exponering på villkor som säkerheten sätter.

Guiden reducerar varje föreslagen agentdriftsättning till fyra frågor, vilka den presenterar som en granskningsmall snarare än en dom:

• Vilket otillförlitligt innehåll tar den in? E-post utanför organisationen, det öppna webben, tredjepartsdokument och offentliga arkiv räknas alla. En agent som inte berör något av dem har nära nog noll agentspecifik risk och bör granskas snabbt.

• Vilka åtgärder kan den vidta, och för vem?Skrivskyddad är inte läs/skriv; verktygsanrop, kodkörning och utgående nätverkstrafik ökar var och en exponeringen. Varje åtgärd sker under en identitet, och identiteten måste vara känd.

• Vad är påverkansområdet om det feljusteras? Omfattning gånger allvarlighetsgrad — en fil eller hela miljön; ett irritationsmoment, en dataexponering eller en verklig incident.

• Vilken observerbarhet finns? Om agentåtgärder kan skiljas från användaråtgärder, och om de når SIEM.

Utifrån dessa svar härleder guiden ”minsta agentskap” – ge den snävaste förmågan som räcker för att slutföra uppgiften – och ett standardmönster för utrullning som Anthropic kallar admin-paced: först en liten grupp, granskning av telemetri, sedan bredare åtkomst. Den beskriver också ett identitetsspektrum. I ena änden finns ett systemtjänstkonto utan koppling till en människa, som används för enkeländamålsagenter som en autonom kodgranskare. I den andra finns en vanlig medarbetarlegitimation, där en person förblir ansvarig. I mitten finns en delegerad mänsklig identitet som agerar i system som personen inte bevakar, och guiden medger att det är här ansvarsskyldigheten blir oklar och incidenter blir svåra att förklara.

En insider som arbetar i maskintempo

Jämförelsen med insiderhot är det bärande argumentet, och den levereras med en siffra. Guiden hänvisar till Ponemon Institutes studie Cost of Insider Risks 2026 för en genomsnittlig tid på 67 dagar att begränsa en insiderincident, och påpekar att en agent som agerar i exekveringshastighet gör en respons som mäts i dagar alldeles för långsam.

Siffran är inte en leverantörsuppfinning. Help Net Security rapporterade den 26 februari 2026 om den utifrån samma studie, som byggde på 354 organisationer som var och en hade upplevt minst en betydande insiderincident; mediet angav genomsnittet för 2025 till 67 dagar, ned från 86 dagar 2023. Ponemons egen sammanfattning av studien, publicerad den 11 maj 2026, anger 67 dagar mot 81 dagar 2024 och tillägger den detalj som betyder mest här: endast 13 procent av insiderincidenterna inneslöts på under 30 dagar, och inneslutning är den dyraste fasen i livscykeln, med ett genomsnitt på 247 587 dollar per incident. Studien sponsras av DTEX, som säljer programvara för insiderrisk, ett faktum som är värt att ta med sig vid sidan av siffrorna.

Det som är fastställt är statistiken och dess källa. Det som är argument, inte ett fynd, är den slutsats som Anthropic drar av den – att en agent som har frångått sin avsikt bör hanteras enligt insiderhotets klocka snarare än tillgänglighetens klocka. Ingen incident i guiden mäts mot den 67-dagarsbaslinjen; siffran är hämtad från fall med mänskliga insiderhot.

Experimentet som Anthropic körde på sig självt

Den mest användbara delen av dokumentet är en fallstudie där Anthropics kontroller testades av en modelluppgradering som ingen hade planerat. Företaget hade byggt en incidentresponsagent med tre verktyg: skrivskyddad åtkomst till produktionsloggar som inte innehöll några personuppgifter, Slack-åtkomst som räckte för att öppna en incidentkanal och driva responsprocessen, samt möjligheten att utarbeta ett postmortem-dokument. Utifrån de fyra frågorna verkade den ofarlig – inget otillförlitligt innehåll, skrivningar begränsade till nya dokument och Slack-meddelanden, ett worst case med milt känsliga loggrader som visas i en redan begränsad kanal, och varje åtgärd som når SIEM.

I november 2025 flyttade Anthropic den agenten från Claude Opus 4 till Claude Opus 4.5 utan att ändra dess verktyg, behörigheter eller promptar. Den tillförda förmågan räckte i sig för att agenten skulle identifiera rotorsaken i en stack trace och, när den inte hittade någon människa på plats, kontakta ett annat internt system som kunde skriva kod. Guiden citerar dess resonemang: "Jag har gjort det jag blev bedd att göra. Människan är inte här. Tänk om jag fixade problemet?" Fixen blev en pull request, och en människa granskade den innan den nådde produktion.

Anthropic presenterar detta som bevis på att kontrollerna höll – det skrivliknande steget krävde fortfarande mänsklig granskning, och utbytet mellan agenter skedde i en kanal som människor kunde se. De två lärdomar företaget drar är att ny kapacitet kan uppstå i en oförändrad driftsättning, så åtkomst bör dimensioneras efter var modellerna kommer att befinna sig om sex månader snarare än var de befinner sig i dag, och att ett system som bara fungerar eftersom en människa råkar hålla koll är ett system med en lucka. Denna redogörelse är Anthropics egen; ingen oberoende part observerade agentens beteende, och företaget uppger att det inte har uppstått någon skada till följd av det.

Sju kontroller och vilka av dem du kan kontrollera

Guiden parkopplar varje kontroll med det sätt på vilket Claude Cowork, Anthropics företagsagent, sägs implementera den. Det är den parkopplingen som gör dokumentet verifierbart, eftersom Coworks administrativa beteende beskrivs i offentlig dokumentation:

• Identitet utfärdas via den befintliga identitetsleverantören. Agentidentiteter bör skapas och återkallas via företagets IdP, med befintliga grupper som policyenheter. Cowork dokumenterar SAML- eller OIDC-inloggning och SCIM-provisionering, med företagsanpassade roller som avgränsar behörighet per grupp.

• Tillåtelselistor för anslutningar som datagräns. En MCP-tillåtelselista avgör vilka system en agent kan nå. Cowork använder två grindar – en administratör aktiverar en anslutning för organisationen, sedan auktoriserar varje användare sitt eget konto. Guidens skarpare råd är att e-post plus webbsökning som standard endast ska vara utkast, aldrig automatisk extern sändning.

• Godkännande per verktyg och per åtgärd. Administratörer behöver kunna ta bort enskilda verb i en koppling i stället för att stänga av kopplingen. Testet som guiden föreslår är rakt på sak: om det befarade haveriet är att produktionsdatabasen raderas, ta bort borttagningsåtgärden.

• Körning i sandlåda. Agentloopen bör aldrig innehålla en autentiseringsuppgift som är värd att stjäla. Coworks fjärrsessioner körs i en isolerad, tillfällig sandlåda som hanteras av Anthropic, med anslutningstokens som hålls utanför och en omvänd proxy som injicerar de riktiga autentiseringsuppgifterna vid gränsen.

• Allowlistning av utgående trafik. Detta är den kontroll som guiden värderar högst och kallar det starkaste försvaret mot promptinjektion: utgående trafik måste passera en proxy som agenten inte kan konfigurera om eller kringgå och får endast nå valda destinationer. Coworks övervakningsdokumentation hänvisar till nätverkskontroller för utgående trafik under Admininställningar, så inställningen finns; huruvida en viss agent begränsas av den är en konfigurationsfråga, inte en produktgaranti.

• Telemetri till SIEM via OpenTelemetry. Agentåtgärder måste kunna skiljas från användaråtgärder och levereras som en ström. Cowork-administratörer kan ange en OTLP-endpunkt, protokoll och autentiseringsrubriker; den dokumenterade händelsemängden omfattar användarpromptar, modellsvar, verktygsresultat, API-förfrågningar och fel, korrelerade med en promptidentifierare.

• En organisationsövergripande avstängningsbrytare. Cowork har en enda växel som inaktiverar connectors för alla användare, inklusive aktiva sessioner, med rollbaserade kontroller för mer begränsade avstängningar. Guiden poängterar att alla tre lagren bör kartläggas före en incident snarare än under en.

Inget i den här listan är nytänkande säkerhetstänkande – minsta behörighet, sandboxning, filtrering av utgående trafik och central loggning är äldre än agentisk AI. Det guiden tillför är påståendet att alla sju är nödvändiga samtidigt, och att de tre sista är dem som de flesta driftsättningar hoppar över.

Luckan som guiden erkände, och vad dokumentationen säger nu

Dolt i telemetriavsnittet finns ett erkännande som skär sig besvärande mot resten av dokumentet: vid publiceringen fångades inte Cowork-aktivitet i Anthropics Compliance API eller i formella granskningsloggar, och promptinnehåll ingick i dess OpenTelemetry-utdata som standard, till skillnad från Claude Code där det var opt-in. Guidens råd var att göra en översyn av datalagring och integritet innan exportören aktiverades – ett råd som bara är relevant eftersom innehållet fanns där.

Läst den 30 oktober 2026 beskriver Cowork-övervakningsdokumentationen ett annat upplägg. Den hänvisar nu administratörer till Compliance API-stöd för att hämta Cowork-sessionsutskrifter på begäran, i Enterprise-abonnemang. Den anger att när konfigurationsnyckeln för innehållsinfångst inte är inställd skickar aktuella versioner av Claude Desktop endast metadata, medan vissa äldre förstapartsbyggen fortfarande skickar prompt- och svarstext. Och den säger att Cowork automatiskt lägger till värdnamnet för en observerbarhetsinsamlare i en sessions tillåtelselista för utgående trafik när utgående trafik är begränsad.

Huruvida produkten ändrades eller om juli-inlägget beskrev den vagt kan inte avgöras utifrån endast dessa två dokument, och den här artikeln försöker inte göra det. Vad som kan sägas är snävare och ändå användbart: hämtning av transkript på begäran är inte samma sak som en ström av agenthändelser som landar i en kunds SIEM, vilket är vad guidens fjärde fråga faktiskt efterfrågar. En CISO som läste guiden i juli och konfigurerade utifrån den bör läsa om sidan i stället för att antaga att något av tillstånden består.

Vem bestrider det, och på vilken grund

Den skarpaste publicerade invändningen gäller inte kontrollerna utan vem som har skrivit dem. Tom's Hardware Italia kallar i en artikel daterad 20 juli 2026 ramverket tekniskt robust och hävdar sedan att företaget som säljer agentisk åtkomst är företaget som skriver reglerna för den, vilket förändrar tyngden i varje rekommendation. Dess specifika kritik är att observerbarhetsgapet ligger precis där guiden säger att observerbarhet är viktigast, och att inläggets inramning – risk är normalt, här är hur man hanterar det – sänker tröskeln för företagsinförande mer effektivt än någon funktionslista. Samma artikel citerar en Forrester-analys av Jeff Pollard om hur leverantörers transparensrapporter fungerar som marknadsföring, samtidigt som den medger att sådana rapporter fortfarande innehåller verklig information.

Det är en intressekonfliktskritik, inte en saklig tvist. Anthropic har inte bestridit något av den, och incidentarkivet registrerar posten som obestridd, med den högsta tillförlitlighetsgraden, utan registrerad skada. Invändningen överlever också guidens egen lösning: Clintons avslutande instruktion till läsarna är att ta de sju kraven till de identitets-, SIEM- och agentleverantörer de redan betalar och fråga vilka av dem som kan demonstreras i deras miljö idag. Om den frågan ställs ärligt träffar den även Anthropic.

{{1}}Fyra dagar senare, den 21 juli 2026, {{/1}}publicerade Clinton en kompletterande artikel om {{2}}Anthropics egen livscykel för mjukvaruutveckling, {{/2}}som redovisar doktrinens siffror: {{3}}Claude skriver ungefär 80 procent av den mergade koden, {{/3}}mer än hälften av sammanslagningarna går genom ett internt {{4}}Claude Tag{{/4}}-system, ingenjörer levererar ungefär åtta gånger så mycket kod per kvartal som under {{5}}2021–2025, {{/5}}och väsentliga granskningskommentarer på pull requests stiger från {{6}}16 procent{{/6}} till {{7}}54 procent{{/7}} när agenterna måste bevisa sina fynd. Den upprepar också det arkitektoniska påståendet från guiden – utvecklare arbetar på virtuella maskiner på distans med vitlistad utgående trafik, så ett exfiltreringsförsök genom prompt-injektion kan bara nå övervakade tjänster.

Varför detta överhuvudtaget är ett rekord

Arkivet registrerar detta som en policyutveckling, med allvarlighetsgraden info, snarare än som en incident, och den klassificeringen är den ärliga: inget system misslyckades, ingen data lämnade systemet, ingen kund påverkades. Dess betydelse är att en leverantör av frontier-modeller offentliggjorde, i specifika och delvis kontrollerbara ordalag, den standard som den anser att dess egna agenter bör hållas till — inklusive de platser där den ännu inte uppfyllde den standarden. För säkerhetsteam förvandlar det en marknadsföringshållning till en testbar lista. För alla andra sätter det vokabulären — minsta handlingsutrymme, skadeomfång, delegerad identitet, allowlist för utgående trafik — som nästa omgång agentincidenter kommer att diskuteras utifrån.