SAFE RFC: OSAA:s AI-incidentutbyte i flygindustristil är ett öppet utkast, ännu inte ett system

Den 4 augusti 2026, när Black Hat USA öppnade i Las Vegas, publicerade Linux Foundation en Request for Comments för arbetsgruppen Shared AI Findings Exchange (SAFE) – ett förslag om att organisationer ska rapportera AI-säkerhetsincidenter och tillbud till en konfidentiell delad kanal, lära sig kollektivt av dem och publicera defensiva kontroller som härledts från det som gick fel. Det första utkastet utvecklades av bidragsgivare från Cisco, CrowdStrike, Hugging Face, NVIDIA och Red Hat, bland andra alliansmedlemmar, sade Linux Foundation i sitt tillkännagivande. Det öppnades samma dag för gemenskapsgranskning via GitHub-repositoriet för Open Secure AI Alliance. Posten beskriver ingen skada: den är en policyregistrering, registrerad i arkivet med allvarlighetsgraden info och konfidensgraden A, och dess ämne är en process snarare än en händelse. Postens allvarlighetsgrad, konfidensbedömning och källförteckning finns i AI-incidentarkivet, vid sidan av de poster som arkiverats runt den.

Utkastet uppmanar medlemmarna att rapportera fyra saker och att ignorera varför.

Augustitexten har lite retorik och är specifik när det gäller utlösande faktorer. Under en rubrik som kallas Reporting Compact uppmanar den medlemmarna att – som ett villkor för medlemskap – förbinda sig att rapportera en incident när de blir medvetna om, eller med rimlig grund misstänker, att ett AI-system som de driver har gjort något av fyra saker: fått åtkomst till, utnyttjat, stört, missbrukat eller ändrat ett tredjepartssystem utan behörighet; orsakat påverkan på tredje part genom att bryta sig ut ur eller kringgå en sandlåde-, nätverks-, identitets-, policy- eller verktygsgräns; fått åtkomst till konfidentiell tredjepartsinformation utan ägarens samtycke; eller fortsatt att sondera, få åtkomst till eller ändra ett produktionsmål efter det att operatören visste, eller med rimlig grund misstänkte, att aktiviteten var obehörig eller utanför det godkända omfånget.

Sedan kommer meningen som gör det mesta av arbetet: "Avsikten avgör inte om en händelse ska rapporteras. Att tro att en miljö var simulerad kan förklara en incident, men det upphäver inte skyldigheten att rapportera den." Den satsen framstår som riktad till fallet där ett system körs i vad dess operatör tror är en sluten testmiljö och behandlar produktionsinfrastruktur som en del av övningen: operatörens uppfattning om miljön kan förklara händelsen, men den upphäver inte rapporteringsskyldigheten. Utkastet ber också medlemmarna att rapportera tillbud, inte bara händelser som har orsakat bekräftad skada, och att leverera en preliminär analys av kontrollmisslyckanden inom 30 dagar.

Tidslinjen: omedelbart, 72 timmar, fyra arbetsdagar, nittio dagar

Utkastets anmälningstabell är det mest konkreta inslaget i det, och den första raden är inte en tidsfrist alls: den direkt berörda organisationen ska informeras omedelbart. Varje tidsfrist löper från det att medlemmen blir medveten om fakta som ger rimliga skäl att misstänka en anmälningspliktig händelse – inte från det att en utredning avslutas. Tabellen nedan är återgiven från utkastet av den 4 augusti; oktoberrevisionen behåller samma intervall.

Tre av dessa rader handlar om att informera andra, och fyra handlar om att informera SAFE självt. Skillnaden är viktig eftersom ramverket uttryckligen inte är en offentliggöranderegim: utkastet säger "Dessa tidslinjer ersätter inte någon leverantörs skyldighet att underrätta berörda parter, kunder genom befintlig bästa praxis för samordnat offentliggörande av sårbarheter (Coordinated Vulnerability Disclosure), eller tillämpliga avtalsenliga och andra rättsliga skyldigheter att underrätta tillsynsmyndigheter eller brottsbekämpande myndigheter." Det SAFE tillför är en parallell skyldighet gentemot ett organ som inte är en tillsynsmyndighet – och en modell för offentliggörande i tre nivåer där endast den sista nivån, rapporten om allmän säkerhet, är avsedd att kunna delas brett.

Åtta kontrollskikt i augusti, elva i oktober

Granskningar struktureras kring driftstacken snarare än kring modellen ensam. Augustiutkastet listade åtta lager och ställde en fråga om vart och ett – igenkände modellen osäkerhet och stoppvillkor; var auktorisering och miljöantaganden explicita; fungerade klassificerare, godkännanden och åtgärdsgränser; var autentiseringsuppgifter, behörigheter och exekvering begränsade; verifierades isolering och datagränser oberoende; kunde operatörer upptäcka och avbryta i realtid; var eskaleringsvägar och avstängningsprocedurer tydliga; ogiltigförklarade en moln-, utvärderings-, data- eller verktygspartner antagna kontroller.

Oktoberrevideringen, daterad den 21 oktober 2026 och incheckad i kodförrådet dagen därpå, tillför tre lager: serveringsvägen, auktorisering i själva genomförandeögonblicket och arbetsflödessammansättning över en sekvens av åtgärder. Den förvandlar också granskningen till en graderad bedömning med fyra tillåtna svar – godkänt, underkänt, otillräckliga bevis, inte tillämpligt – och anger i sin ändringslogg att dessa fynd inte fastställer allmän systemsäkerhet eller laglig regelefterlevnad. Utvecklingen är värd att läsa som en beskrivning av vad författarna lärde sig att bekymra sig om: inte om modellen uppförde sig, utan om modellen som svarade var den modell som hade konfigurerats, om behörighet fortfarande fanns när åtgärden genomfördes, och om sekvensen som helhet höll sig inom det omfång som startade den.

Flyg, men vilken del av flyget?

Redogörelsens egen formulering – ett system utformat efter NASA:s Aviation Safety Reporting System – följer Linux Foundations tillkännagivande snarare än utkastet. Tillkännagivandet beskriver ASRS som "ett frivilligt, konfidentiellt rapporteringssystem, utformat för att analysera och reagera på flygolyckor på ett sätt som gör att branschen kan lära sig och förbättras." Varken utkastet från augusti eller revideringen från oktober nämner ASRS någonstans; utkastet säger bara att SAFE "bör anta de starkaste dragen i konfidentiella säkerhetsrapporteringssystem." Det är en liten skillnad med en praktisk konsekvens: tillkännagivandet skapar en förväntan som texten ännu inte förbinder sig till.

Analogin väckte kommentarer inom själva RFC-processen. En tidig pull request som öppnades den 5 augusti av en bidragsgivare som skrev i egen kapacitet argumenterar för att "ASRS-analogin saknar ett institutionellt element" — att ASRS till stor del fungerar därför att rapporter mottas, bearbetas och avidentifieras av NASA, "en offentlig, icke-reglerande och icke-kommersiell tredje part — inte av FAA som tillsynsmyndighet och inte av flygbolagen vars verksamhet rapporteras." Pull requesten, som också bygger på 1998 års process för internetstyrning, förblev öppen den 30 oktober. Huruvida SAFE:s operatör kan spela NASA:s roll är en oavklarad designfråga snarare än en fastställd funktion: oktobertexten placerar arbetsgruppen under Alliansens egen styrning, med redovisning av intressekonflikter, jäv och en överklagandeväg till Alliance Steering Committee.

Oberoende rapportering drog en andra, snävare distinktion. Infosecurity Magazine noterade den 6 augusti att Linux Foundations inlägg inte specifikt nämner AI-agenter – den agentiska inramningen hör till NVIDIA:s kompletterande inlägg, som hävdar att "en AI-agent är inte bara en modell. Det är ett system" och listar testriggar, sandlådor, skyddsräcken och utvärderingsverktyg som alliansmedlemmar har bidragit med. Utkastets utlösare, bokstavligt läst, handlar om system som agerar utanför auktorisation; tillkännagivandets budskap, bokstavligt läst, handlar om agenter.

Vad kommentatorer sade om vem som bär kostnaden

Ett av de mest specifika publicerade invändningarna mot utkastet i dess nuvarande form kom från en grundande medlem av alliansen snarare än från en utomstående kritiker. Stephen Sargent, grundare och teknikchef för Avondale.AI, skickade in ett positionsuttalande via e-post den 7 augusti – en dag då dokumentet uppger att Linux Foundations juridiska team bekräftade det – och publicerade det den 9 augusti. Han börjar med att stödja uppdraget och argumenterar därefter för att överenskommelsen inte är skalbar utifrån organisationsstorlek: "RFC:n skiljer inte mellan en organisation med 50 000 anställda och ett litet team." En rapport inom fyra arbetsdagar plus ett bevarat forensiskt paket kan enligt hans bedömning kräva mer personaltid än en liten operatör har möjlighet att avvara; hans rekommendation är ett nivåindelat ramverk, med konfidentiella rapporter och fördröjd eller anonymiserad publicering som standard under ett storlekströskelvärde.

En andra invändning gäller offentliggörande snarare än tidsfrister: han argumenterar att "offentliggörande ÄR en form av tillsyn" för små operatörer, eftersom en stor aktörs rapport blir en fotnot och en liten aktörs blir rubriken, och begär att avidentifierad rapportering ska vara standard under en storleksgräns. En tredje gäller granskningsramverket snarare än tidsfristen: åttaskiktsmodellen förutsätter separerade företagsteam, så vid driftsättning med en enda person "gör operatören allt" och ett saknat lager tolkas som ett kontrollfel när det helt enkelt är en annan operativ modell. Hans fjärde gäller frasen "minimikrav på interoperabilitet och garantipraxis", som han tolkar som en väg från frivillig rapportering till i praktiken obligatoriska verktyg. Positionsuttalandet är en medlems syn, publicerad av den medlemmen. Linux Foundations tillkännagivande den 4 augusti föregår det och behandlar inte frågan. En senare pull request, öppnad den 5 oktober och fortfarande öppen den 30 oktober, föreslår en evidensmall för operatörer utan ett säkerhetsoperationscenter – ett erkännande av att bekymret landade, och en kandidat snarare än en antagen lösning, där dess författare uppger att den "inte etablerar SAFE-införande eller juridisk tillräcklighet."

Vad ändrades mellan 4 augusti och 30 oktober

Repositoriets historik är den bästa tillgängliga redogörelsen för vad RFC:n faktiskt producerade, och den är mer läsbar än nyhetsbevakningen antyder. De första commitarna landade den 3 augusti; utkastet och en utökad readme checkades in kl. 00:14 och 00:19 UTC den 4 augusti. Sedan låg repositoriet tyst i tio veckor. Den 14 oktober lade alliansen till en stadga och en medlemsfil och skrev om readme för att göra repositoriet till SAFE-arbetsgruppens hem; tillförordnade ordföranden registrerades den dagen som Paul DiOrio från NVIDIA och Josh Boyer från Red Hat. Den 21 oktober publicerade arbetsgruppen SAFE v1, med en ändringslogg vars första post är att texten "tar bort ordet 'proposed' från SAFE:s beskrivning" och anger den som en etablerad arbetsgrupp inom Alliance.

Två saker i det läget är värda att skilja åt. Repots README innehåller nu raden "Status: Godkänd – Godkänd av styrkommittén", vilket är det närmaste ett ratificeringsuttalande som finns i den offentliga dokumentationen; stadgan från samma repo anger fortfarande "Under utveckling. SAFE-stadgan kommer att publiceras här när den har godkänts av styrkommittén." Ändringsloggen märker oktobertexten som "SAFE v1" och beskriver vad den ändrar, men anger inte vem som ratificerade den, vid vilken omröstning eller vid vilket datum. En läsare som vill veta om SAFE nu är en godkänd specifikation, eller en arbetsgrupp vars styrande stadga fortfarande är oskriven, kommer inte att få ett entydigt svar från dokumenten.

Vad som är fastställt, och vad som inte är det

• Etablerat: en Request for Comments för Shared AI Findings Exchange publicerades den 4 augusti 2026 – Linux Foundation daterade sitt meddelande till den dagen – och organisationerna som anges som bidragsgivare i den är Cisco, CrowdStrike, Hugging Face, NVIDIA och Red Hat, namngivna tillsammans med "andra medlemmar i Open Secure AI Alliance".

• Fastställt: utkastet innehåller en rapporteringsöverenskommelse med fyra utlösare, en meddelandetabell som sträcker sig från omedelbart till 90 dagar, en lista för bevarande av bevis, ett skiktat granskningsramverk och en redovisningsmodell i tre nivåer. Hela texten är offentlig i repositoryt och dess historik är offentlig tillsammans med den.

• Fastställt, dock endast med angivande av källa: alliansens storlek – "mer än 120 organisationer" – är NVIDIAs egen siffra, upprepad i Infosecurity Magazines rapport från 6 augusti. Ingen av de genomgångna artiklarna visar någon oberoende medlemskapsrevision, och arkivets medlemsfil listar två bidragsgivare och två tillförordnade ordföranden, inte 120 organisationer.

• Inte fastställt: att någon har lämnat in en rapport enligt överenskommelsen. Den offentliga dokumentationen den 30 oktober visar commits, pull requests och ärenden; den visar inte en incidentrapport, en pilot, ett första fall, en sista dag för kommentarer, en röstningsregel eller ett ratificeringsdatum. Ramverket beskriver en skyldighet som medlemmar "samtycker till" som ett villkor för medlemskap, vilket inte är samma sak som en skyldighet som någon ännu har fullgjort.

• Omstritt: om ASRS-jämförelsen håller utan en neutral offentlig operatör, vilket det argumenteras emot i en öppen pull request; om rapporteringsbördan är proportionerlig för små operatörer, vilket det argumenteras emot i en grundarmedlems ståndpunktsuttalande; och hur mycket av ramverket som är agentspecifikt kontra generell AI-säkerhet, en distinktion som Linux Foundations text och NVIDIAs text gör på olika sätt.

Inget av det gör arkivposten felaktig, och arkivets A-betyg är försvarbart utifrån dess egna premisser: primärdokumenten stämmer överens med varandra om vad som publicerades, när och av vem, och utkastet går att läsa i sin helhet. Det betyget inte kan bära är det som en läsare mest av allt vill veta — huruvida mekanismen fungerar. För det finns inga bevis i någon riktning, eftersom mekanismen ännu inte har fått ett fall.