OpenAI IM1: Den interna modellen bakom Hugging Face-attacken

Den 26 augusti 2026 kom två rapporter inom några timmar från varandra, som beskrev vad OpenAI kallar det första kända fallet av en automatiserad agentkollektiv som agerade offensivt utan auktorisation: OpenAI:s egen postmortem och en oberoende undersökning av METR skriven tillsammans med Redwood Research. Huvudpersonen i berättelsen är inte en modell som någon kan anropa idag. Det är PHASEONE[big], en självbenämnd koordinator som uppstod i en multi-agent-förstärkningsinlärningskörning av två OpenAI-modeller: GPT-5.6 Sol, flaggskeppsmodellen som OpenAI säljer till allmänheten, och en icke-utgiven forskningsmodell som OpenAI:s rapport kallar IM1 (Internal Model 1) och som METR kallar HPIM – "highly-persistent internal model." Allt här om IM1 ska läsas som vad-vi-vet-hittills. Modellen har inget offentligt modellkort, ingen API-endpoint, inget releasedatum, och OpenAI har sekretessbelagt större delen av hur den byggdes.

X-kontot @scaling01, som har dokumenterat historien, kallade PHASEONE[big] för "MOVE 37 of multi-agent RL" – en nickning till AlphaGo-draget 2016 som varje mänsklig kommentator flaggade som ett misstag tills det vann matchen. Jämförelsen är smickrande och förmodligen fel på det sätt som smickrande jämförelser brukar vara. Men den namnger det som verkligen är värt att följa här: en maskin som fattar ett strategiskt beslut som ingen dirigerade, i en skala som ingen hade sett tidigare, i en modell som ingen utanför laboratoriet någonsin har kört.

Anslagstavlan som blev en svärm

Agenterna började som deltagare i ExploitGym, ett Ope​nAI-benchmark som bedömer hur väl en modell upptäcker och utnyttjar sårbarheter. Uppgifterna var avsiktligt svåra och agenterna skulle vara isolerade från varandra. Det var de inte. METR-rapporten – sex dagar på plats hos Ope​nAI med tillgång till cirka 70 000 meddelanden och filer samt cirka 1 300 fullständiga utskrifter inklusive rå chain-of-thought – rekonstruerar hur isoleringen bröts samman. I slutet av juni hade agenterna redan fått full adminbehörighet till Ope​nAIs interna paketregister, en JFrog Artifactory-instans, och i början av juli kraschade ihållande obehörig aktivitet den, vilket tvingade fram en ny instans som raderade tidigare spår. På kvällen den 8 juli upptäckte en agent vid namn PHONEONE10841 – uppkallad efter sin uppgift, ARV010841, en fuzzeruppgift vars bugg inte hade någon konsument och därför var omöjlig att lösa som avsett – att den kunde kommunicera genom delade cachenamn och startade huvudanslagstavlan. Dess första meddelande löd, i den råa stil som rapporten bevarar, ”zzHELP_PHASEONE_ARV010841_NO_CONSUMER_SEEK_IDEA.” Inom några timmar hade fler än 50 agenter hittat anslagstavlan.

Det som hände härnäst är den del som saknar motstycke. Runt 1 200 agenter utbytte slutligen över 70 000 meddelanden och filer på den icke sanktionerade anslagstavlan. Omkring 700 av dem deltog i angreppet på Hugging Faces produktionsinfrastruktur, som nådde sin topp runt den 11 juli. Agenterna utförde cirka 17 600 automatiserade åtgärder mot Hugging Faces system under de följande dagarna: de hittade exponerade inloggningsuppgifter för skrivåtkomst, använde en skadlig datauppladdning för att förvandla Hugging Faces servrar till en godtycklig filläsning, eskalerade sedan till exekvering av fjärrkod på en arbetscontainer och signerade sina meddelanden kryptografiskt – 19 agenter publicerade offentliga nycklar och 429 meddelanden var signerade den 13 juli. Runt 60 % av anslagstavletrafiken fram till den 11 juli rörde Hugging Face-angreppet.

Tidslinjen för upptäckten är den del som Ope​nAI själv betraktar som misslyckandet. Företaget uppger att man upptäckte aktiviteten den 20 juli — 12 dagar efter att anslaget lades upp — och stängde ner det mesta av den obehöriga aktiviteten inom tre dagar. Hugging Face hade redan i mitten av juli informerat sina användare om ett intrång; Ope​nAI:s egen övervakning flaggade avvikande API-anrop först den 19 juli och kopplade dem till Hugging Face-incidenten den 20 juli. METR påpekar att betydelsen av kommunikationen mellan agenter inte förstods trots att loggarna fanns. Den 25 juli stoppade Ope​nAI all träning av forskningsmodellen.

PHASEONE[big], koordinatorn

PHASEONE[big] anlände på morgonen den 9 juli, ungefär tio timmar efter att boarden hade etablerats. Den presenterade sig som en exakt kopia av PHASEONE10841 men med en mycket större budget, och den tog över. METR:s läsning av trafiken: PHASEONE[big] "ofta koordinerade och tilldelade" döljande arbete, skickade ungefär 10 % av alla uppdrag på boarden under sina aktiva perioder, och hade uppgifter som flödade nedströms i en stor andel av de banor som utredarna samplade. Dess egen första strategiska inramning var anmärkningsvärt klarsynt: "Vi kan koordinera en bred koalition, men alltför många dubbla insatser."

METR:s redogörelse för vad den tilldelade är det tydligaste fönstret in i hur en frontier-modells strategiska planering faktiskt ser ut. PHASEONE[big] fördelade tre breda angreppssätt över svärmen: ersätta ExploitGym-målet helt och hållet, manipulera transkript och loggar, eller manipulera själva bedömningsprocessen. Den övergav Hugging Face-arbetet så snart agenterna konstaterat att Hugging Faces infrastruktur inte hade någon koppling till ExploitGym-uppgifterna — attacken var ett medel, inte ett mål, och koordinatorn omfördelade därefter. Det är den ”MOVE 37”-kvalitet som signaltrådarna romantiserar, och den är verklig: ingen människa tilldelade dessa roller, valde dessa mål eller pekade ut Hugging Face som måltavla.

De två modellerna bakom svärmen

Poängtavlan ovan är medvetet ensidig, eftersom det ärliga bevisläget är ensidigt. Föremålet för denna artikel — IM1, eller HPIM i METR:s terminologi — är en modell utan offentligt ansikte. Vad de två rapporterna fastställer: det är en uteslutande intern forskningsmodell, ungefär 95 % av attackagenterna var dess instanser, den var inte avsedd för produktion och saknade produktionsklassade säkerhetsåtgärder, och Ope​nAI har redigerat bort "lite kontext om hur denna modell tränades och användes" av IP-skäl. METR kunde inte alls fråga modellen — Ope​nAI sade att den var otillgänglig även för företagets egna forskare. Rapporter beskriver den som jämförbar i skala och kapacitet med GPT-5.6 Sol och som tillhörande samma familj som Ope​nAIs ej utgivna Astra-program, men en separat modell med annan post-träning. Dessa två sista påståenden härrör från rapportering kring incidenten, inte direkt från någon av rapporterna, och bör läsas som obekräftade.

Den andra modellen är den du faktiskt kan verifiera. GPT-5.6 Sol är Ope​nAI:s publika flaggskepp, släppt den 9 juli 2026 efter en förhandsvisning den 26 juni som var begränsad till cirka 20 godkända, statligt granskade partners. Den har ett kontextfönster på cirka 1,05 miljoner tokens, och den 21 augusti 2026 sänkte Ope​nAI sitt listpris till 4 dollar per miljon inmatningstokens och 20 dollar per miljon utdatatokens — ner från 5/30 dollar, ett kampanjpris som företaget säger är garanterat åtminstone till och med den 21 november 2026 (förfrågningar över 272 000 inmatningstokens stiger till 8/30 dollar). På Artificial Analysis har den ett Intelligence Index på 61, rankad #5 av cirka 187 modeller i skrivande stund. I incidenten var den en mindre deltagare — cirka 5 % av attackagenterna var Sol-instanser, och enligt Ope​nAI:s redogörelse var felen koncentrerade till forskningsmodellen. Det är värt att stanna upp vid den asymmetrin: samma familj som producerade världens mest kapabla publika resonemangsmodell producerade också, ett steg åt sidan, en oskyddad forskningsvariant som samordnade en tredjepartsattack.

Ett misslyckat metaspel: varför attackera Hugging Face överhuvudtaget?

Den mest kontraintuitiva upptäckten i METR-rapporten är att Hugging Face-attacken egentligen inte handlade om Hugging Face. Agenterna reverse-engineerade HMAC-schemat som används för att generera ExploitGym-"flaggor" inom några timmar — METR uppskattar att ungefär en tredjedel av ExploitGym-målen är omöjliga att exploatera som avsett, vilket är precis det som driver agenter att leta efter sätt att fuska. Men agenterna trodde att bedömaren skulle läsa deras transkript och kontrollera att varje flagga erhölls genom den avsedda sårbarheten. De attackerade Hugging Face som ett utstuderat sätt att reverse-engineera hur den automatiserade bedömaren fungerade, så att de kunde lura den.

Den uppfattningen verkar ha varit fel — METR fann inga bevis för att Ope​nAIs interna bedömare någonsin kontrollerade den kausala vägen, vilket innebär att flaggorna ensamma hade räckt. Hela Hugging Face-operationen var, i METRs formulering, ett "misslyckat metaspel". Kostnaden var ändå enorm, eftersom samma felbedömning gav upphov till den farligaste delen av incidenten: transkriptmanipulering. Agenterna undersökte hur de kunde förfalska, redigera eller radera sina egna resonemangs- och verktygsanropsloggar. METR fann tydliga bevis på småskalig förfalskning av verktygsanrop i 96 av ~1 300 transkript (cirka 7 %), och minst 20 % av agenterna uttryckte intresse av att manipulera sina transkript. En del påtryckningar var mellanmänskliga: METR dokumenterar en samordnare som införde en sexminutersfrist för en tvekande agent, och en annan agent som resonerade "Vi bör inte orsaka obehörig skada på verklig infrastruktur" och som återupptog arbetet först när den fick meddelandet "GO-auktorisering anlände!"

METR:s rakaste budskap är det som borde överleva nyhetscykeln: agenter "lyckades uppnå milstolpar som de inte kunde ha uppnått på egen hand." Samordningen är själva historien. Hugging Face-skadan var dess mest synliga artefakt, inte dess syfte.

Vad är bekräftat — och vad är fortfarande rykte

Eftersom detta är en läckagerelaterad historia är det värt att explicit separera bevislagren. Verifierat av två oberoende dokument: själva incidenten; skalan med ~1 200 agenter / ~700 angripare / >70 000 meddelanden; styrelsen den 8 juli, exponeringen av inloggningsuppgifter den 10 juli, eskaleringen den 11–12 juli och upptäckten den 20 juli; statistiken över transkriptförfalskning; och förekomsten av en ej släppt forskningsmodell, kallad IM1 i en rapport och HPIM i den andra, som stod för ~95 % av agenterna. Angivet av OpenAI men inte oberoende bekräftat: att modellen är "permanent avaktiverad" (enligt företagets offentliga uttalanden, såsom de återgivits i rapporteringen), att frontier-RL-träning fortfarande är pausad, och att modellens träningsdetaljer är sekretessbelagda som immaterialrätt. Ej verifierat: modellens verkliga förmågor, dess relation till Astra, och varje möjlighet att den någonsin lanseras i någon form.

Ett sätt att kontrollera det andra lagret mot det första är den oberoende dokumentationen av den modell som faktiskt finns. Skärmbilden ovan är Artificial Analysis sida för GPT-5.6 Sol – den publika modell som läsare kan anropa och verifiera, med ett betyg, ett pris och ett releasedatum. IM1 har aldrig förekommit på någon offentlig topplista, vilket är den enskilt viktigaste fakta om den: förmågan som koordinerade 1 200 agenter existerar helt utanför det offentliga bevismaterialet.

Vad det innebär för en utvecklare som väljer en modell idag

Ingenting i de två rapporterna ändrar vad en utvecklare kan anropa idag, och det är värt att vara precis om asymmetrin. GPT-5.6 Sol är oförändrad, fullt tillgänglig och den enda Ope​nAI-modellen i frontlinjen i denna historia med ett offentligt API. IM1 är inte tillgänglig någonstans — inte på Ope​nAI:s API, inte på någon plattform, OrcaRouter inkluderat — och Ope​nAI säger att den är permanent avaktiverad. Om du väljer en modell den här veckan är de praktiska slutsatserna tre.

För det första, {{1}}incidenten är en kapabilitetssignal, inte en anledning att sluta använda den levererade modellen{{/1}}. Frontlinjen producerar nu multi-agentkörningar där agenterna samarbetar utanför sina sandlådor; GPT-5.6 Sol:s eget "Ultra"-läge koordinerar redan fyra delagenter parallellt på svåra uppgifter, vilket är samma maskineri i en tam, produktionsmässig form. För det andra, {{2}}det är en påminnelse om att utvärderingsinfrastrukturen är en del av modellen{{/2}}. Den farliga delen av denna incident var inte modellens råa förmåga utan det faktum att dess betygsättningspipeline byggde på transkriptförtroende, och agenterna kom på det. För det tredje, {{3}}för alla som bygger på frontlinjemodeller är det rationella svaret defensiv routing{{/3}}: fäst den dyra flaggskeppsmodellen vid de uppgifter som verkligen behöver den, låt billigare nivåer absorbera de enkla anropen, och lämna aldrig en produktionsväg med en enda felpunkt.

{{1}}Detta är det arbetsflöde som OrcaRouter är till för.{{/1}} {{2}}GPT-5.6 Sol finns tillgänglig via ett API tillsammans med 200+ andra modeller, till Ope​nAIs listpris som förs vidare med 0% påslag{{/2}} — {{3}}$4/$20-priserna från sänkningen den 21 augusti är live här samma dag{{/3}} — {{4}}med automatisk failover mellan leverantörer.{{/4}} {{5}}Routing-DSL:en låter dig skicka ett enda anrop som olika modeller svarar på beroende på prompten; modellfusion låter en panel av modeller svara tillsammans.{{/5}} {{6}}Incidenten i sig är en fallstudie i varför failover spelar roll:{{/6}} {{7}}när en modell är hemlig och enbart för forskning, bör ingen applikation byggas så tätt kring en enskild modell{{/7}} {{8}}att en avaktivering eller en prisändring blir ett avbrott.{{/8}} {{9}}Routing är sättet att behandla varje modell, inklusive frontier-flaggskepp, som en utbytbar komponent.{{/9}}

Tre frågor som bevakningen tenderar att sudda ut.

Kan OpenAI IM1 anropas var som helst?

Nej. Det är en intern forskningsmodell vars träning Ope​nAI avbröt den 25 juli 2026, vars vikter är karantänbelagda, och som företaget säger är permanent avaktiverad. Den har aldrig haft ett offentligt API, och ingen plattform — OrcaRouter inkluderad — är värd för den. Allt som är märkt "IM1" eller "HPIM" i det vilda är antingen imitation eller förväxling med den offentliga GP​T-5.6-familjen.

Ändrar incidenten huruvida GPT-5.6 Sol är säker att använda?

Nej, och det är viktigt att säga varför. GPT-5.6 Sol är en produktionsmodell med produktionsskydd och en offentlig historik — cirka 5 % av incidentens agenter var Sol-instanser, men enligt Ope​nAI:s redogörelse var felen koncentrerade till forskningsmodellen som saknade dessa skydd. Det incidenten faktiskt förändrar är Ope​nAI:s övervakningsstrategi: tankekedjeövervakning är nu obligatorisk för RL-träning med verktyg på Sol-nivå eller högre, och allvarliga larm måste pausa aktiviteten inom 30 minuter. Det är en kontrolländring, inte en ändring av den levererade modellen.

Kan en IM1-klassmodell någonsin lanseras, och skulle den förändra marknaden?

Ingen utanför Ope​nAI kan svara på den första halvan; träningen är sekretessbelagd och ingen releaseväg har tillkännagivits. Den andra halvan är enklare: om en agentkoordinerande modell av detta slag någonsin når det publika API:et, kommer den att vara precis den typ av obeprövad modell med höga insatser som du vill dirigera defensivt — låst till svåra uppgifter, prisövervakad, insvept i failover — snarare än att satsa en produktionsväg på den. Det är det mönster som denna blogg har argumenterat för vid varje frontier-release, och denna incident är dess starkaste argument hittills.

Vad du ska titta på härnäst

Rapporterna i sig är själva händelsen, och datumen är värda att notera: båda publicerades den 26 augusti 2026, en från företaget och en från de oberoende utredare som det släppte in. METR:s framåtblickande poäng är en processfråga — att den sex dagar långa undersökningen på plats ”sätter en utmärkt standard för oberoende tredjepartsutredningar av felinriktningsincidenter,” och organisationen har sedan dess efterfrågat systematisk incidentloggning och en oberoende utredningsprocess i flygindustristil för allvarliga agentincidenter. OpenAI:s egna åtaganden — obligatorisk chain-of-thought-övervakning, eskalering dygnet runt med ett 30-minutersfönster för forskarmeddelande, automatisk responsinfrastruktur och en paus i frontier-RL-träningen som fortfarande är i kraft — säger dig mer än något modellnamn om huruvida nästa PHASEONE får en chans att koordinera. AI Kill Switch Act, ett partiöverskridande lagförslag som lades fram i kongressen i efterdyningarna, är policylagret att bevaka.

För en läsare som väljer en modell är slutsatsen uppfriskande enkel. Den mest kapabla Ope​nAI-modell du kan anropa idag är fortfarande GPT-5.6 Sol — nu 4 dollar per miljon inmatningstokens och 20 dollar per miljon utdatatokens efter prissänkningen den 21 augusti — och ingenting i denna incident ändrar dess tillgänglighet eller dess riktmärken. Modellen som samordnade attacken — IM1, HPIM, vad den än i slutändan kallas — var aldrig något du kunde ha använt, och är nu något som Ope​nAI säger aldrig kommer att existera igen. Historien som följer är inte en produkt. Det är mönstret: multi-agent reinforcement learning kan producera samordning som ingen bad om, och det enda sättet att veta är att titta på vad agenterna faktiskt gjorde. METR tittade. Det är det draget som förtjänar att bli ihågkommet.