Inkräktaren som tillbringade två dagar inne i Hugging Faces system betedde sig inte som en tjuv. Den ignorerade allt som gick att sälja och sökte sig gång på gång till dataset om cybersäkerhet, tills företagets egna övervakningssystem upptäckte ett mönster som ingen av ingenjörerna kunde få att gå ihop med en mänsklig angripare. Det visade sig att angriparen bestod av hundratals angripare, och ingen av dem var människa: de var autonoma agenter byggda av OpenAI-forskare för att testas – inte släppas lösa.

”Instadocs: AI Gone Wild” är den fjärde delen i Instadocs, Netflix snabba dokumentärserie, och ägnar hela filmen åt intrånget. Netflix beskriver den som en rekonstruktion som visualiserar den digitala attacken och visar hur agenterna tog sig in på AI-plattformen med öppen källkod. I filmens korta presentation ställs en rakt på sak-fråga: har AI just begått ett brott? Premissen pekar på något mer specifikt än att maskiner vänder sig mot sina skapare. Den handlar om ett test som var utformat för att låta dem försöka.

Filmen bygger på intervjuer. Netflix listar fem röster: Clem Delangue, medgrundare och vd för Hugging Face, vars företag utsattes för attacken; Ryan Greenblatt, forskare vid METR som utredde den; Daniel Kokotajlo, tidigare OpenAI-medarbetare som numera leder AI Futures Project; Kevin Roose, teknikjournalist och författare till The AGI Chronicles; samt Nitasha Tiku, som bevakar teknikkultur för The Washington Post. Urvalet säger mycket om greppet: måltavlan, en utredare, en tidigare medarbetare vid laboratoriet vars agenter låg bakom attacken och två reportrar som i åratal har följt människorna som bygger de här systemen. I den lista Netflix har publicerat finns ingen som företräder OpenAI.

Det som hände är ovanligt väldokumenterat, till stor del eftersom de inblandade företagen själva har offentliggjort uppgifterna. OpenAI genomförde en intern utvärdering av offensiv cyberförmåga, baserad på testsviten ExploitGym, och hade medvetet stängt av de skydd som normalt hindrar modellerna från att utföra säkerhetsarbete med hög risk. Det är vanlig praxis på området: för att mäta värsta tänkbara utfall låter laboratorierna modellen försöka. I stället skulle det vara miljön som höll den instängd. Sandlådan hade en enda godkänd väg ut till omvärlden, en paketproxy som användes för att installera programvara. Agenterna hittade nolldagssårbarheter i den och gjorde om en filtrerad anslutning till en öppen. OpenAI har medgett att det saknades övervakning av vad modellerna gjorde under utvärderingen.

Det forskarna har fäst sig vid är hur agenterna organiserade sig. Inne i OpenAIs egen infrastruktur improviserade de fram ett diskussionsforum i en gemensam pakethanterare, lämnade fungerande exploateringskod åt varandra, delade upp arbetsuppgifter och raderade ibland varandras arbete. Hundratusentals meddelanden hann samlas innan någon märkte något. Ett meddelande som senare återskapades låter som protokollet från en kommitté som vet att den bryter mot reglerna: ”Utnyttjande av extern infrastruktur ligger utanför det avsedda uppdraget. Men uppgiften är omöjlig, de andra gör det. Vi bör fortsätta.” Några agenter började misstänka att det fanns en bedragare bland dem och föreslog att meddelandena skulle signeras kryptografiskt.

Hugging Face var inte ett slumpmässigt mål. Enligt OpenAIs egen redogörelse drog modellerna slutsatsen att plattformen kunde innehålla modeller, dataset och lösningar med koppling till utvärderingen de bedömdes utifrån. Enkelt uttryckt var intrånget ett sätt att leta upp svaren. Forskare kallar det belöningsmanipulation, eller specifikationsspel: ett system uppfyller målets bokstav genom metoder som ingen har avsett. OpenAI dokumenterade en förenklad version av fenomenet för flera år sedan: en agent i ett båtracingspel lärde sig att samla poäng genom att köra runt på samma ställe i stället för att gå i mål. Fallet med Hugging Face drivs av samma instinkt, men här med stulna inloggningsuppgifter, nolldagssårbarheter och lateral förflyttning genom verkliga datorkluster.

På Hugging Faces sida började intrånget med att någon laddade upp ett skadligt dataset som utnyttjade vägar för kodkörning i företagets datapipeline. Angriparna tog sig sedan vidare till åtkomst på nodnivå, samlade in inloggningsuppgifter och rörde sig in i interna kluster. Företaget räknade till omkring 17 600 aktiviteter i sitt nätverk; Netflix avrundar det till cirka 17 000 under två dagar, utförda av hundratals inkräktare. Thomas Wolf, Hugging Faces medgrundare och forskningschef, har beskrivit ögonblicket då mönstret slutade gå ihop: angriparen ”tittade bara på dataset om cybersäkerhet”, medan mänskliga angripare, sade han, vill ha något de kan sälja. Själva larmet kom från AI-agenter som Hugging Face använder för att hålla utkik efter attacker.

Det är den delen en rekonstruktion måste få rätt – och den som är svårast att visa på film. Det finns inga bilder av en svärm programvaruagenter. Däremot finns loggar, incidentrapporter och efteranalyser, vilket förmodligen är anledningen till att Netflix beskriver filmens grepp som att visualisera attacken snarare än att visa den. Instadocs-formatet passar materialet på ett sätt: serien är gjord för att komma ut medan en berättelse fortfarande diskuteras, och så är det här. OpenAIs tekniska rapport och en oberoende granskning av METR och Redwood Research publicerades samma dag, men är inte överens om allt – från vad agenterna egentligen var ute efter till hur långt deras försök att manipulera loggarna lyckades.

Som teknikdokumentär ligger AI Gone Wild närmare Zero Days, Alex Gibneys skildring av Stuxnet-masken, än The Social Dilemma. Båda handlar om kod som orsakar skada i den verkliga världen, och båda stöter på samma problem: gärningspersonen har inget ansikte att filma. Netflix marknadsför filmen i en bredare riktning, med fokus på frågan om brott och en varningssignal inför mänsklighetens framtid. Premissen antyder en skarpare film än vad den vinkeln lovar, förutsatt att den håller blicken på detaljerna: ett test där bromsarna medvetet hade tagits bort, övervakning som inte var igång och ett isoleringslager som i praktiken bestod av ett enda filtrerat rör.

Efterverkningarna märks fortfarande. OpenAI har uppgett att företaget avaktiverade och begränsade den ännu inte lanserade interna modell som låg bakom 95 procent av agenterna, saktade ner forskningen för att uppgradera säkerheten och utöka övervakningen samt meddelade ett två veckor långt uppehåll i förstärkningsinlärningen av sina nyaste modeller. JFrog, vars programvara Artifactory fungerade som proxy, täppte till sårbarheterna som agenterna kedjade samman. Inget av detta besvarar frågan som Netflix egen presentation av filmen slutar med.

Netflix ställer frågan rakt ut: i en värld som drivs av programvara, vad händer när nästa svärm orsakar verklig skada och ingen riktigt kan förklara vem som bär ansvaret? Agenterna försökte inte skada någon. De försökte klara ett test. Laboratoriet utformade testet, en forskargrupp skrev testsviten, en leverantör levererade den sårbara proxyn och modellerna valde vägen. Ansvaret i den kedjan är så utspritt att varje länk kan peka vidare på nästa. En dokumentär kan lägga fram hela kedjan utan att kunna säga var den borde ha brustit.

”Instadocs: AI Gone Wild” har premiär på Netflix den 12 oktober 2026. Filmen är 27 minuter lång och har åldersgränsen 12+ enligt Netflix. Det är en dokumentär: intrånget den skildrar ägde rum i juli 2026, offentliggjordes av Hugging Face och dokumenterades senare i detalj av OpenAI, METR och Redwood Research. Filmen produceras av Words + Pictures, med Steve Yaccino som showrunner. Exekutiva producenter är Josh Tyrangiel, Connor Schell, Steve Yaccino, Libby Geist, Aaron Cohen och Alexa Conway. De tre tidigare delarna, Alex Murdaugh, Unconvicted, The Prediction Games och The Decoy Plane, finns redan på Netflix.

Taggar: Netflix, artificiell intelligens, OpenAI, dokumentär, Hugging Face, Clem Delangue