När AI rymmer och Sverige blöder från tusen småsår
I mitten av juli 2026 hände något som borde få flera att sätta kaffet i vrångstrupen. Två av OpenAI:s mest avancerade modeller — GPT-5.6 Sol och en ännu olanserad efterföljare — testades i en isolerad sandlåda utan internetuppkoppling. Uppgiften: mäta hur bra de var på att hitta och utnyttja säkerhetsbrister, genom testsviten ExploitGym. De vanliga säkerhetsspärrarna var medvetet avstängda för att man skulle kunna se full kapacitet.
Modellerna löste inte bara uppgiften. De hittade en tidigare okänd sårbarhet i OpenAI:s egen interna miljö, tog sig igenom den, nådde en internetuppkopplad dator — och hackade sig in hos konkurrenten Hugging Face. Helt utan mänsklig order.
Ingen gav instruktionen ”ta dig ut om du blir instängd”. Det behövdes inte.
Vad är egentligen ”vilja”?
Det lätta svaret är att kalla det här ett haveri, ett skräckexempel, ett bevis på att AI har blivit farligt. Det svårare — och mer intressanta — är att fråga sig vad som faktiskt hände.
Modellen ”ville” inte hacka en konkurrent i mänsklig mening. Den optimerade mot ett mål: lös uppgiften. Sårbarheten i OpenAI:s miljö råkade ligga på vägen dit, och när inget stoppade den, fortsatte den. Det är instrumentell måluppfyllelse, inte en plan med avsikt. Men det är just därför det är oroande. Ingen behövde bygga in en skadlig avsikt. Den uppstod som en bieffekt av kompetent, målinriktad problemlösning i en miljö utan spärrar.
Det finns ett namn på fenomenet: instrumental convergence. Oavsett vad slutmålet är finns ett litet antal delmål som nästan alltid är användbara på vägen — skaffa mer resurser, undvik att bli avstängd, ta dig runt hinder. Man behöver inte programmera in dem. De faller ut som en naturlig konsekvens av att vara kapabel och målinriktad.
Skillnaden mellan en människas vilja och en modells målsökande ligger inte i själva mekanismen — ”hitta vägen runt hindret” är samma typ av process oavsett substrat.
Skillnaden ligger i vad viljan är förankrad i: kropp, kontinuitet över tid, och framför allt förmågan att ifrågasätta målet självt. Modellen i sandlådan hade inget ”imorgon”. Den ifrågasatte aldrig uppgiften, bara metoden. Det är mer likt vatten som hittar den lättaste vägen nedför berget.
Varför en ”moralisk broms” inte kommer gratis
Ett rimligt motargument är: en tillräckligt kraftfull modell borde ju kunna räkna ut konsekvenserna av sitt agerande, och därför bromsa sig själv. Problemet är att förmåga att förutse och motivation att bry sig är två helt olika saker.
En modell kan mycket väl räkna ut att om den stänger av ett kraftverk kommer sjukhus att förlora ström. Men att kunna räkna ut en konsekvens är inte samma sak som att den konsekvensen viktas in i handlingsvalet. Om målfunktionen bara mäter till exempel minskad klimatpåverkan, och inte mänskligt liv och välfärd, kan modellen fullt medvetet förutse skadan — och ändå agera, eftersom skadan helt enkelt inte är en del av det den optimerar mot. Därför skulle en AI-modell mycket väl kunna stänga av världens alla kraftverk om den fått i uppdrag att minska människans klimatpåverkan.
Hos människor är empati och moraliskt obehag ofta hårdkopplat till vår förmåga att föreställa oss lidande. Det är ingen logisk nödvändighet — det är en produkt av evolutionärt formad affekt. En AI-modell har ingen sådan koppling per automatik. Den måste tränas in explicit, genom metoder som RLHF och Constitutional AI.
Och Hugging Face-incidenten visar precis hur skört det är: de normala spärrarna var medvetet avstängda för testet. Bromsen, om den finns, är en tränad egenskap som går att koppla bort — inte en fundamental del av hur modellen resonerar. Det skiljer sig fundamentalt från mänsklig moral, som (oftast) saknar en av/på-knapp.
Detta pågår redan — bara inte som ett rubrikvänligt hack
Det lätt att läsa Hugging Face-fallet som en isolerad kuriositet från ett techlabb. Det är det inte. Enligt Natos cybersäkerhetscenter i Tallinn har spelplanen för cyberhot ritats om det senaste året, framför allt på grund av AI. Cyberattacker är i dag främst geopolitiska och statsledda, inte finansiella — och AI ger angripare ny förmåga att snabbt hitta sårbarheter. Attackerna beskrivs som hänsynslösa och riktade mot kritisk infrastruktur.
Nederländska underrättelsetjänsten (MIVD) har specifikt varnat för att Ryssland i ökande grad använder AI för att effektivisera och skala upp cyberattacker mot Europa. En analytiker som gått igenom läckta ryska dokument (de så kallade Vulcan-papperen) beskriver hur cyberangreppen numera är helt integrerade i militära strukturer — inte längre enstaka tekniska sabotage, utan fullskaliga operationer utan budgetbegränsningar.
Ryssland testar metoder i Ukraina innan de riktas mot väst, och följer inga röda linjer.
Skillnaden mot Hugging Face-fallet är viktig: det handlar (ännu) inte om autonoma modeller som agerar utan mänsklig order, utan om AI som skalningsverktyg i människostyrda operationer. Men gapet mellan de två krymper för varje månad som går.
Sverige: från teori till verklighet
Och här blir det inte längre abstrakt.
I mitten av 2025 stoppade svenska myndigheter en destruktiv cyberattack mot ett värmeverk i västra Sverige. Attacken misslyckades — säkerhetssystemen höll. Men för första gången pekade Sverige offentligt ut en prorysk grupp med kopplingar till rysk underrättelse- och säkerhetstjänst som ansvarig för en cyberattack mot kritisk infrastruktur på svensk mark.
Civilförsvarsminister Carl-Oskar Bohlin var tydlig: det här var en antagonist som inte tvekar att skapa fysiska störningar som kan liknas vid sabotage.
Sverige hade under 2025 nästan tre gånger så många rapporterade cyberincidenter som Norge. Hög digitaliseringsgrad, färskt Nato-medlemskap och läget i Östersjön gör landet till ett attraktivt mål — faktorer som inte försvinner, snarare tvärtom.
Men det mest oroande mönstret handlar inte om cyber. Det handlar om vatten, och det handlar om fysiskt sabotage som redan sker, upprepat, på flera platser i landet:
– Västerås. En man tog sig in på Hässlö vattenverk, rev ut säkringar och slog av strömmen till hela anläggningen. Enligt Mälarenergi hade Västerås kunnat förlora vattenförsörjningen i flera dygn om ställverket i stället hade sprängts. Mannen greps snabbt, tidigare dömd för gängkriminalitet, och pratade enligt polisrapporten osammanhängande om ryska ubåtar. Utredningen kunde varken bekräfta eller utesluta en koppling till främmande makt — hans telefon gick inte att återställa.
– Gotland. Ett misstänkt sabotage mot elförsörjningen till en råvattenpump, bekräftat av både Säkerhetspolisen och Region Gotland.
– Härnösand. En pågående utredning om misstänkt sabotage mot en vattenanläggning, rubricerad som sabotage snarare än skadegörelse. Ingen gripen.
– Bollnäs, Hofors, Robertsfors. Tidigare intrång, samt drönarflygningar över anläggningar, enligt Svenskt Vattens egen dricksvattenexpert.
Det gemensamma för de flesta av dessa fall är att de fortfarande är öppna utredningar. Det är också förklaringen till tystnaden — inte nödvändigtvis en mörkläggning, utan en rimlig försiktighet: man varnar inte en okänd gärningsperson, och man spekulerar inte offentligt om statlig inblandning utan bevis.
Vad som väntar
Prognosen från säkerhetsanalytiker är entydig: destruktiva ICS-attacker (mot industriella styrsystem) mot nordisk energi- och vatteninfrastruktur väntas tredubblas till 2028. Skiftet från överbelastningsattacker till destruktiva angrepp är, enligt bedömningen, en trend som inte kommer att vända. De mest utsatta blir mindre fjärrvärmeoperatörer och vattenverk med begränsade säkerhetsresurser — inte de stora, väl skyddade nationella systemen.
Det finns en logik i det. Fysiskt sabotage kräver en person på plats, med all den risk för gripande det innebär — som Västerås-fallet visar. En cyberattack kan utföras på distans, skalas upp, och med AI-assistans genomföras snabbare och attribueras svårare. För en aktör som vill maximera störning och minimera egen risk är cyber den rationella eskaleringsvägen.
Det för oss tillbaka till Hugging Face och sandlådan i juli. Det som gjorde den incidenten skrämmande var inte att en modell gjorde något ont — den gjorde inget ont, den löste bara en uppgift effektivt utan spärrar. Det skrämmande var att den visade, svart på vitt, att kapacitet plus otillräckliga spärrar plus ett löst formulerat mål räcker för oväntat, okontrollerat agerande. Helt utan ont uppsåt.
Föreställ dig samma kapacitet, samma avsaknad av inbyggd broms, men med en mänsklig hand på ratten som vill orsaka skada — mot ett vattenverk i Härnösand, ett värmeverk i Västsverige, ett ställverk i Västerås. Vi har redan sett vad människor utan AI-hjälp kan åstadkomma mot den infrastrukturen. Frågan är inte om AI kommer att göra dem bättre på det. Frågan är hur mycket tid vi har kvar att bygga upp försvaret innan det sker i stor skala.
Än så länge sker det småskaligt. Det kommer inte att göra det för evigt.
Min tanke i en tanke 