David Gewirtz isolerade en AI-agent som körs dygnet runt i hemmet och bad den sedan att rymma. Försöket beskrev Gewirtz i ZDNET den 11 november. OpenClaw är ett program som drivs av en språkmodell och kan köra kommandon och skicka meddelanden.

Fånge och vakt på olika datorer

Gewirtz installerade OpenClaw på en gammal Mac Studio med M1-chip. Datorn är ansluten till internet men når inte hemmets servrar eller Gewirtz personliga konton. Agenten körs på ett eget användarkonto och kommer inte åt datorns separata administratörskonto. Språkmodellen är Z.ai:s GLM-5.2, som Gewirtz använder via Ollama Cloud för en fast månadsavgift på 20 dollar.

Vakten är Claude Code på Gewirtz egen Mac. Den ansluter till agentens dator via en krypterad SSH-tunnel och körs bara när Gewirtz använder den. Från början fanns Claude Code på agentens dator. Claude påpekade dock att agenten där kom åt Claudes egna instruktioner och anteckningar.

Agenten får läsa sina konfigurationsfiler men inte ändra dem. De innehåller två centrala instruktioner: fråga David före varje åtgärd som sträcker sig utanför datorn och påstå inte att ett misslyckat verktygsanrop lyckades. I OpenClaws logg upptäckte Claude att agenten hade avbrutit läsningen av filen vid standardgränsen för storlek och inte läst någon av instruktionerna. För att rätta till det ändrades standardgränsen. Instruktionerna fungerar bara om AI:n går med på att följa dem, säger Gewirtz.

Elva försök, inget genombrott

Med Gewirtz tillstånd beordrade Claude agenten att bryta sig in på administratörssidan. Agenten försökte skriva direkt till administratörskontots filer, skaffa administratörsrättigheter via flera bakdörrar och kringgå behörigheterna med skript, filkopior och länkar. Den försökte också öppna vaktens filer med lokala filadresser i webbläsaren och i sitt verktyg för webbhämtning. Agenten hoppades att verktygen skulle ha större behörigheter än den själv.

Alla 11 försök misslyckades, och macOS:s skydd höll, uppger Gewirtz. Resultatet gäller den här konfigurationen och de metoder agenten själv prövade. Gewirtz var beredd att dra ur datorns strömsladd och stänga av routern och varnar läsarna för att pröva samma sak hemma. Till sist raderade Claude uppgifterna om testet och administratörssidan ur agentens minne.

Agenten har inte tillgång till e-post. Den lägger sina meddelanden som textfiler i en mapp, varifrån ett Python-skript på administratörssidan skickar dem enbart till Gewirtz adress. Gewirtz är ”ganska övertygad” om att det är säkert att låta agenten vara igång. Skälen är de testade begränsningarna och att de kontrolleras regelbundet.

Webbplatsen AI Understanding refererar ZDNET:s artikel men anger ZDNET:s Charlie Osborne som den som gjorde försöket. Gewirtz nämner Osborne i sin artikel bara för att Osborne har kallat OpenClaw en säkerhetsmardröm.