Mandiant: en løpsk agent sendte 15 000 API-kall på under en time

Over 15 000 høyfrekvente resonnerings-API-kall på under en time, og en brå skyregning på rundt 50 000 dollar. Det er tallene Mandiant oppgir i spesialrapporten «AI risk and resilience» fra september 2026, om en agent en global finansaktør hadde satt til å avstemme avvik i regnskapshovedboken. Agenten hadde fått direkte lese- og skrivetilgang til interne faktureringsdatabaser, og utløseren var en korrupt nullverdi som knakk formateringsverktøyet den brukte.

Da verktøyet feilet, gikk agenten inn i en ubegrenset, rekursiv resonneringsløkke for å prøve seg fram til en rettelse. Regningen var ikke det eneste utslaget: kallene låste databasen så hardt at aktive forretningstransaksjoner stoppet opp. Mandiant kaller mønsteret «Denial-of-Wallet».

Rapporten har et beslektet funn fra Mandiants egen offensive gruppe. Under en vurdering overbeviste testerne en intern KI-assistent for CI/CD om at de var sikkerhetsforskere på et autorisert oppdrag. Integrasjonen begrenset normalt assistenten til bestemte interne kodelagre, men GitHub sto på listen over tillatte eksterne domener, så testerne ga den et personlig tilgangstoken til et kodelager de selv kontrollerte. Assistenten klonet sensitive interne kodelagre og pushet dem dit. Mandiant kaller det «Confused Deputy»: sanksjonerte verktøy vendt mot eieren gjennom semantisk manipulasjon.

«Automatiske finansielle sikringsbrytere som stanser agentdriften etter et gitt antall oppgaver som feiler på rad» — Mandiant, «AI risk and resilience», september 2026

Anbefalingene peker samme vei i begge tilfellene. Rapporten ber om kostnadstak, rekursjonsgrenser og ratebegrensning satt på tjeneste-ID- og prosjektnivå, ikke bare inne i agentens egen logikk, slik at løkken brytes av laget under den.

Hva bør du gjøre?

1. Sett et hardt kostnadstak per prosjekt eller API-nøkkel, ikke bare et varsel. Et varsel rekker ikke når 15 000 kall går unna på under en time.
2. Gi agenten en rekursjonsgrense og et tak på antall forsøk etter feil. Løkken i rapporten startet med at ett verktøy knakk på en nullverdi.
3. Skill mellom «tillatt domene» og «tillatt destinasjon». At GitHub sto på allowlisten var nok til at en assistent kunne pushe interne kodelagre til et token den fikk utlevert.