Anthropics avstängning är en väckarklocka för AI-leverantörsrisker

By Dan Raywood • 7 juli 2026 • 6 minuters läsning

Om man bygger kritiska affärsprocesser kring en enda AI-tjänst, vad händer när den tjänsten försvinner över en natt? Tidigare i år tvingades organisationer som använde Anthropics modeller Claude Fable 5 och Mythos 5 att besvara just den frågan.

Modellerna, som släpptes i början av juni 2026, pausades bara några dagar efter lanseringen efter en order från den amerikanska regeringen. Anthropic sa att de var tvungna att "plötsligt inaktivera Fable 5 och Mythos 5 för alla våra kunder för att säkerställa efterlevnad" av ett direktiv som tros avse att kringgå, eller "jailbreaka", Fable 5.

Modellen skulle enligt uppgift kunna upptäcka sårbarheter i cybersystem och stoppades på grund av oro för att den kunde utnyttjas. Även om den endast hade gjorts tillgänglig för granskade organisationer utfärdade den amerikanska regeringen ett exportkontrolldirektiv som stängde av åtkomsten till Fable 5 och Mythos 5 för alla utländska medborgare.

I ett uttalande sa Anthropic att direktivet inte gav några specifika detaljer om regeringens nationella säkerhetsproblem. De tillade att efter att ha granskat en demonstration av den teknik som används för att identifiera ett litet antal tidigare kända, mindre sårbarheter, verkade dessa sårbarheter relativt enkla.

Anthropic uppgav vidare att de under veckorna fram till lanseringen av Fable hade arbetat med den amerikanska regeringen, flera tredjepartsorganisationer och interna team för att sätta igång modellens skyddsåtgärder i tusentals timmar. ”Dessa tester visade att Fables skyddsåtgärder är betydligt effektivare än de hos någon tidigare implementerad modell.”

Den 1 juli upphävdes restriktionerna för Fable 5 och Mythos 5 efter att handelsdepartementet meddelat att Anthropic hade gått med på att proaktivt upptäcka och åtgärda säkerhetsrisker i samband med modellerna, samarbeta kring framtida AI-utgåvor och varna regeringen för skadlig aktivitet.

En del av företaget

Avstängningen må ha varit tillfällig, men den blottade en mycket bredare fråga: vad händer när en AI-tjänst som har blivit en del av affärsverksamheten plötsligt inte är tillgänglig?

Vissa organisationer kan ha varit tidiga med att använda Anthropics senaste modeller, men det är långt ifrån ovanligt. Företag anammar allt snabbare nya AI-funktioner där de erbjuder en konkurrens- eller operativ fördel. Den verkliga frågan är inte hur ny en tjänst är, utan hur beroende en organisation har blivit av den.

Om AI-tjänster har blivit affärskritiska kan deras plötsliga nedläggning skapa betydande driftstörningar. Antropologiska incidenten väcker därför en viktig fråga: bör AI-verktyg nu behandlas som kritiska leverantörer?

Graham Pottie, informationssäkerhetschef och vCISO på ClubCISO, säger att AI:s kritiska betydelse helt beror på hur den används. Om den bara används för att städa upp ett e-postmeddelande är det inte en kritisk applikation. ”Men om du använder den för att samla in information om kunder och vad de gör för att förbättra din presentation, eller för att automatisera affärsprocesser”, säger han, ”då blir det en kritisk tjänst.”

Han påpekar också att organisationer behöver förstå de beroenden som finns dolda hos sina leverantörer. ”När man gör sin vanliga riskhantering för leverantörer kan det finnas AI inbäddad i de produkter de är beroende av. Om det försvinner och det är en viktig leverantör med inbyggd AI kan det skada er verksamhet.”

Pottie tillägger att om du har byggt verktyg eller agentprogram ovanpå en viss stor språkmodell (LLM), kanske de inte fungerar på en annan plattform. Det finns också frågan om datasäkerhet. "Vad händer med dina data? Är de fortfarande inom din kontroll, eller har du förlorat äganderätten?"

In i riskregistret

Om AI har blivit avgörande för er verksamhet bör den hanteras som vilken annan kritisk leverantör som helst, med de tillhörande riskerna formellt registrerade i ert riskregister. Även om denna incident involverade Anthropic, skulle samma scenario kunna påverka vilken AI-leverantör som helst.

Den viktigaste lärdomen är att förstå beroenderisker. Organisationer behöver veta inte bara var AI används direkt, utan också var den är inbäddad i tredjepartstjänster som stöder kritiska affärsprocesser.

Pottie säger att om en AI-plattform är avgörande för din verksamhet, och du har ersatt 90 % av din helpdeskpersonal med AI, så har du en betydande operativ risk som bör hanteras i enlighet därmed.

Den bedömningen bör också ingå i alla efterlevnadsprogram. Om ni arbetar mot ISO 27001-certifiering bör beroendet av externa AI-tjänster återspeglas i ert register över informationssäkerhetsrisker.

Flera ISO 27001:2022-kontroller är särskilt relevanta i detta scenario. Leverantörsrelationskontrollerna (A.5.19–A.5.22) kräver att organisationer förstår riskerna med externa produkter och tjänster, vilket gör AI-leverantörer till en naturlig faktor att beakta när de stöder affärskritiska processer. Likaså förstärker A.5.23, som täcker användning och utträde av molntjänster, behovet av att överväga hur AI-beroende tjänster kan ersättas eller migreras om åtkomsten plötsligt dras in.

Kontinuitet i verksamheten är lika viktigt. Kontrollerna A.5.29 och A.5.30 kräver att organisationer förbereder sig för tekniska störningar genom att identifiera kritiska tjänster, upprätthålla responsplaner och regelbundet testa dem. Även om få organisationer hade förväntat sig att en nyligen lanserad AI-modell skulle pausas inom några dagar efter lanseringen, visar exemplet från Anthropic varför planering för det oväntade är en viktig del av ett motståndskraftigt AI-antagande.

Sammantaget uppmuntrar dessa kontroller organisationer att identifiera var AI stöder kritiska affärsprocesser, bedöma leverantörs- och geopolitiska risker och upprätthålla dokumenterade beredskaps- och exitplaner om åtkomsten till en tjänst skulle begränsas eller dras in. De bidrar också till att minska beroendet av en enda AI-leverantör genom att uppmuntra organisationer att förstå sina alternativ innan störningar inträffar.

Pottie säger att AI också kan spela en roll i incidentberedskapen, men organisationer bör aldrig försumma grunderna. Som han uttrycker det: ”Ha penna och papper nära till hands.”

Den större bilden

Även om Anthropic bestred den amerikanska regeringens oro och karakteriserade problemet som en snäv, icke-universell jailbreak, visade avsnittet hur snabbt åtkomsten till en kritisk AI-tjänst kan förändras. OpenAI har också utsatts för ökad granskning från den amerikanska regeringen, där version 5.6 av dess GPT-modell enligt uppgift har godkänts kund för kund.

I takt med att AI integreras i kritiska affärsprocesser måste organisationer behandla AI-leverantörer som de skulle behandla vilken annan strategisk leverantör som helst. Det innebär att förstå beroenden, upprätthålla beredskapsplaner och säkerställa att leverantörsrisker återspeglas i registret över informationssäkerhetsrisker. ISO 27001 tillhandahåller redan mycket av det ramverk som krävs – utmaningen är att se till att AI inkluderas i det.