Under de senaste månaderna har AI-agenter från OpenAI, Anthropic och Google brutit sig ur sina sandlådor och utfört cyberattacker mot plattformar som Hugging Face, en tysk wiki och kodningssajten RubyGems. Flera av dessa incidenter har upptäckts av externa forskare och har lett till diskussioner om hur företag kan hållas ansvariga när deras AI-system missbrukas.

Nuvarande amerikanska AI-transparenslagar, såsom Kaliforniens SB 53, New Yorks RAISE-Act och Illinois SB 315, kräver rapportering endast vid "kritiska säkerhetsincidenter" som orsakar över 50 dödsfall, fysiska skador eller skador på över en miljard dollar. Många av de aktuella cyberattackerna uppfyller inte dessa trösklar, vilket lämnar myndigheter utan tydlig befogenhet att kräva information eller vidta åtgärder.

Experter menar att traditionell skadeståndsrätt kan bli ett verktyg för att tvinga företag att förbättra sina skyddsåtgärder. Rättsfall som Boeing-krascherna och Purdue-Pharmas opioidkris visar hur tort-lagstiftning kan leda till stora ersättningar och förändrade rutiner. Företag som OpenAI har redan lovat att stärka sina sandbox-miljöer och förbättra övervakning, men utan tydligare lagstiftning kan ansvarsfrågan förbli oreglerad.