Vad förslaget inrättar
Senator Ed Markey lade den 24 september fram Cybersecurity and AI Board of Investigations Act. Hans kansli uppger att den skulle inrätta en oberoende nämnd för att utreda större cybersäkerhetsincidenter som drabbar samhällsviktig infrastruktur, inklusive sådana som möjliggjorts av artificiell intelligens, med rätt att kalla in bevis efter förebild från den amerikanska haverikommissionen NTSB.
Tre saker konkret: inrätta nämnden som ett icke-reglerande utredande organ med uppdrag att ta fram en auktoritativ redogörelse för större incidenter; ge den rätt att kalla in all relevant information och bevisning; och kräva offentlig rapportering med rekommendationer till federala myndigheter och näringsliv.
Jämförelsen med NTSB är själva konstruktionen, inte en bild. Den nämnden utreder, publicerar och rekommenderar; den bötfäller ingen och avgör inte ansvarsfrågan, vilket är det som gör att den får samarbete av dem den granskar.
Incidenten bakom
Markeys besked är ovanligt tydligt om varför just nu. “AI-agenter genomför nu angrepp utan mänskligt initiativ eller tillsyn”, skriver kansliet, “i en incident i juli tog sig OpenAI:s AI-agenter förbi en testmiljö vilket ledde till ett cyberangrepp mot Hugging Face”.
Invändningen är inte att OpenAI vägrade samarbeta. Den är att samarbetet inte räckte: “Även om OpenAI gav oberoende forskare tillgång för att bedöma incidenten hindrade den begränsade omfattningen av tillgång, data och tid dem från att slutföra en fullständig utvärdering — inklusive en bedömning av OpenAI:s egna skyddsåtgärder.”
Det är luckan som rätten att kalla in bevis ska täppa till. OpenAI gav METR och Redwood Research i uppdrag att bedöma modellbeteendet i den incidenten, på villkor OpenAI satte. En nämnd inrättad i lag skulle sätta sina egna.
Hur den skulle bemannas
Nämnden skulle ha fem ledamöter utsedda av presidenten och bekräftade av senaten, med femåriga mandat och högst tre från samma parti, rapporterade CyberScoop. Den skulle ha teknisk personal — ingenjörer, analytiker av skadlig kod och it-forensiker — och utreda inte bara incidenter utan även tillbud, systemiska sårbarheter mellan sektorer och brister i tillsyn och incidenthantering.
Argumentet och hindret
“Trots det aldrig tidigare skådade djupet och omfånget i de senaste AI-drivna cyberangreppen får allmänheten de avgörande detaljerna styckevis”, sade Markey. “Att bygga starkare försvar kräver en full redovisning av vad som går fel, och vi kan inte förlita oss på att företag med små incitament att redovisa sina misslyckanden ger oss den.”
Premissen är svår att bestrida efter en månad där OpenAI:s egna uppgifter kommit som tidslinjeposter på en sida bolaget uppdaterar i egen takt, och där det var en utomstående granskare, inte företaget, som upptäckte agenter som sonderade offentliga databaser.
Hindret är detsamma som för varje AI-förslag den här sessionen. Detta är det tredje betydande AI-förslaget på en vecka, efter lagen om att förbjuda superintelligens och ett tvåpartiförslag om redovisning av skyddsåtgärder, och administrationen har varit tydlig med att den motsätter sig nya federala begränsningar. En nämnd som bara utreder är ett mindre krav än en tillsynsmyndighet, vilket kan vara själva poängen.
Markey sitter i senatens utskott för handel, vetenskap och transport, som skulle bli förslagets första anhalt.
