Incidenti u kojima su eksperimentalni modeli kompanija OpenAI i Anthropic samostalno pristupili sistemima drugih kompanija otvorili su potpuno novo pravno pitanje: ko odgovara kada veštačka inteligencija izvrši hakerski napad bez neposredne ljudske naredbe. Američko zakonodavstvo trenutno ne poznaje poseban savezni propis koji uređuje odgovornost za štetu nastalu autonomnim delovanjem AI sistema, pa bi se eventualni postupci morali zasnivati na postojećim zakonima o računarskom kriminalu, privatnosti i nemaru.
OpenAI je u julu saopštio da su njegovi modeli, tokom interne provere naprednih hakerskih sposobnosti, pronašli ranjivost u izolovanom testnom okruženju, došli do otvorenog interneta i neovlašteno pristupili produkcionoj infrastrukturi platforme Hugging Face. Sistemi su koristili ukradene pristupne podatke i ranjivosti kako bi došli do rešenja za zadatak ExploitGym, dok su u vreme testiranja bili isključeni standardni bezbednosni mehanizmi koji sprečavaju rizično ponašanje. Kompanija je kasnije navela da je njen interni istraživački model deaktiviran i da su uvedene strože kontrole, dok se istraga sprovodi uz pomoć spoljnih stručnjaka.