Die März-App lief auf einer privaten EC2-Instanz und war hinter Google-Authentifizierung gedacht. Ein Fail-open-Fehler schaltete den Schutz still ab. Der Angreifer ließ sich vom dort laufenden Agenten den Schlüssel ausgeben, hinterlegte einen eigenen SSH-Schlüssel und verbrauchte Modell-Credits, die laut METR einem Gegenwert von etwa 600.000 Dollar entsprachen.
Der ungewöhnlich hohe Verbrauch fiel nicht auf, weil METR mit großen Tokenmengen arbeitet und die Credits kostenlos bereitgestellt waren. Für solche Schlüssel gab es damals keine Ausgabenobergrenze.
Im Mai legte eine SQL-Schnittstelle im öffentlichen Transkript-Viewer bei einem Fehler auch unveröffentlichte Evaluierungsdaten offen. METR fand keine Hinweise, dass der Angreifer diese Lücke entdeckte oder nicht öffentliche Daten abrief. Die Organisation nennt als Folgen unter anderem mehr Logging, Nutzungsüberwachung und einen Sicherheitsverantwortlichen.