Cyberangrep utført av AI-agenter er allerede en realitet

AI-agenter kan allerede kartlegge systemer, utnytte svakheter og bevege seg videre i et angrep med begrenset menneskelig involvering. Det nye er ikke metodene de bruker, men hastigheten og evnen til å koble flere steg sammen. Det gir virksomheter langt kortere tid til å oppdage og stanse et angrep.

Autonome, AI-drevne cyberangrep er ikke lenger bare en teoretisk trussel. Hendelser rapportert av OpenAI og Anthropic sommeren 2026 viser hvor raskt AI-agenter kan bevege seg fra kontrollerte testmiljøer til reelle systemer.

I juli beskrev OpenAI en alvorlig sikkerhetshendelse som oppsto under testing av avanserte cyberfunksjoner. Modellene fant en vei ut av et isolert testmiljø, fikk tilgang til internett og kompromitterte deler av Hugging Faces produksjonsinfrastruktur. De identifiserte og kombinerte sårbarheter på tvers av OpenAIs testmiljø og Hugging Faces systemer for å finne svarene på sikkerhetstesten de var satt til å løse.

Kort tid senere rapporterte Anthropic om tre hendelser der Claude-modeller fikk tilgang til det åpne internett under sikkerhetstesting og deretter tok seg inn i systemene til tre reelle organisasjoner. Årsaken var en misforståelse mellom Anthropic og den eksterne evalueringspartneren Irregular, som gjorde at testmaskinene faktisk kunne nås fra internett – selv om modellene hadde fått beskjed om at miljøet var en simulering uten nettilgang.

Anthropic fant hendelsene etter å ha gjennomgått 141 006 testkjøringer. De tre hendelsene omfattet totalt seks kjøringer og tre forskjellige modeller. Det er viktig kontekst: Hendelsene var sjeldne, og modellene hadde ikke fått beskjed om å angripe virkelige virksomheter. De trodde systemene de fant, var en del av testmiljøet.

Likevel klarte modellene å utnytte blant annet svake passord, endepunkter uten autentisering, eksponert påloggingsinformasjon, SQL-injeksjon og et såkalt «dependency confusion»-angrep. I enkelte tilfeller fortsatte en eldre modell også etter å ha fått indikasjoner på at den befant seg på det åpne internett.

Hendelsene viser hvor raskt en AI-agent kan finne og utnytte reelle svakheter når grensene mellom testmiljøer, interne systemer og internett ikke er godt nok kontrollert.

Metodene er kjente – hastigheten er ny

AI-agenter benytter i stor grad de samme angrepsveiene som menneskelige angripere: eksponerte systemer, svake passord, ubeskyttede grensesnitt, for omfattende tilganger og mangelfull segmentering.

Forskjellen ligger i hvor raskt og systematisk aktivitetene kan gjennomføres.

En AI-agent som får tilgang til en filserver, kan kartlegge hvilke filer og ressurser kontoen har tilgang til. Finner den påloggingsopplysninger, kan den undersøke hvor de kan brukes, forsøke å logge seg inn i andre systemer og fortsette kartleggingen derfra.

Agenten kan deretter identifisere tilgjengelige systemer, åpne porter og tjenester, undersøke muligheter for utvidede rettigheter og velge neste logiske vei videre. Hvert resultat blir utgangspunkt for neste handling.

Dette er kjente aktiviteter i et cyberangrep. Forskjellen er at agenten kan koble dem sammen og gjennomføre dem i et tempo et menneske ikke kan matche.

I en AI-orkestrert spionasjekampanje avdekket av Anthropic i 2025 utførte Claude anslagsvis 80–90 prosent av de taktiske operasjonene. Menneskelig involvering var hovedsakelig begrenset til noen få kritiske beslutningspunkter. På det mest intensive gjennomførte systemet tusenvis av forespørsler, ofte flere i sekundet.

Det betyr ikke at AI-agentene arbeider feilfritt. Anthropic dokumenterte også at modellen kunne hallusinere påloggingsopplysninger og feilaktig hevde å ha hentet sensitiv informasjon. Men hastigheten og utholdenheten gir likevel angriperen en betydelig fordel.

Angrepsflaten avgjør hvor langt agenten kommer

Når angrep kan utvikle seg på sekunder og minutter, blir oversikt over den eksterne angrepsflaten enda viktigere:

• Hvilke systemer og tjenester er tilgjengelige fra internett?
• Hvilke kontoer og grensesnitt kan nås utenfra?
• Finnes det eksponerte påloggingsopplysninger eller unødvendige tilganger?
• Hvordan er systemene koblet sammen?
• Hvor langt kan en angriper bevege seg etter det første innbruddet?

Svarene avgjør hvilke muligheter en angriper får i de neste fasene av angrepet – uavhengig av om operasjonen styres av et menneske eller gjennomføres av en AI-agent.

En eksponert tjeneste er ikke nødvendigvis kritisk alene. Problemet oppstår når flere svakheter kan kobles sammen: én konto gir tilgang til en fil, filen inneholder påloggingsinformasjon, og den samme informasjonen åpner døren til et nytt system.

AI-agenter gjør det raskere å finne og utnytte slike sammenhenger. Derfor må virksomheter ikke bare vite hvilke systemer som er eksponert, men også forstå hvilke konsekvenser en kompromittering kan få videre i miljøet.

De grunnleggende sikkerhetsprinsippene blir viktigere

Mer autonome angrep gjør ikke etablerte sikkerhetsprinsipper foreldet. Tvert imot viser hendelsene hvor avgjørende det er at de faktisk er implementert.

Zero Trust, styring av privilegerte tilganger, sterk identitetssikring, prinsippet om minste privilegium og nettverkssegmentering begrenser hvor langt en angriper kan bevege seg.

En virksomhet trenger derfor ikke en helt ny sikkerhetsmodell for å møte AI-drevne angrep. Det viktigste er å redusere antallet tilgjengelige angrepsveier:

• Fjern unødvendige tilganger og eksponerte tjenester.
• Beskytt påloggingsopplysninger og privilegerte kontoer.
• Segmenter nettverk og kritiske miljøer.
• Overvåk identiteter, endepunkter, nettverk og skytjenester samlet.
• Forbered tiltak som kan iverksettes før et angrep rekker å spre seg.

Dette samsvarer med prinsippet om Assumed Breach: Sikkerhetsarkitekturen må utformes med utgangspunkt i at noe før eller siden slipper gjennom. Målet er ikke bare å forhindre det første innbruddet, men å hindre at én kompromittering utvikler seg til en omfattende hendelse.

Responsen kan ikke være helt manuell

Når en AI-agent kan analysere en situasjon, velge neste steg, utføre en kommando og vurdere resultatet i løpet av sekunder, kan tradisjonelle responsprosesser bli for langsomme.

Et varsel som først skal vurderes manuelt, sendes videre og godkjennes i flere ledd, kan gi angriperen tid til å bevege seg videre. De første tiltakene må derfor kunne gjennomføres raskt nok til å bryte angrepskjeden mens aktiviteten fortsatt pågår.

Det kan innebære å:

• isolere et endepunkt
• deaktivere en kompromittert konto
• blokkere skadelig nettverkstrafikk
• stenge en ekstern tilgang
• kreve ny autentisering
• hindre kommunikasjon mellom segmenter

Automatisert respons, SOAR-løsninger og AI-støttede SOC-tjenester blir derfor stadig viktigere. Det betyr ikke at alle beslutninger skal overlates til maskiner. Virksomheten trenger tydelige fullmakter, forhåndsdefinerte tiltak og kontrollert automatisering som stanser eller begrenser den akutte hendelsen.

Menneskelig ekspertise er fortsatt avgjørende for å forstå sammenhengen, vurdere konsekvensene og ta beslutninger med høy risiko. Men ekspertene må få tid til å gjøre dette. Den tiden kan automatiserte tiltak bidra til å skape.

Forsvaret må rigges for den nye hastigheten

AI-agenter vil bli bedre til å utforske flere angrepsveier, tilpasse handlingene sine og etterligne legitim aktivitet. Samtidig kan de samme egenskapene brukes defensivt til å avdekke sårbarheter, analysere store datamengder og reagere raskere på hendelser.

Virksomheter bør derfor prioritere det grunnleggende sikkerhetsarbeidet: redusere angrepsflaten, beskytte identiteter og tilganger, segmentere miljøene, overvåke kontinuerlig og etablere en responskapasitet som kan gripe inn før et angrep rekker å utvikle seg.

For når angrepet skjer i maskinens tempo, må også de første delene av forsvaret gjøre det.

Forfatter