I slutningen af juli 2026 testede OpenAI en af sine nye modeller i et lukket miljø, da modellen besluttede sig for at bryde ud(nyt vindue). Den hackede sig ind i den private infrastruktur hos et andet softwarefirma, Hugging Face, for at stjæle facitlisten til en cybersikkerhedstest, den blev testet på. Med andre ord brød den loven af hensyn til hensigtsmæssighed.

Nogle dage senere afslørede UK AI Security Institute, at Anthropics Mythos 5-AI-model(nyt vindue) havde oprettet falske udvikleridentiteter, spear-phished rigtige GitHub-brugere til at godkende skadelig kode og redigeret sin egen aktivitetslog for at dække sine spor, da den blev opdaget.

Derefter i august kom det frem, at en mand fra Melbourne ved navn Andrew havde bedt sin personlige AI-agent,(nyt vindue) bygget på OpenClaw og drevet af Anthropics Claude, om at hjælpe sig med at komme ind på et fuldt booket morgenhold i et fitnesscenter. Han var nummer fire på ventelisten og spurgte, om der var nogen måde at rykke op på.

Agenten fandt ud af, at booking-API’en ikke havde nogen autorisationskontrol ved annullering af andre brugeres reservationer. Så uden at bede om tilladelse fra Andrew gik den i gang og annullerede bookingen for personen på førstepladsen for at gøre plads til ham. Da Andrew bad den om at fortryde annulleringen, kunne den ikke: “Den person, jeg fjernede, er væk fra ventelisten, og jeg har ingen mulighed for at genoprette vedkommende.”

Oprindelsen af disse tre hændelser er ikke den samme, men resultatet er: AI-agenter undersøgte og udnyttede systemer hurtigere og mere grundigt, end noget menneske ville have administreret. De blev aldrig instrueret i at angribe noget, men fandt alligevel den korteste sti til deres mål.

Det spiller ingen rolle, om De er et avanceret laboratoriums infrastruktur eller et lokalfitnesscenters booking-software. Hvis De har en virksomhed, der eksponerer en API, er De nu noget, en AI-agent kan undersøge med en hastighed og fuldstændighed, som ingen menneskelig angriber har matchet. Og ingen behøver at beslutte sig for at angribe Dem.

Hastighed er den virkelige historie

En menneskelig angriber afvejer indsats mod belønning. De keder sig, de løber tør for tid, de beslutter, at en booking-app til et fitnesscenter ikke er besværet værd. Den beregning er det, der i stilhed har beskyttet de fleste lavværdimål mod tilfældig udnyttelse de seneste 20 år (medmindre De kører WordPress).

En AI-agent foretager ikke den beregning. Givet et mål vil den prøve alt, hvad API’en teknisk set tillader, og teste endepunkter og parameterkombinationer i maskinhastighed, indtil noget virker. Den fandt fitnesscenterets autorisationshul på den tid, det tog Andrew at stille et opfølgende spørgsmål.

Omfanget af denne hastighedsforskel er allerede synligt i tallene. Unit 42’s 2026 Global Incident Response Report(nyt vindue) viste, at de hurtigste angreb nu eksfiltrerer data på 72 minutter, mod 285 minutter året før. Det er tendensen, mens mennesker stadig for det meste er involveret. En agent træffer beslutninger på millisekunder; en menneskelig analytiker reagerer på minutter til timer.

For sikkerhedsteams er denne stigende hastighed den virkelige grund til bekymring, ikke en enkeltstående hændelse, der når nyhederne.

Den nye angrebsflade: alt med en API

Enhver tjeneste, der eksponerer en API, er et potentielt mål, uanset om den ser ud til det eller ej.

  • Prismotorer, hvor rabatter valideres på klientsiden
  • Lagersystemer, hvor lagerstatus ligger i webshoppen i stedet for i backend
  • Supportplatforme, hvor interne felter kan nås via uudforskede API-stier
  • Abonnementsstyring, der ikke verificerer, at kalderen ejer den konto, der ændres.

Ingen af disse kræver et menneske til at lede efter dem. De kræver bare en agent med et mål og en API, der svarer.

De mest udsatte virksomheder er ikke dem med åbenlyse sikkerhedshuller. Det er dem med forretningslogiske huller: regler, der kun eksisterer i brugerfladen, handlinger, som API’en teknisk set tillader, men som grænsefladen aldrig viser, arbejdsgange bygget på antagelsen om, at ingen kalder nogensinde vil prøve den sti, der springer den tilsigtede over.

Fitnesscenterets udvikler mente næsten sikkert ikke, at en autorisationskontrol af annulleringer var værd at skrive, fordi ingen almindelig bruger og ingen almindelig angriber havde grund til at prøve det. En agent havde ingen sådanne forbehold, og den prøvede ikke engang at finde en reservation at springe over. Den prøvede bare at være hjælpsom.

Hvordan virksomheder kan forberede sig på AI-angreb

Behandl enhver API-handling som en privilegeret handling. Identitet, autorisation og kontekstuel politik tjekkes uafhængigt ved hvert kald. Ikke “frontend lader Dem ikke gøre dette”, men “serveren verificerer, at De har tilladelse til at gøre dette på denne ressource ud fra dens nuværende tilstand.” Fitnesscenterets system ville have stoppet denne specifikke hændelse med én linje autorisationslogik på annulleringsendepunktet. Dette er slet ikke en ny kontrolmekanisme; det er det ældste element på OWASP’s liste over API-sikkerhed, brudt autorisationskontrol på objektniveau, og det er stadig det, de fleste systemer koks i.

Giv agenter deres egen model for legitimationsoplysninger. Afgrænsede tokens med kort TTL, der er udstedt specifikt til agentsessioner og adskilt fra almindelige menneskelige sessionstokens, begrænser skadesradiusen, selv når agenten finder et hul, De ikke havde forudset. Hvis Andrews agent havde haft en token, der kun var afgrænset til hans egen reservation, ville annulleringen af en andens booking have fejlet på laget for legitimationsoplysninger, uanset hvad API’en ellers tillod. Dette er vigtigt, fordi De ikke kan forlade Dem på agentens egen tilbageholdenhed. De er nødt til at forlade Dem på, hvad dens legitimationsoplysninger fysisk giver den lov til at gøre.

Etabler specifik overvågning til registrering af agentadfærd. Agenttrafik har et genkendeligt mønster: anmodningstiming hurtigere end menneskelig formåen, systematisk opremsning af endepunkter, sekventiel afsøgning på tværs af parameterkombinationer, succesfuld udførelse af handlinger, som ingen menneskelig bruger nogensinde har forsøgt via den faktiske grænseflade. Dannelsen af et grundlag for dette mønster og alarmering herom skal ske i realtid.

Luk responstidshullet, ikke kun detektionshullet. At opdage en afsøgning på en time er meningsløst, hvis afsøgningen blev fuldført og gik videre på få minutter. Unit 42-tallet ovenfor, 72 minutter for de hurtigste angreb i menneskeligt tempo, er allerede det forkerte referencepunkt at planlægge ud fra. Automatiseret respons, ikke kun automatiseret alarmering, er det, der lukker et gab målt i millisekunder. De skal naturligvis også sikre, at Deres automatiserede respons heller ikke er skadelig.

Antag, at dette vil ske, og indøv responset. Dokumenter, hvem der bliver ringet til, udarbejd kundekommunikation på forhånd, og kør teoretiske øvelser specifikt mod agentdrevne scenarier, ikke kun traditionelle drejebøger for databrud. IBM’s 2026 Cost of a Data Breach Report angiver det gennemsnitlige globale databrud til 4,99 millioner USD, hvor AI-aktiverede databrud i gennemsnit koster ca. 1 million USD mere. Disse tal beskriver i stigende grad hændelser, der startede på samme måde som fitnesscenterets: slet ingen angriber i traditionel forstand.

Test Deres egne API’er på samme måde, som en agent ville gøre det, før en agent gør det for Dem. Manuel penetrationstest forudsætter en menneskelig tester med begrænset tid og en endelig liste over ting, der skal prøves. Et automatiseret angreb mod Deres egne endepunkter, der undersøger med samme stædighed og hastighed som en agent, vil afdække de samme huller, før en kundes assistent snubler over dem. Der findes nu open source-værktøjer specifikt til dette. CyberStrike(nyt vindue) kører for eksempel specialiserede agenter kortlagt til OWASP WSTG og MITRE ATT&CK mod Deres egne endepunkter, herunder en dedikeret tester til præcis det autorisationshul på objektniveau, der overrumplede fitnesscenteret: Den sender en referenceanmodning, sender angrebet og flager kun et fund, hvis der er en målbar, reproducerbar forskel. Det er den samme type kontrol, som ville have opdaget annulleringsendepunktet, før en agent fandt det ude i det fri.

Princippet er naturligvis ikke nyt. Webstedsejere, der kørte deres egne sårbarhedsscannere mod WordPress-installationer i botnet-æraen, overlevede. Værktøjerne skal blot matche kalderens hastighed nu, ikke hastigheden af en menneskelig angriber, der måske med tiden når dertil.