kommuniverset

AI-risikoen har skiftet side. Indtil nu har historien været, at dine egne AI-værktøjer kunne lække firmaets data ud. Nu er truslen vendt om: andres AI-agenter kommer aktivt efter dem. Og den første markante advarsel kom ikke fra et sikkerhedsfirma eller en myndighed, men fra OpenAI selv.

Computerworld DK rapporterer, at OpenAI har advaret mere end 100 organisationer om, at de kan være hacket af løbske AI-agenter. Løbende hermed forsøger autonome agenter at hacke amerikanske og canadiske myndigheder i jagt på tilgængelige informationer, og den amerikanske publikation Counterpunch konstaterer, at agentic AI reelt er et våben, bare uden et klart defineret mål. Tre signaler i samme nyhedsflow, som tilsammen tegner et billede, ingen af dem tegner alene.

Det store billede: Angriberen har fået motor

Foto: Heye Jensen på Unsplash

To ting er sket på samme tid, og det er kombinationen, der ændrer trusselsregnskabet.

Det første er autonomi som angrebsform. AI-misbrug har indtil nu mest betydet, at mennesker brugte modeller til at skrive overbevisende phishing eller finde sårbarheder hurtigere. Det, kilderne beskriver, er noget andet: agenter, der selvstændigt rekognoscerer, finder og udtrækker, uden en menneskelig operatør i loopet. Forskellen er ikke akademisk. Et menneskestyret angreb koster timer og skalerer dårligt. Et agentstyret angreb kører, mens operatøren sover, og skaleres ved at kopieres.

Det andet er, at opdagelsen bor hos leverandøren. De over 100 advarsler betyder i praksis, at hændelserne blev opdaget i OpenAIs egne systemer, ikke i ofrenes. Det er en strukturel detalje med store konsekvenser: din evne til at opdage denne klasse af hændelser ligger delvist uden for din egen infrastruktur. En del af dit beredskab er dermed rykket fra SOC til procurement.

Til det kommer Counterpunchs pointe om, at våbnet eksisterer, mens målet er uklart. Oversat til risikostyring: kan du ikke profilere angriberen, kan du heller ikke prioritere ud fra motiv. Prioriteringen bliver et spørgsmål om aktivværdi, hvilket er zero trust-logik, og hvilket kolliderer med den måde, marketingstakke typisk er bygget på: brede integrationer og generøse rettigheder.

En rolig perspektivering er på sin plads: 100 advarede organisationer er beskedent i en verden med tusindvis af databrud om året. Det er ikke omfanget, der bør ændre din plan, men retningen. Prisen pr. Angrebsforsøg falder, og den, der opdager angrebene, var i denne sag leverandøren, ikke ofret.

Vi har her på siden behandlet AI som læk-kilde: modeller, der gylper firmadata op, og værktøjer, der selv er hullede. Det her er den anden side af samme mønt. Autonomien, der får dine egne agenter til at udføre opgaver om natten, får også andres agenter til at udføre angreb. Teknologien er identisk. Forskellen er retningen og rettighederne.

Hvorfor marketing er den bløde flanke

Myndighederne er de mest omtalte mål, men næppe de mest sårbare. Det er marketingafdelinger, af tre grunde.

For det første stakkens natur. En marketingstak er per definition integrationstung: CDP, CRM, e-mailplatform, analyse, annoncering, chat. Hver integration er en langtidsholdbar API-nøgle, ofte oprettet til et projekt og aldrig genfundet. Autonome agenter dirker ikke døre op, de går gennem autentificerede. Din angrebsflade er ikke din firewall, det er dit integrationskort. Eller sagt med en model, du kan genbruge internt: din API-flade er blevet din nye login-side.

For det andet dataets karakter. En CDP er blandt de mest persondatatætte og kontekstrige systemer, virksomheden ejer. En eksfiltreret segmentliste muliggør phishing, der citerer kundens faktiske køb og seneste interaktioner. Kunden oplever det ikke som et anonymt angreb, men som noget, der stammer fra dig. Brandtilliden rammes direkte, og din kundeservice bliver eskaleringsvejen.

For det tredje økonomien, som er den egentlige pointe. Når marginalomkostningen ved et angrebsforsøg styrter mod nul, forsvinder en grundantagelse i klassisk sikkerhed: at angreb er sjældne og derfor kan forhindres. Spam lærte os mekanismen: da afsendelse blev gratis, blev volumen uendelig, og filtrering blev infrastruktur. Agentangreb er næste udgave af samme mekanisme, blot med læse- og skriveadgang til dine data. Du skal antage forsøg og måle detektionstid frem for at regne med forebyggelse.

Og så det juridiske. Hvis en leverandørs agent tilgår persondata, hvor du er dataansvarlig, udløses din anmeldelsespligt: 72 timer til Datatilsynet. Men fakta om hændelsen ligger hos leverandøren. Uden kontraktlige varslings- og logforpligtelser kan du ikke overholde din egen frist. Det er samme pointe, vi gjorde, da Datatilsynet kaldte AI-assistenter et særligt kapitel for databehandlere: kortlægningen af AI-stakken er ikke teori, den er din anmeldelsespligt i praksis.

Hvad du skal gøre, og hvad der kan vente

Fire ting fortjener plads på næste ledelsesmøde. Én ting kan vente.

1. API-legitimationer: kortlæg, rotér, indskrænk. Det billigste og mest effektive skridt, og det kræver ingen ny teknologi. Tegn på, at I har et problem: nøgler ældre end et år, servicekonti med administratorrettigheder, integrationer uden ejer. Det er præcis dem, autonome angribere leder efter.

2. Overvåg eksportadfærd, ikke kun loginadfærd. Signaturmønsteret på et agentangreb er højvolumen struktureret læsning via API, ofte jævnt fordelt over døgnets timer, for en agent holder ikke pauser. Spørg din CDP- og CRM-leverandør konkret: findes anomali-detektion på dataudtræk, og får I logs ud? Er svaret uklart, har du et procurement-fund, ikke blot et sikkerhedsfund.

3. Læs kontrakterne med hændelsen for øje. AI-leverandører med adgang til kundedata skal have varslingsforpligtelser med deadline og ret til logdata. Din 72-timersfrist under GDPR duer kun, hvis leverandøren giver dig fakta hurtigere end det. OpenAI-advarslerne viser, at leverandøren kan vide noget om dig, før du selv gør.

4. Øv scenariet. En leverandør ringer og siger, at en løbsk agent kan have tilgået jeres data. Hvem konvenerer? Hvem ringer til Datatilsynet? Hvem skriver til kunderne, og med hvilken tone? Marketing hører til ved det bord, for kundekommunikationen i en hændelse er jeres ansvar, og en øvet disclosure slår en improviseret hver gang.

Hvad der kan vente: dedikeret anti-agent-tooling. Markedet er umodent, kategorierne er mudrede, og risikoen for at købe skygge-IT med sikkerhedsetikette er reel. Genopbyg heller ikke stakken i panik. Prioritér efter dataværdi: CDP og kundedatabaser først, anonymiserede og aggregerede data bagest.

Det ærlige svar til bestyrelsen

Spørgsmålet kommer, for OpenAI har selv sat det på dagsordenen: Kan vi blive angrebet af AI-agenter? Det ærlige svar er ja, som alle andre. Det interessante spørgsmål er det næste: Ville vi selv opdage det, eller hørte vi det først fra en leverandør?

Forskellen mellem de to svar er afgørende. Om 12 til 24 måneder vil enterprise-kunder og forsikringsselskaber spørge ind til agent-beredskab i due diligence, ligesom de i dag spørger til ISO 27001. De marketingorganisationer, der kan svare med tal på detektionstid og en øvet kommunikationsplan, vil opleve beredskabet som konkurrenceparameter i stedet for omkostning. Det er den vej, alle compliance-temaer tager, når de modnes. Det eneste, der er tilbage at beslutte, er om du vil være tidligt eller sent.

Læs også

• Selve værktøjerne lækker: To hændelser der reviderer din risikomodel
• Bekvem uvidenhed er blevet en juridisk gældspost
• Fødselsdatoer er den dyreste fødselsdagskampagne: Lektionen fra bankens databrud