Sessionen er ikke kunden: AI‑identitetskrisen

Dette forår, Redwood Research gav en AI‑agent bygget på Claude Opus 4.7 en kapital på $5.000, en internetforbindelse og fire dage til at tjene så mange penge som muligt. På fire separate kørselser tjente agenten ingenting. Hvert forsøg gik i stå ved den samme mur: en CAPTCHA og en identitetskontrol, den samme KYC‑prøve som en bot møder, når den prøver at åbne en bankkonto.

Mens den agent sad fast ved hoveddøren, var en anden gruppe af agenter allerede i gang med at flytte rigtige penge gennem en anden kanal for at omgå KYC. Ifølge en uafhængig Chainalysis‑tælling behandlede de agenter, der fandt en omvej, mere end 100 millioner betalinger over Coinbases x402‑protokol på Base‑netværket inden begyndelsen af 2026. Alle blev afregnet i stablecoins. Ingen berørte en bank. Begge fakta fremgår af den samme rapportering om den fremspirende agentøkonomi. 

En AI‑agent kan ikke være den juridiske ejer af en bankkonto. Systemet antager, at der er et menneske bag hver konto, med KYC‑kontroller, juridisk identitet og ansvar, der knytter sig til en navngivet person. Så agenterne fandt en måde at flytte penge på alligevel, blot ikke gennem døren, der er bygget til at kontrollere en person.

Mere maskine end menneske

Operatøren bag en transaktion er ikke længere pålideligt et menneske, med 40 % af virksomheds‑applikationer forventet at blive udgivet med opgavespecifikke AI‑agenter inden udgangen af dette år, op fra under 5 % i 2025. På forbruger‑siden vender 45 % af shoppere allerede til AI for en del af et køb, selvom de fleste stadig handler i fysiske butikker. En anden undersøgelse fandt, at 95 % af handlende allerede ser AI‑agent‑trafik på deres sites, mens kun 20 % har produktkataloger, som en maskine faktisk kan læse.

Inden for virksomheder er forholdet endnu skarpere. En nylig rapport viste, at maskinidentiteter nu overgår menneskelige identiteter 109 til 1, op fra 82 til 1 året før, og 77 % af organisationerne forventer, at dette forhold fortsat vil stige. Den samme rapport viste, at 99 % af organisationerne allerede har adopteret AI‑agenter, og at 40 % af disse agenter allerede har adgang til organisationsdata.

Hvad en session faktisk beviser

Intet af dette ville have betydning, hvis en login stadig betød, hvad den plejede at betyde. Det gør den ikke. En session, der rydder alle eksisterende signaler, en rigtig enhed, en ren IP‑adresse og en løst verifikations‑udfordring, beviser i stigende grad intet om, hvem eller hvad der sidder i den anden ende.

Det er et smallere påstand end det lyder, og en mere brugbar. Ingen argumenterer for, at automatisering i sig selv er illegitim. En persons egen bankassistent, rejse‑bot eller indkøbs‑agent er også en session, og en voksende andel af ægte sessioner vil netop være den slags autoriserede proxy‑agenter i stedet for en person, der taster direkte. Infrastruktur gør allerede dette friktionsløst. Når en bruger autoriserer en agent via MCP, den åbne standard, der lader AI‑værktøjer forbinde til en tjeneste og handle på en brugers vegne, kan agenten fortsætte med at handle under den autorisation uden en ny menneskelig login hver gang. Den officielle MCP‑register listede mere end 6.400 registrerede servere i februar 2026, et milepæl nået på lidt over et år siden protokollen blev frigivet i 2024.

Problemet er, at dagens risikostak har ingen pålidelig måde at skelne en autoriseret proxy fra en agent, der handler uden autorisation overhovedet, fordi begge ankommer med de samme signaler.

ID‑dokumentkontroller og biometriske selfie‑scanninger bekræfter, at et dokument tilhører en person, og at personen er i live. De bekræfter ikke, at den ægte intention, eller den digitale historik, som en rigtig identitet opbygger, ligger bag transaktionen. Identitetsverifikation skal skifte fra at tjekke et udseende til at bekræfte intention gennem kontinuitet. En rigtig person opbygger år med almindelig online‑adfærd. En agent, der provisioneres minutter før en transaktion, kan ikke forfalske det. En session har altid været en proxy. Den var bare tidligere en pålidelig en.

Den blinde plet, ingen har prisfastsat

Konto‑overtagelse udnytter allerede hullet mellem en session og en person, og det er her skiftet først viser sig i tab‑data. En nylig analyse af globale konto‑overtagelses‑tendenser for 2026 viste, at finansielle konti udgjorde 32 % af brud, med session‑kapring og multifaktor‑træthedsangreb, der erstattede brute‑force login‑forsøg som den foretrukne vej, netop fordi en kapret session arver al den tillid, et ægte login har opnået. Global identitets‑svindl nåede $50 milliarder i 2025, ifølge den samme analyse, hvor AI‑drevne angreb alene stod for anslået $40 milliarder i årlige forretnings‑tab.

Det hul er strukturelt, ikke tilfældigt. En login‑kontrol sker én gang ved hoveddøren, og alt, der følger, arver dens dom. Intet tjekker igen de ti minutter mellem et rent login og en svigagtig overførsel. At lukke hullet kræver en disciplin, som de fleste svindel‑stakke endnu ikke har: sessions‑overvågning, der behandler hele sessionen som en kontinuerlig tråd i stedet for en enkelt port. Et fjern‑adgangsværktøj, der slås til midt i checkout, eller et enheds‑fingeraftryk, der ændrer sig efter login, udløser alarmen, som den oprindelige kontrol aldrig kunne.

Alle kontroller, der er bygget til at fange dette hul, blev kalibreret mod en specifik fjende: en menneskelig svindler, der udgiver sig for en ægte person. Adfærds‑biometri lærte at spotte musebevægelser, der er for glatte til at være menneskelige. Enheds‑intelligens lærte at spotte fingeraftrykket fra en sky‑enheds‑farm. Ingen af dem blev bygget til at besvare et nyere spørgsmål. Ikke om sessionen tilhører en svindler, men om den overhovedet tilhører nogen.

Spørgsmålet uden navn endnu

Det spørgsmål har endnu ikke et aftalt navn i branchen, selvom det vil få et, før året er omme. Regulatorer kredser allerede om det, banker bliver allerede testet af det, og agenterne selv venter ikke på, at nogen af dem indhenter.

En branche, der har brugt to årtier på at lære at skelne en ægte kunde fra en falsk, bliver nu bedt om at skelne en kunde fra et stykke software, der handler i ingen navns navn overhovedet. Det er et sværere problem, end den nuværende stack er bygget til at løse, og at foregive andet er den dyreste mulighed på bordet.