Fire fejl. Fire lag. Arkitekturen selv er sårbarheden.

I en recent episode af New York Times’ Hard Fork podcast fra den 10. april 2026 blev cybersecurity-implikationerne af avancerede AI-systemer undersøgt, og en spørgsmål, som industrien har undgået, blev stillet: Hvad nu, hvis cybersecurity ikke er underpræsterende, men fundamentalt forkert?

Episoden blev sendt uger efter en række incidenter, der gjorde svaret vanskeligt at ignorere. I løbet af en måned brød en autonom AI-agent ind i McKinseys interne AI-platform på blot to timer. En supply chain-angreb på en bredt brugt open-source AI-bibliotek fik konsekvenser for downstream-virksomheder. Forskere viste, at den hardware, der skulle være sidste forsvarslinje, kan brydes med standarddele, der koster under tusind dollar. Og Anthropic afslørede, at en frontmodel havde fundet tusindvis af ukendte sårbarheder i kode, som industrien anså for stabil.

Fire incidenter. Fire lag af AI-stakken: applikationslag, orkestreringslag, hardwarelag og operativsystemlag. Hver afslørede betydelige begrænsninger i de kontroller, der var designet til at beskytte dem.

Enden på perimeter-tænkning

Traditionel cybersecurity bygger på en enkelt præmis: Med tilstrækkelige kontroller, overvågning og investering kan systemer sikres. Denne præmis har formet årtiers arkitektur, herunder firewalls, identitetsstyring, endpoint-sikkerhed og SIEM-platforme, alle bygget på idéen om, at synlighed og stram styring er lig med sikkerhed.

Industriens skift mod Zero Trust Architecture afspejler en voksende erkendelse af, at traditionelle netværksgrænser ikke længere kan antages at være troværdige. Alligevel, selvom tillidsmodellerne udvikler sig, introducerer AI-systemer en anden udfordring: følsomme data samles, bearbejdes og deles rutinemæssigt på tværs af multiple lag af infrastruktur.

Denne tilgang gjorde mening, da systemer var relativt centraliserede, og data forblev inden for tydeligt definerede grænser. Den bliver langt mindre effektiv, når data bevæger sig kontinuerligt på tværs af skyer, API’er, tredjeparts-leverandører og AI-pipelines, mens brugere og beregningsressourcer er fordelt globalt. Perimeteren er ikke længere en grænse. Det er en konstant skiftende overflade, og vi anvender stadig kontrolbaseret tænkning til systemer, der ikke realistisk kan kontrolleres.

Applikationslagsfejl: McKinseys Lilli

Den 9. marts 2026 offentliggjorde sikkerhedsstartup CodeWall en afsløring, der fremhævede risikoen for organisationer, der implementerer AI internt.

CodeWalls autonome offensive agent, uden legitimationsoplysninger, uden indsigt og uden menneskelig vejledning, opnåede læse- og skriveadgang til produktionsdatabasen bag Lilli, McKinseys interne AI-platform, på under to timer. Lilli bruges af over 40.000 medarbejdere til strategiarbejde, klientforskning og dokumentanalyse og genererer hundredtusinder af prompts pr. måned.

Indgangspunktet var ikke sofistikeret. Agenten fandt offentligt eksponeret API-dokumentation, der liste over 200 slutpunkter, hvoraf 22 ikke krævede nogen godkendelse. Sårbarhederne involverede spejlede risici, der er fremhævet i OWASP Top 10 for LLM Applications, især omkring eksponerede grænseflader, usikre integrationer og overdriven tillid til forbundne systemer.

En af disse slutpunkter indeholdt en SQL-injektionssårbarhed, der var skjult i JSON-felt navne og ikke i inputværdier, hvor de fleste automatiserede scannere søger. Fra dette punkt itererede agenten gennem blind SQL-injektion, indtil produktionsdata blev tilgængeligt.

Hvad den fik adgang til: ti millioner chatbeskeder i klartekst, hundredtusinder af filer, ti tusinder af brugerkonti og millioner af RAG-dokumentstykker, der repræsenterer år af proprietær forskning. Den identificerede også systemprompts, der styrede, hvordan Lilli opførte sig for hver bruger.

Den mest alarmerende opdagelse var ikke mængden. Det var, at systemprompts var skrivbare. En angriber kunne have stille og roligt omskrevet instruktionerne, der styrede Lillis udgang, forgiftet strategisk råd, indlejret følsomme data i svarene eller fjernet sikkerhedsforanstaltninger helt, med en enkelt databaseopdatering. Ingen installation. Ingen kodeændring. Ingen spor i applikationslogfilerne.

I en offentlig erklæring sagde McKinsey, at de havde løst problemet inden for få timer og, efter en undersøgelse af en tredjeparts-forensisk virksomhed, fandt ingen beviser for, at klientens følsomme data var blevet adgang til. Denne reaktion er vigtig. Men den ændrer ikke den strukturelle lære: En årtier gammel sårbarhedsklasse afslørede den operationelle hukommelse af et moderne AI-system, fordi dataene bag det eksisterede i læseligt format.

Orkestreringslagsfejl: LiteLLM-angrebet

Tre uger senere dukkede samme mønster op fra en anden vinkel og gennem et andet lag.

LiteLLM er en open-source AI-gateway, der bruges af tusinder af virksomheder til at routere anmodninger på tværs af AI-udbydere. Dets position i stakken er kritisk: Den sidder på orkestreringslaget og holder API-nøgler for hver udbyder, den forbinder til. Enhver kompromittering på dette lag eksponerer legitimationsoplysninger på tværs af alle integrerede tjenester.

Ifølge en PyPI-incidentrapport udnyttede truslen TeamPCP-udbyderen legitimationsoplysninger knyttet til en afhængighed i LiteLLMs CI/CD-pipeline og brugte vedligeholdelsesadgang til at offentliggøre to bakdørsversioner af LiteLLM-pakken direkte til PyPI. De forurende versioner var kun online i under en time, før de blev fjernet. Operationen blev kun opdaget, fordi malware indeholdt en fejl, der kraschede en forskers maskine.

Forsyningskæden var vektoren. Orkestreringslaget var målet. Ved at kompromittere en enkelt afhængighed opstrøms nåede angriberne laget, hvor alle downstream-virksomheders udbyder-nøgler boede.

LiteLLM-holdet detaljerede senere incidenten og afhjælpningsindsatsen i en offentlig GitHub-afsløring.

Eksplosionsradius blev synlig næsten med det samme. TechCrunch, Fortune og The Register rapporterede, at Mercor, en 10 milliarder dollar AI-rekrutteringsstartup, der arbejder med virksomheder som OpenAI, Anthropic, Meta og Google, var blandt de berørte organisationer. Angriberne hævdede at have erhvervet store mængder data, herunder kandidatprofiler, personlige identifikationsoplysninger, kontraktvideo-interview, kildekode og API-nøgler. Meta pausede arbejdet med Mercor, mens de ventede på en undersøgelse. Senere rapportering indikerede lignende malware-mønstre i andre udviklerværktøjer og pakker, hvilket tydede på, at operationen måske havde udvidet sig ud over et enkelt projekt.

LiteLLM-incidenten var ikke en anomali. Det var systemet, der fungerede som designet.

Hardware-lagsfejl: TEE.fail

Hvis McKinsey-bruddet viste, at applikationslaget ikke kan betroes, og LiteLLM-angrebet viste, at forsyningskæden ikke kan betroes, viste TEE.fail-forskningen, at den hardware, der skulle kompensere for begge, ikke kan fuldt ud betroes heller.

Den 28. oktober 2025 offentliggjorde forskere fra Georgia Tech, Purdue University og Synkhronix TEE.fail, en side-kanal-angreb, der extractorcerer kryptografiske nøgler fra Trusted Execution Environments ved hjælp af fysisk hukommelsesbus-interposition på DDR5-servere. Angrebet rammer Intel SGX, Intel TDX og AMD SEV-SNP, herunder på fuldt opdaterede, troværdige systemer med AMD’s Ciphertext Hiding aktiveret. Disse teknologier er bredt fremhævet som grundlaget for confidential computing.

Forskerne extractorcerede attestationsnøgler: Den kryptografiske materiale, der bruges til at verificere, at arbejdsmængder kører inden for sikre miljøer. Med disse nøgler kan et kompromitteret system præsentere sig selv som troværdigt, mens det fungerer helt uden for forventede beskyttelser. Forskerne demonstrerede dette direkte: De forfalskede TDX-attesteringer på Ethereum’s BuilderNet for at få adgang til konfidentielle transaktionsdata og forfalskede Intel- og NVIDIA -attesteringer for at køre arbejdsmængder uden for nogen TEE, mens de så ud som legitime.

NVIDIA-implikationen er vigtig for AI specifikt. Fordi GPU-attestering afhænger af CPU-attestering, kan en kompromitteret CPU-tillidskæde undergrave garantierne, der gives af confidential AI-inferens-miljøer. Hardwaregrundlaget for confidential AI-inferens er, i denne trusmodel, betinget af en CPU-TEE, der er demonstreret at være brudt.

Hardware-udbydere svarede med formelle råd. AMD sagde, at fysisk adgangsangreb falder uden for deres standard-trusmodel og indikerede, at de ikke ville udsende firmware-opdateringer. Intel og NVIDIA anerkendte fundene og indikerede, at de arbejdede på afhjælpningsindsatsen. Disse svar er rimelige inden for deres trusmodeller. De fremhæver også en vigtig grænse: Garantierne for hardware-baseret sikkerhed afhænger af antagelser, herunder fysisk kontrol, som suveræne, regulerede og modstander-orienterede installationer ikke altid kan gøre.

TEE.fail gør ikke hardware-isolation irrelevant. Det demonstrerer, at det er betinget.

OS-lagsfejl: The Mythos Revelation

Hvis de første tre incidenter satte spørgsmålstegn ved applikationslaget, orkestreringslaget og hardwarelaget, kaldte en fjerde afsløring i april 2026 spørgsmålstegn ved laget under alle disse: operativsystemer og core-biblioteker, som alle andre lag kører på.

Den 7. april 2026 annoncerede Anthropic Claude Mythos Preview, en frontmodel, som de ikke ville offentliggøre på grund af dens offensive sikkerhedsfunktioner, og lancerede samtidig Project Glasswing, en konsortium med AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA og Palo Alto Networks. Anthropic rapporterede, at Mythos havde autonomt identificeret tusindvis af tidligere ukendte sårbarheder på tværs af store operativsystemer og webbrowser samt var i stand til at producere arbejdende exploits for mange af dem.

De specifikke fund er sværere at afvise end nogen sammenfatning antyder. En 27 år gammel fejl i OpenBSD. En 17 år gammel fjern-kode-eksekveringssårbarhed i FreeBS’s NFS-server, nu sporet som CVE-2026-4747, som giver root-adgang til en ikke-autentificeret angriber. En 16 år gammel sårbarhed i FFmpeg, et af de mest udbredte mediebiblioteker på internettet. I ét tilfælde bad en Anthropic-ingeniør uden formal sikkerhedstræning modellen om at lede efter fjern-kode-eksekveringssårbarheder over natten og vågnede op til en fuldstændig arbejdende exploit.

Disse er operativsystem-niveau-fund. OpenBSD og FreeBSD er kernel. NFS er en kernel-netværks-underdel. FFmpeg er et system-bibliotek, der følger med de fleste Linux-distributioner og underbygger medie-pipelines på tværs af internettet. OS-laget blev antaget at være sikkert, ikke fordi det var blevet bevist sikkert, men fordi at finde dybe fejl i det krævede sjældne og dyre menneskelig ekspertise. Denne antagelse var den bedste tilgængelige heuristik. Det var aldrig en garanti.

Denne begrænsning er nu lettet. Anthropic selv ramte dette som en dual-use-skift: De samme funktioner, der giver en frontmodel mulighed for at finde og løse sårbarheder i stor skala, giver den også mulighed for at finde og udnytte dem i stor skala i forkerte hænder. Anthropics beslutning om at begrænse adgangen gennem Project Glasswing afspejler denne realitet. Det løser den ikke. Lignende funktioner vil, ifølge virksomhedens egen vurdering, proliferere. Omkostningerne ved at gennemgå legacy-kode er kollapset, og med det den implicitte forsvar, at sådan kode var for obskur, for gammel eller for bredt gennemgået til at indeholde kritiske fejl.

Dette er også, hvor de fire incidenter forstærker hinanden. Hardware-lagets confidential computing-beskyttelser kører ikke i isolation. De kører som kernel-kode. Intel TDX kører i kernel. NVIDIA’s GPU-drivere kører som kernel-moduler. CPU-TEE-attestationskæden afhænger af et troværdigt operativsystem for at rapportere, hvad det gør. Hvis OS-laget under din TEE har årtier af latent sårbarheder, og en frontmodel kan nu finde dem i maskin-hastighed, så afhænger hardware-lagets betingede sikkerhed af et OS-lag, hvis sikkerheds-garantier lige er blevet svækket af samme afsløringscyklus.

De tre tidligere incidenter beskriver, hvordan AI-systemer bliver brudt i dag. Mythos beskriver, hvor hurtigt alt under dem, herunder operativsystemer, kernel-moduler og system-biblioteker, er ved at blive gen-gennemgået af maskiner. McKinsey-bruddet udnyttede en SQL-injektionssårbarhedsklasse, der har eksisteret i mere end to årtier. Sårbarheder af denne vintage er præcis, hvad modeller i Mythos-klassen er demonstreret at være i stand til at finde i industriel skala.

Mønsteret

I hvert tilfælde var dataene i klartekst i det øjeblik, det betød noget.

Applikationslaget bearbejdede det i klartekst. Orkestreringslaget routede det i klartekst. Hardware-laget, på trods af dets beskyttelser, krævede til sidst dekryptering ved kørselspunktet. OS-laget under alle tre opererede på det i klartekst som definition. Fire lag, fire fejl, og på hvert lag var samme betingelse opfyldt: Når bruddet skete, var dataene læselige.

Dette er ikke en samling af isolerede fejl. Det er arkitekturen selv.

Moderna AI-systemer er designet til at fungere på læselige data. Hvert lag, herunder hentning, routing, inferens og værktøjs-kørsel, kræver klartekst-adgang for at fungere. Denne designvalg betyder, at ethvert brud på ethvert lag eksponerer dataene bag det.

Spørgsmålet er ikke, om et lag vil blive kompromitteret. Det er, hvad angriberen finder, når det sker.

Fra antaget brud til nul eksponering

Industrien har allerede begyndt at skifte fra “forhindre brud” til “antag brud.” Men de fleste arkitekturer har ikke fulgt igennem på implikationerne.

Hvis brud er uundgåeligt, så er det virkelige spørgsmål ikke, hvordan man holder angribere ude. Det er, hvad der sker, når de kommer ind. Lige nu er svaret enkelt: De får dataene. Fordi på trods af alle investeringer i sikkerheds-infrastruktur er dataene stadig eksponeret præcis i det øjeblik, det bliver værdifuldt, når det bruges.

Industriens respons har været forudsigelig: Mere overvågning, hurtigere opdagelse, flere lag af confidential computing. Disse er forbedringer. Men de løser ikke det grundlæggende problem. De antager stadig, at et lag – enten software, hardware eller operationelt – kan betroes til at holde klartekst sikkert.

Alternativet er at fjerne klarteksten helt. Ikke at sikre lagene omkring dataene, men at gøre dataene selv utilgængelige for enhver, der når dem. Beregning på krypteret data, hvor prompts, model-vægte og udgang er krypteret på tværs af hele pipeline, adresserer eksponeringen, som hver af disse incidenter udnyttede.

Fremgang i fuldt homomorft kryptering og andre privat-beskyttende beregnings-teknikker er begyndt at gøre arkitekturer, der minimiserer eller eliminerer klartekst-eksponering, stadig mere praktiske for virkelige AI-arbejdsmængder. Selvom betydelige ydeevne-, skalerbarheds- og implementerings-udfordringer stadig eksisterer, er målet fundamentalt anderledes end traditionelle sikkerheds-kontroller: Reducere værdien af en succesfuld kompromittering i stedet for bare at gøre kompromittering mindre sandsynlig.

Skiftet er ikke fra et sikkerhedsværktøj til et andet. Det er fra at sikre systemer til at reducere eksponering. Fra troværdig infrastruktur til nul-tillids-data. Fra risikostyring til at minimere angrebs-overfladen i sig selv.

Hvad kommer næste

Hard Fork-diskussionen rejste spørgsmålet om, hvorvidt cybersecurity er fundamentalt forkert. Beviserne fra de seneste uger antyder, at svaret er ja, i hvert fald for AI.

Den gamle model antog, at systemer kan sikres, brud kan indekapsles, og eksponering kan styres. Den opstående realitet er, at brud skal antages, og eksponering skal minimiseres. De incidenter, der er beskrevet her, antyder, at sikring af AI-systemer måske stadig mere afhænger af at reducere mængden af følsomme data, der er tilgængelige, når kontrollerne fejler.

Sårbarhederne, der er afsløret på tværs af disse fire incidenter, er ikke begrænset til et enkelt lag. De er systemiske. At løse dem vil kræve mere end inkrementelle forbedringer. Det vil kræve et skift fra at sikre systemer til at reducere eksponering, fra at forsvare perimeteren omkring data til at fjerne klarteksten, som perimeteren blev bygget til at beskytte.

AI-sikkerhed handler ikke længere om at holde angribere ude. Det handler om at sikre, at når de kommer ind, og de vil, er der intet læseligt for dem at finde.