Hvorfor AI bliver videregående uddannelses nye forsvar i kampen om brugeradgang og legitimationsoplysninger

Cyberkriminelle har flyttet sig op på markedet, og videregående uddannelser er nu direkte i deres sigte.

I mange år har K‑12‑kredse absorberet det værste. Da pandemien tvang fjernundervisning over natten, blev skolesystemer, der aldrig havde planlagt det, udsat. Videregående uddannelser så relativt sikre ud: campusserne havde allerede modne IT‑afdelinger, budget til sikkerhedsværktøjer og havde drevet digitale systemer og online‑undervisning i et årti eller mere før COVID ramte. Det hul lukker hurtigt. De lette mål på K‑12‑niveauet er stort set udnyttet, og angriberne vender nu deres opmærksomhed mod college‑ og universiteter med de samme AI‑drevne værktøjer, der gjorde K‑12 til et så let mål.

Omfanget viser sig allerede i overskrifterne. Kun denne måned, personlige oplysninger blev stjålet fra mindst 137.000 skolepersonalekonti i et brud, der ramte Glendale Community College, Moody Bible Institute, Illinois Central College og Houston City College. Firewalls og perimeterværktøjer betyder stadig noget, men de blev aldrig designet til at stoppe det, der sker nu: AI, der lader angribere udgive sig for personale og studerende i stor skala, tilstrækkeligt til at glide forbi de kontroller, institutionerne har stolet på i årevis. Tyveri af legitimationsoplysninger og overtagelse af konti er ikke længere sjældne tilfælde. De er den primære angrebsflade, og at forsvare den er blevet den centrale cybersikkerhedsudfordring i videregående uddannelser i 2026.

Den anden side af problemet: Spøgelses‑studerende

Stjålne personalelegitimationsoplysninger får mest opmærksomhed, men de udgør kun halvdelen af historien. Den anden halvdel foregår på studerendes side, og det er uden tvivl det dyrere problem: svindel med spøgelses‑studerende.

Mekanikken er enkel. Ondskabsfulde aktører bruger falske eller stjålne identiteter til at tilmelde sig som studerende, ikke for at deltage i undervisning, men for at indsamle studiestøtte. AI‑genererede ansøgninger er nu gode nok til at overgå den identitetsverifikation, som de fleste institutioner stadig bruger, hvilket betyder, at denne svindel skalerer på samme måde som legitimations‑tyveri: automatisk og hurtigt.

Tallene er svære at ignorere. Et anslået $150 million i støtte gik til uberettigede studerende i 2025 alene, hvor community colleges blev hårdest ramt, fordi de typisk har den mindst robuste identitets‑infrastruktur. Delaware County Community College opdagede mere end 500 falske studenterkonti på egen hånd. På nationalt plan har den føderale regering over $350 millioner i svindel med spøgelses‑studerende under efterforskning, i 200 åbne sager.

Omkostningerne er ikke abstrakte, og de er ikke begrænset til selve skolerne. Når en svindler tilmelder sig med en stjålet identitet og indsamler et lån, er den egentlige person bag identiteten ofte den, der ender med gælden. Legitime studerende ender med at konkurrere om krympende puljer af studiestøtte og institutionelle ressourcer, som svindlen allerede har tappet. Som en nylig ABC News‑undersøgelse viste, bliver community colleges i det sydlige Californien oversvømmet med AI‑genererede ansøgninger, og mønsteret viser sig landsdækkende, ikke kun i én region.

Tyveri af legitimationsoplysninger og svindel med spøgelses‑studerende ser ud som forskellige problemer, men de deler den samme grundlæggende årsag: identitetstjek, der kun foregår én gang, ved login‑ eller tilmeldingspunktet, og som aldrig genbesøges.

Identitet er ikke en begivenhed: Det er en livscyklus

Det er den ændring, videregående uddannelser skal foretage i 2026. Spørgsmålet kan ikke kun være “blev denne person autentificeret succesfuldt”. Det skal være kontinuerligt: hvem har adgang lige nu, og bør de stadig have den.

Det spørgsmål er blevet sværere at besvare, fordi befolkningen af “identiteter” på campus er udvidet langt ud over studerende og personale. Universiteter er nu ansvarlige for at sikre autonome AI‑agenter, tredjeparts‑integrationer og maskinidentiteter, der hver dag berører følsomme systemer, ofte med langt mindre tilsyn end en menneskelig konto får. Hver af disse identiteter er et potentielt indgangspunkt, og de fleste institutioner har ikke en realtids‑metode til at spore dem.

Det er præcis her, Identity Lifecycle Management får sin plads som en prioritet, ikke blot som et ekstra. Statisk, engangs‑autentificering blev designet til en verden, hvor “identitet” betød en person, der logger ind med en adgangskode. Den blev aldrig bygget til en verden med agentisk AI, maskine‑til‑maskine‑integrationer og svindel‑ringe, der kan generere en overbevisende falsk studerende på sekunder. At lukke dette hul betyder at kombinere phishing‑resistente adgangsnøgler og agentisk AI‑styring med en ILM‑tilgang, der løbende gennemgår og opdaterer adgang, i stedet for at give den én gang og antage, at den stadig er gyldig et semester senere.

Videregående uddannelser kan ikke bare sidde på sidelinjen og vente på, at de føderale efterforskninger indhenter. De institutioner, der kommer foran, vil være dem, der stopper med at behandle identitet som et afkrydsningsfelt ved login og begynder at behandle det som noget, der skal verificeres, overvåges og justeres løbende, for hver menneske og hver maskine, der berører deres systemer.

Angriberne har allerede automatiseret deres side af dette. Det er på tide, at videregående uddannelser gør det samme.