IRONSCALES-rapport viser, at AI-agenter er ved at blive et nyt mål for phishing

En phishingbesked behøver ikke længere at overtale den medarbejder, der ejer en indbakke. Den kan i stedet rette sig mod den software, der læser indbakken på medarbejderens vegne. Det er den centrale advarsel i IRONSCALES’ nye rapport Fra deepfakes til dobbeltagenter: Den nye side af AI-drevet cyberrisiko, som konkluderer, at virksomhedernes indførelse af værktøjer, der kan handle på egen hånd, er gået hurtigere end de sikkerhedsforanstaltninger, der skal beskytte dem.

I den Censuswide-undersøgelse, som virksomheden havde bestilt, svarede 77 % af respondenterne, at en AI-agent eller et AI-værktøj i deres organisation i løbet af det foregående år havde handlet på baggrund af skadeligt, vildledende eller uautoriseret indhold. En mindre, men stadig betydelig andel på 57 % rapporterede mindst ét bekræftet tilfælde. Tallene afspejler respondenternes indberetninger om hændelser, herunder formodede hændelser i det samlede tal; de er ikke en uafhængigt verificeret optælling af vellykkede brud på sikkerheden.

Resultaterne offentliggøres samtidig med en mere opmuntrende udvikling: Investeringerne i forsvar mod deepfakes steg, mens de rapporterede økonomiske tab blev mindre alvorlige. Samlet peger resultaterne på en praktisk udfordring for sikkerhedsledere: at udvide beskyttelsen til automatiserede beslutningstagere uden at opgive de forsvarsmekanismer, der er udviklet til mennesker.

AI-agenter har adgang til vigtige systemer

Censuswide adspurgte 501 amerikanske it- og cybersikkerhedsprofessionelle på mellemlederniveau eller derover, som arbejdede i virksomheder med 1.000 til 10.000 ansatte. Deltagerne var mellem 25 og 55 år, og dataindsamlingen fandt sted fra 9. til 17. september 2026. Resultaterne beskriver derfor denne gruppe af større virksomheder og ikke alle virksomheder, der bruger AI.

I denne gruppe svarede 96 %, at deres organisationer bruger AI-agenter eller -værktøjer, der kan handle på medarbejdernes vegne, og 52 % beskrev brugen som udbredt. Rapporten anvender en bred definition, der omfatter værktøjer, som læser og besvarer beskeder, får adgang til filer og sætter arbejdsgange i gang.

Blandt de organisationer, der bruger disse værktøjer, giver 67 % dem adgang til sagsstyrings- eller helpdesksystemer, 56 % til cloudlager og 49 % til e-mail eller beskedtjenester. Yderligere 30 % giver dem adgang til systemer til økonomi, fakturering, indkøb eller betalinger. Kun 19 % svarede, at deres værktøjer var begrænset til det offentlige internet uden adgang til interne systemer.

Forskellen mellem at besvare et spørgsmål og at udføre en handling har stor betydning. Et forkert resumé kan vildlede læseren; et værktøj, der er forbundet med virksomhedens systemer, kan også flytte oplysninger eller sætte en arbejdsgang i gang. Værktøjets tilladelser er med til at afgøre, hvor langt en fejl kan sprede sig.

Indbakken er også en indgang for agenter

Blandt de respondenter, der rapporterede en hændelse relateret til en AI-agent, svarede 42 %, at et AI-værktøj havde opsummeret eller handlet på baggrund af en ondsindet e-mail eller besked. Yderligere 41 % rapporterede, at en angriber havde brugt et AI-værktøj til phishing eller social engineering. Kategorierne kan overlappe, og den anden omfatter angriberes brug af AI, uden at det nødvendigvis indebærer, at offerets egen agent er blevet kompromitteret.

Denne nuance er vigtig. Undersøgelsen samler flere typer AI-relaterede fejl i ét samlet billede; den fastslår ikke, at alle hændelser involverede den samme angrebsmetode. Den viser dog, hvorfor organisationer bør undersøge både det indhold, agenterne behandler, og de handlinger, deres integrationer giver dem mulighed for at udføre.

En nyttig måde at forstå risikoen på er at skelne mellem information og beføjelser. En besked kan indeholde instruktioner, men det, at den lander i en indbakke, gør ikke i sig selv instruktionerne autoriserede. Når software kan handle på tværs af tilsluttede systemer, bliver det en del af adgangskontrollen og udformningen af arbejdsgange at opretholde denne grænse.

IRONSCALES’ platform til e-mailsikkerhed afspejler virksomhedens fokus på dette indgangspunkt. Virksomheden beskriver en API-baseret tilgang, der kombinerer AI-analyse, automatiseret undersøgelse og menneskelig trusselsinformation samt phishing-simuleringer og beskyttelse mod deepfakes i Microsoft Teams. Disse funktioner giver indblik i undersøgelsens sponsors perspektiv; denne undersøgelse vurderer ikke uafhængigt, hvor effektive virksomhedens produkter er.

Godkendelsesprocesser findes, men sikkerhedsafdelingen står sjældent i spidsen

Blandt de 479 respondenter, hvis organisationer bruger AI-værktøjer, der kan udføre handlinger, angav 78 % it-afdelingen som den primære godkender af agenter, assistenter, plugins og connectors. Kun 6 % angav sikkerhedsafdelingen, mens 14 % beskrev godkendelsen som et fælles ansvar på tværs af grupper.

At være den primære godkender er ikke det samme som at være involveret overhovedet. Tallene viser ikke, at sikkerhedsafdelingen er udelukket fra alle øvrige godkendelsesprocesser. De viser dog, at beslutninger om værktøjer med omfattende adgang som regel træffes af andre.

Blandt organisationer, der rapporterede en hændelse, svarede 39 %, at en medarbejder havde givet et AI-værktøj adgang, som sikkerhedsafdelingen ikke ville have godkendt. Dette resultat gør spørgsmålet om styring konkret: Hvem vurderer tilladelserne, før en connector aktiveres, og hvem kan tilbagekalde dem, hvis værktøjet opfører sig uventet?

Rapporten peger også på en kløft mellem tillid og implementering. Mens 93 % svarede, at deres beredskabsplaner dækker AI-agenter, og 84 % var sikre på, at de kunne identificere en AI-drevet hændelse, beskrev kun 52 % formelle politikker, kontroller og beredskabsprocesser som værende fuldt implementeret. Yderligere 35 % rapporterede, at de havde politikker, men kun begrænsede tekniske kontroller.

Tabene som følge af deepfakes faldt, men truslen bestod

Resultaterne om deepfakes giver et mere positivt sammenligningsgrundlag med Censuswides undersøgelse fra 2025 blandt 500 respondenter med samme profil. De aktive investeringer i forsvar steg fra 37 % til 48 %. Blandt organisationer, der rapporterede økonomiske tab, faldt andelen, der havde tabt mindst 100.000 $, fra 63 % til 49 %, og andelen, der havde tabt 1 million $ eller mere, faldt fra 6 % til 3 %.

De anslåede gennemsnitlige tab blandt organisationer, der havde lidt økonomiske tab, faldt fra cirka 280.000 $ til 225.000 $. Estimaterne er baseret på midtpunkterne i de rapporterede tabsintervaller. Da undersøgelserne spurgte forskelligt til tab, omfatter sammenligningen ikke svar om nul tab, usikre svar eller svar fra dem, der foretrak ikke at oplyse det.

Rapporten understreger udtrykkeligt, at det, at større investeringer og mindre tab optræder samtidig, ikke beviser, at det ene har forårsaget det andet. Hændelserne forsvandt heller ikke: 84 % rapporterede mindst én deepfake-relateret hændelse mod 85 % i 2025. Definitionen er bred og omfatter alt fra manipulerede billeder og forfalskede e-mails til efterligning af stemmer og personer i videoer i realtid.

Der er også et problem med konkurrerende prioriteter. Andelen, der kaldte beskyttelse mod deepfakes en topprioritet, faldt fra 71 % til 60 %, samtidig med at AI, der kan handle, lægger yderligere beslag på sikkerhedsbudgetterne. De lavere tab giver grund til at undersøge, hvad der virker, frem for at antage, at truslen er drevet over.

Beskyt handlingerne, ikke kun samtalen

IRONSCALES anbefaler at inddrage sikkerhedsteamet i godkendelsen af agenter, begrænse tilladelser, overvåge handlinger og afprøve hændelseshåndteringen med angreb rettet mod både medarbejdere og agenter. Anbefalingerne forbinder rapportens to temaer: Vildledende indhold er fortsat farligt, men software med tilladelse til at handle ændrer, hvordan bedraget kan få konsekvenser.

For et team i en virksomhed betyder det, at man skal vide, hvilke agenter der findes, hvilke systemer hver enkelt kan tilgå, og hvilke handlinger der kræver menneskelig gennemgang. Logfiler skal gøre det muligt at rekonstruere, hvad værktøjet læste og gjorde. Test bør undersøge, om en meddelelse fra en ikke-betroet kilde kan påvirke en godkendt arbejdsgang, frem for kun at måle, om medarbejderne genkender en mistænkelig e-mail.

Rapportens vigtigste bidrag er dens beskrivelse af afstanden mellem udbredelse, tillid og implementerede kontroller. Læsere kan se undersøgelsens spørgsmål, metodiske forbehold og anbefalinger i den fulde rapport Fra deepfakes til dobbeltagenter: Det nye ansigt på AI-drevne cyberrisici.