Den skjulte trussel fra AI-agenter kræver en ny sikkerhedsmodel

Agentic AI-systemer er blevet mainstream de seneste år. De bruges nu til flere funktioner, herunder godkendelse af brugere, flytning af kapital, udløsning af overholdelsesworkflows og koordinering på tværs af virksomhedsmiljøer med minimal menneskelig overvågning.

Men et mere stille problem dukker op med den øgede autonomi, ikke på niveauet med prompts eller politikker, men på niveauet med infrastruktur-tillid. Agentic systemer får insider-myndighed, mens de stadig kører på beregningsmiljøer, der aldrig er designet til at beskytte autonome beslutningstagerne mod infrastrukturen under dem.

Traditionel sikkerhed antager, at software er passiv, men agentic systemer er det ikke. De resonnerer, husker og handler kontinuerligt, autonomt og med deputeret myndighed.

Det skal ikke glemmes, at AI-agenter sandsynligvis har adgang til personlige data baseret på deres brugstilfælde, såsom e-mails og telefonsamtaler, blandt andet.

Desuden findes der hardware-baserede beskyttelser, såsom konfidentielle virtuelle maskiner og sikre enklaver, men de er ikke endnu den standardmæssige grundlag for de fleste agentic AI-udrulninger. Som resultat kører mange agenter stadig i miljøer, hvor følsomme data er eksponeret for den underliggende infrastruktur under kørselstid.

Agenter er insiders, ikke værktøjer

Sikkerhedsteams ved allerede, hvor udfordrende det er at indeholde insider-trusler, et problem, der er fremhævet i Verizon’s 2025-dataudbrudrapport, der viser, at systemindtrængen var ansvarlig for mere end 53% af bekræftede udbrud sidste år. I 22% af disse tilfælde brugte angriberne stjålne legitimationsoplysninger til at få adgang, hvilket viser, hvor ofte de lykkes ved at bruge legitime identiteter i stedet for at udnytte tekniske svagheder.

Overvej nu en agent, der består af prompt-logik, værktøjer og plugins, legitimationsoplysninger samt politikker. Den kan ikke kun køre kode og browse på internettet, men den kan også forespørge CRM-systemer, læse e-mails og pushe billetter, blandt mange andre ting. Det, kombinationen af funktioner har bragt, er traditionelle angrebsflader ind i en moderne interface.

Faren, der udgøres af sådanne insider-trusler, er ikke spekulativ. The Open Web Application Security Project (OWASP) nævner nu“Prompt Injection” som en kritisk sårbarhed for LLM-applikationer, med bemærkning om dens særlige fare for agentic systemer, der kæder handlinger. Microsoft’s Threat Intelligence-team har også offentliggjort rådadvarsel om, at AI-systemer med værktøjsadgang kan være underlagt datastjæling, hvis sikkerhedsforanstaltninger ikke er arkitektonisk gennemført.

Disse rapporter er en påmindelse om, at agenter, der har legitimeret adgang til systemer og data, kan vende sig mod deres ejere. Men risikolandskabet for agentic systemer er ikke enhedligt. Application-layer-trusler som prompt-injection og værktøjsmisbrugstammer fra modellens uduelighed til at skelne mellem tillid til instruktioner og brugerinput, en designbegrænsning, som ingen mængde af hukommelseshærdning kan løse.

Et andet og lige så vigtigt problem findes på infrastruktur-niveau: nogle agenterkører i plain-text-hukommelse, hvilket betyder, at følsomme oplysninger – som chat-historik, API-svar og dokumenter – kan ses, mens de bearbejdes, og kan forblive tilgængelige senere. OWASPidentificerer denne risiko som Sensitive Information Disclosure (LLM02) og System Prompt Leakage (LLM07) ogforslår brug af kontekst-isolation, namespace-segmentering og hukommelsessandboxing som vigtige sikkerhedsforanstaltninger.

Brugere bør ikke behandle disse agenter som blot almindelige applikationer, da de er dynamiske, resonnerende eksekveringsprogrammer, der kræver en sikkerhedsmodel, der tager hensyn til deres unikke natur som ikke-menneskelige enheder med agenti. Denne tilgang skal omfatte både software-kontroller til at begrænse, hvordan modellen handler, og hardware-beskyttelser til at holde data sikre, mens de bearbejdes.

Arkitekturen for tillid har en kritisk fejl

Nuverende sikkerhedspraksis fokuserer på at beskytte data i ro og under overførsel. Den sidste front, data i brug, er næsten helt udsat. Når en AI-agent resonnerer over en fortrolig dataset for at godkende et lån, analysere patientjournaler eller udføre en handel, er dataene normalt dekrypteret og bearbejdet i plain text inden for serverens hukommelse.

I standard cloud-modeller kan enhver med tilstrækkelig kontrol over infrastrukturen, herunder hypervisor-administratore eller co-tenant-angribere, potentielt kigge ind i, hvad der sker, mens en arbejdsbyrde kører. For AI-agenter er denne eksponering særligt farlig, da de har brug for adgang til følsomme oplysninger for at udføre deres arbejde, hvilket potentielt kan blive angrebsfladen.

Som Lumia Securitydemonstrerede, kan angribere med adgang til en lokal maskine få JWT’er og sessionsnøgler direkte fra processens hukommelse af ChatGPT, Claude og Copilot-desktop-applikationer. Disse stjålne legitimationsoplysninger kan låse dem til at forestille sig som en anden bruger, stjæle samtalehistorik og indsætte prompts i pågående sessioner, der kan ændre agentens adfærd eller plante falske minder.

Et eksempel på dette kunne være AWS CodeBuild’smemory-dump-incident i juli 2025. Angriberne tilføjede hemmeligt ondsindet kode til et projekt, og da systemet kørte det, kiggede koden ind i computerens hukommelse og stjal skjulte login-token, der var gemt der. Med disse token kunne angriberne ændre projektets kode og potentielt få adgang til andre systemer.

For finansielle institutioner er den stille manipulation eksistensiel. Banker, forsikringsselskaber og investeringsselskaber absorberer allerede gennemsnitlige udbrudomkostninger på over 10 millioner dollar, og de forstår, at integritet er lige så vigtig som fortrolighed. Ifølge en ny Informaticarapport, blev “tillids-paradokset” forklaret således: organisationer udruller autonome agenter hurtigere, end de kan verificere deres output. Resultatet er automation, der kan hårdkodificere fejl eller bias direkte ind i kerneprocesser, der kører med maskinehastighed.

Konfidentiel beregning og tilfældet for isolation

Inkrementelle reparationer vil ikke løse problemet. Striktere adgangskontroller og bedre overvågning kan måske hjælpe, men de kan ikke ændre det underliggende problem. Problemet er arkitektonisk, og så længe beregning sker i eksponeret hukommelse, vil agenter være sårbare, når det betyder mest, hvilket er resonnering.

Konfidentiel beregning, defineret af Confidential Computing Consortium (CCC) som beskyttelse af data i brug via hardware-baserede Trusted Execution Environments (TEEs), adresserer direkte den kritiske fejl.

For AI-agenter er denne hardware-niveau-isolation transformerende, da den tillader en agents identitetsoplysninger, dens modelvægte, proprietære prompts og følsomme brugerdata, der bearbejdes, at forblive krypteret, ikke kun på en disk eller over en netværk, men aktivt i hukommelse under udførelse. Adskillelsen bryder definitivt den traditionelle model, hvor kontrol over infrastrukturen garanterer kontrol over arbejdsbyrden.

Fjern-attestationforsyner med verificerbar kryptografisk bevis for, at en bestemt slutningsanmodning blev udført inden for en hardware-baseret trusted execution environment, enten det er en CPU eller GPU. Beviset genereres fra hardware-målinger og leveres sammen med svaret, hvilket tillader uafhængig verificering af, hvor og hvordan arbejdsbyrden blev udført.

Attestationsposter afslører ikke den kode, der blev udført. I stedet er hver arbejdsbyrde forbundet med en unik arbejds-ID eller transaktions-ID, og TEE-attestationsposten er forbundet med denne identifikator. Attestationen bekræfter, at beregningen blev udført inden for en tillidssikret miljø uden at afsløre dens indhold.

Opsætningen skaber en ny grundlag for overholdelse og revision, hvilket tillader kobling af en agents handlinger til en bestemt version af kode, der er blevet attestet, og en kendt sæt af inputdata.

Mod ansvarlig autonomi

Konsekvenserne for systemet beskrevet ovenfor strækker sig ud over grundlæggende sikkerhed. Overvej lovene, der regulerer finans, sundhed og personlige oplysninger. Mange jurisdiktioner anvender data-suverænitetsregler, der begrænser, hvor information må bearbejdes. I Kina kræver loven om beskyttelse af personlige oplysninger og dataloven, at visse kategorier af data, vigtige personlige oplysninger, for eksempel, skal gemmes indenlands og gennemgås, før de overføres udlandet.

Lignende tilfælde findes i flere Golf-stater, som UAE og Saudi-Arabien, for eksempel,har de antaget lignende tilgange, især for finansielle, regerings- og kritisk infrastruktur-data

Konfidentiel beregning kan styrke sikkerhed og revision ved at beskytte data, mens de bearbejdes, og tillade attestation af runtime-miljøet. Men det ændrer ikke, hvor bearbejdningen finder sted. Hvor data-suverænitetsregler kræver lokal bearbejdning eller pålægger betingelser for grænseoverskridende overførsler, kan trusted execution environments støtte overholdelseskontroller, men ikke erstatte lovmæssige krav.

Desuden tillader konfidentiel beregning sikker samarbejde i multi-agent-systemer, hvor agenter fra forskellige organisationer eller afdelinger ofte skal dele information eller validere output uden at eksponere proprietær data.

Og når teknologien kombineres med zero-trust-arkitektur, er resultatet et langt stærkere grundlag. Zero trust validerer kontinuerligt identitet og adgang, mens konfidentiel beregning beskytter hardwarets hukommelse mod uautoriseret ekstraktion og forhindrer, at følsomme oplysninger kan genskabes i plain text.

Sammen forsvares det, der virkelig betyder noget, for eksempel beslutningslogik, følsomme input og de kryptografiske nøgler, der autoriserer handling.

Nyt grundlag for autonome systemer

Hvis hver interaktion sætter mennesker i risiko for eksponering, vil de ikke lade AI håndtere ting som sundhedsjournaler eller træffe finansielle beslutninger. Lignende vil virksomheder ikke automatisere deres vigtigste opgaver, hvis det kan føre til regulatoriske problemer eller tab af vigtige data.

Alvorlige byggere erkender, at application-layer-reparationer alene er utilstrækkelige i høj-sikkerheds-miljøer.

Når agenter betrodes med finansielle beføjelser, regulerede data eller tværs-organisatorisk koordination, bliver infrastruktur-niveau-eksponering mere end en teoretisk bekymring. Og uden konfidentiel udførelse i disse sammenhænge forbliver mange agenter et blødt mål, med deres nøgler, der kan stjæles, og deres logik, der kan ændres. Størrelsen af moderne udbrud viser nøjagtigt, hvor den vej fører.

Privatliv og integritet er ikke valgfrie funktioner, der kan tilføjes efter udrulning. De skal være arkitektonisk designet fra silicium og op. Derfor skal hardware-baseret konfidentialitet ikke blot betragtes som en konkurrencemæssig fordel, men som grundlaget for, at agentic AI kan skalaere sikkert.