Når udviklede angreb løber forud for gamle forsvar: Hvorfor det er tid til proaktiv AI-sikkerhed

Hvis du arbejder nær sikkerhed lige nu, føler du sandsynligvis, at du altid er på vej til at indhente. Der er et nyt brud i nyhederne, en frisk ransomware-historie og endnu en clever trick, som forsvarerne ikke så komme. Samtidig hviler meget beskyttelse stadig på ideer fra en ældre internet, hvor netværk havde tydelige grænser og angribere bevægede sig langsommere.

Tallene fortæller dig, at dette ikke bare er en følelse. Den seneste IBM Cost of a Data Breach Report angiver, at den globale gennemsnitlige brud er på 4,88 millioner dollars i 2024, op fra 4,45 millioner dollars året før. Den 10% stigning er den største stigning siden pandemiårene, og den kommer selv om sikkerhedshold investerer mere i værktøjer og personale.

Den Verizon Data Breach Investigations Report for 2024 ser på mere end 30.000 incidenter og over 10.000 bekræftede brud. Den fremhæver, hvordan angribere afhænger af stjålne legitimationsoplysninger, webapplikations-udnyttelser og sociale handlinger som pretexting, og den bemærker, at organisationer i gennemsnit bruger omkring 55 dage til at fikse kun halvdelen af deres kritiske sårbarheder efter, at patches er udgivet. Disse 55 dage er et meget komfortabelt vindue for en angriber, der scanner kontinuerligt.

I Europa peger ENISA Threat Landscape-rapporten for 2023 også på en tung blanding af ransomware, afvisningstjeneste-angreb, leverandørkædeangreb og sociale manipulationer. En anden ENISA-undersøgelse, der fokuserede på leverandørkædeincidenter, estimerede, at der sandsynligvis var fire gange så mange sådanne angreb i 2021 som i 2020, og at denne trend har fortsat opad. 

Så er billedet enkelt, men ubehageligt. Brud er blevet mere almindelige, mere dyre og mere komplekse, selv om værktøjerne forbedres. Noget strukturelt er galt i, hvordan mange organisationer stadig forsvares.

Hvorfor det klassiske sikkerhedsmodel er på tilbagetog

I lang tid har det mentale billede af cybersikkerhed været enkelt. Du havde en tydelig indside og en tydelig outside. Du ville bygge en stærk periferi med brandvægge og filtre. Du ville installere antivirus på endpunkter og lede efter kendte dårlige signaturer. Du ville afstemme regler, overvåge advarsler og reagere, når noget åbenlyst udløste.

Det model har tre store problemer i den nuværende verden.

Først er periferien næsten væk. Folk arbejder fra overalt på en blanding af managede og unmanagede enheder. Data ligger i offentlige cloud-platforme og software som en service-værktøjer. Partnere og leverandører tilslutter sig direkte til interne systemer. Rapporter som ENISA-leverandørkædestudiet viser, hvor ofte intrusioner nu begynder gennem en tillid til en partner eller softwareopdatering i stedet for et direkte frontalt angreb på en central server.

Anden, fokuserer på kendte signaturer efterlader en stor blind plet. Moderne angribere blandes med brug af custom-malware og det, som forsvarerne kalder “at leve af landet”. De læner sig på indbyggede scripting-værktøjer, fjernstyringsagenter og hverdagslige administrative handlinger. Hver enkelt trin set for sig selv kan se harmløst ud. En simpel signaturbaseret tilgang ser ikke det større mønster, især når angribere ændrer små detaljer i hver kampagne.

Tredje, mennesker er overbelastede. Verizon-rapporten viser, at sårbarhedsudnyttelse nu er en stor måde at komme ind i netværk, og at mange organisationer kæmper med at anvende patches hurtigt nok. IBMs forskning tilføjer, at lange opdagede og indhegnings­tider er en stor grund til, at brudomkostningerne fortsætter med at stige. Analytikere sidder under en bjerg af advarsler, logfiler og manuel triage, mens angribere automatiserer så meget som muligt.

Så har du angribere, der er hurtigere og mere automatiserede, og forsvarere, der stadig læner sig tungt på manuel undersøgelse og gamle mønstre. Ind i den åbning kommer kunstig intelligens.

Angribere behandler allerede AI som en holdkammerat

Når folk taler om AI i sikkerhed, forestiller de ofte defensive værktøjer, der hjælper med at fange dårlige aktører. Virkeligheden er, at angribere er lige så ivrige efter at bruge AI til at gøre deres arbejde lettere.

Den Microsoft Digital Defense Report 2025 beskriver, hvordan statssupportede grupper bruger AI til at skabe syntetisk medie, automatisere dele af intrusionskampagner og skala influensoperationer. En separat Associated Press-opsummering af Microsoft-trusselintelligens rapporterer, at fra midten af 2024 til midten af 2025, steg antallet af incidenter med AI-genereret falsk indhold til over 200, mere end dobbelt så mange som året før og omkring 10 gange så mange som set i 2023.

I praksis ser det ud som phishing-besked, der ligner noget, en indfødt taler skrev, på ethvert sprog du kan lide. Det ligner deepfake-lyd og video, der hjælper angribere med at forestille sig at være seniorledere eller tillid til partnere. Det ligner AI-systemer, der gennemgår enorme mængder af stjålne data for at finde de mest værdifulde detaljer om din omgang, dit personale og dine tredjeparter.

En senere Financial Times-artikel om agentic AI i cyberangreb beskriver endda en næsten autonom efterretningsoperation, hvor en AI-kodningsagent håndterede de fleste trin fra rekognoscering til dataudtrækning med begrænset menneskelig indput. Uanset hvordan du har det med det specifikke tilfælde, er retningen tydelig. Angribere er meget glade for at lade AI håndtere de kedelige dele af arbejdet.

Hvis angribere bruger AI til at flytte hurtigere, blande sig bedre og ramme flere mål, kan forsvarere ikke forvente, at traditionelle periferiværktøjer og manuel advarsels-triage er nok. Du enten bringer lignende intelligens ind i din forsvar, eller åbningen bliver ved med at udvide sig.

Fra reaktivt forsvar til proaktivt sikkerhedstænk

Den første rigtige skift er ikke teknisk; det er mentalt.

En reaktiv holdning er bygget op omkring idéen om, at du kan vente på tydelige tegn på problemer, og så reagere. En ny binær er detekteret. En advarsel udløser, fordi trafikken matcher en kendt mønster. En konto viser en åbenbar tegn på kompromittering. Holdet springer ind, undersøger, rydder op og måske opdaterer en regel for at forhindre præcis det mønster i at virke igen.

I en verden med langsomme og sjældne angreb kan dette være i orden. I en verden med konstante sonderinger, hurtigt flyttende udnyttelse og AI-understøttede kampagner er det for sent. På det tidspunkt, hvor en simpel regel udløser, har angribere ofte udforsket dit netværk, berørt følsomme data og forberedt reserveveje.

En proaktiv holdning starter fra et andet sted. Den antager, at du altid er berørt af fjendtlig trafik. Den antager, at nogle kontroller vil fejle. Den bekymrer sig om, hvor hurtigt du kan spotte usædvanligt adfærd, hvor hurtigt du kan indhegne det, og hvor konsekvent du kan lære af det. I den ramme bliver de centrale spørgsmål meget praktiske.

• Har du kontinuerlig indsigt i dine vigtigste systemer, identiteter og dataforlagre?

• Kan du bemærke små afvigelser fra normal adfærd, ikke kun kendte dårlige signaturer?

• Kan du binde den indsigt til hurtig, gentagen handling uden at udmatte dit hold?

AI er ikke løsningen i sig selv, men det er en kraftfuld måde at besvare disse spørgsmål på den skala, moderne miljøer kræver.

Hvad en AI-dreven sikkerhedsposition ligner

AI hjælper dig med at flytte fra en enkel ja eller nej-vision af trusler til et rigere, adfærdsbaseret billede. På detektionssiden kan modeller overvåge identitetsaktivitet, endpunkts-telemetri og netværksstrømme og lære, hvad der ligner normalt for dit miljø. I stedet for kun at blokere en kendt ondsindet fil kan de rejse en flag, når en konto logger ind fra en usædvanlig lokalitet på en usædvanlig tid, svinger til et system, det aldrig har berørt før, og derefter begynder at flytte store mængder af data. Hvert enkelt begivenhed kan være let at overse. Det kombinerede mønster er interessant.

På eksponeringssiden kan AI-understøttede værktøjer kortlægge din virkelige angrebsflade. De kan scannen offentlige cloud-konti, internet-tilgængelige tjenester og interne netværk for at finde glemt test-systemer, misconfigureret lagring og eksponerede admin-paneller. De kan gruppere disse fund i praktiske riskehistorier i stedet for rå lister. Dette er særligt vigtigt, da skygge-AI vokser inden for organisationer, med hold, der spinner deres egne modeller og værktøjer uden central oversigt, en trend, som IBM peger på i sin mere nyere Cost of a Data Breach-arbejde som et alvorligt risikoområde. 

På respons-siden kan AI hjælpe dig med at handle hurtigere og mere konsekvent. Nogle sikkerhedsoperationer bruger allerede AI-understøttede systemer til at anbefale indhegningsforanstaltninger i realtid og til at sammenfatte lange undersøgelses-tidsrammer for menneskelige analytikere. Det amerikanske Cybersecurity and Infrastructure Security Agency beskriver flere sådanne brug i sine kunstig intelligens-resourcer, og viser, hvordan AI kan hjælpe med at opdage usædvanlig netværksaktivitet og analysere store strømme af trusselsdata på tværs af føderale systemer.

Ingen af dette fjerner behovet for menneskelig dømmekraft. I stedet bliver AI en kraftmultiplier. Det overtager den konstante overvågning, mønster-genkendelsen og en del af den tidlige triage, så menneskelige forsvarere kan bruge mere tid på dyb undersøgelse og på hårde designspørgsmål, såsom identitetsstrategi og segmentering.

Hvordan du kan begynde at flytte i denne retning

Hvis du er ansvarlig for sikkerhed, kan alt dette lyde stort og abstrakt. Det gode nyheder er, at skiftet fra reaktivt til proaktivt ofte begynder med nogle grundede skridt i stedet for en kæmpe-transformation.

Det første skridt er at få dine datastrømme i orden. AI er kun så nyttig som de signaler, den kan se. Hvis din identitetsudbyder, endpunktsværktøjer, netværkskontroller og cloud-platforme alle sender logfiler ind i separate siloer, vil hver model have blindspots og angribere vil have skjulesteder. Investering i en central visning af dine vigtigste telemetri er sjældent glamourøs, men det er fundamentet, der gør meningsfuld AI-understøttelse mulig.

Det andet skridt er at vælge bestemte brugs Tilfælde i stedet for at prøve at drysse AI overalt. Mange hold starter med adfærdsanalyse for brugerkonti, afvigelsesdetektering i cloud-miljøer eller smartere e-mail- og phishing-detektering. Målet er at vælge områder, hvor du allerede ved, du har risiko, og hvor mønster-genkendelse på tværs af store datasæt kan klart hjælpe.

Det tredje skridt er at parre hver ny AI-understøttet værktøj med en ekspllicit sæt af sikkerhedsforanstaltninger. Det inkluderer definition af, hvad modellen er tilladt at gøre på egen hånd, hvad der altid skal involvere en menneskelig, og hvordan du vil måle, om systemet er ærligt og nyttigt over tid. Her kan tænkningen i NIST AI-rammen og vejledningen fra agenter som CISA kan spare dig for at genopfinde alt selv.

Hvorfor proaktiv AI-sikkerhed ikke kan vente

Cyberangreb er ved at blive til noget, der ligner en konstant baggrundsforhold end en sjælden nødsituation, og angribere er meget glade for at lade kunstig intelligens gøre meget af det hårde arbejde for dem. Omkostningerne stiger, indgangspunkterne er ved at blive flere, og værktøjerne på angriberens side bliver smartere hvert år. En reaktiv model, der venter på høje advarsler og så skynder sig, er simpelthen ikke bygget til den verden.

En proaktiv AI-dreven holdning er mindre om at jagte en flashy trend og mere om at udføre det stille, uglamourøse arbejde med at få dine data i orden, tilføje adfærdsbaseret indsigt og sætte klare sikkerhedsforanstaltninger omkring nye AI-systemer, så de hjælper dine forsvarere i stedet for at overraske dem. Åbningen mellem angribere og forsvarere er reel, men den er ikke fast, og de valg, du træffer nu om, hvordan du bruger AI i din sikkerhedsstak, vil afgøre, hvilken side der flytter hurtigere over de næste få år.