Hvorfor AI blir høyere utdannings nye forsvar mot kampen om bruker‑tilgang og legitimasjon

Cyberkriminelle har flyttet seg oppover i markedet, og høyere utdanning er nå rett i sikte.

I flere år har K‑12‑distriktene absorbert det verste. Da pandemien tvang frem fjernundervisning over natten, ble skolesystemer som aldri hadde planlagt for det, utsatt. Høyere utdanning så relativt trygt ut: campusene hadde allerede modne IT‑avdelinger, budsjett til sikkerhetsverktøy, og hadde drevet digitale systemer og nettbasert læring i et tiår eller mer før COVID traff. Det gapet lukker seg raskt. De letteste målene på K‑12‑nivået er i stor grad plukket, og angripere vender nå oppmerksomheten mot høyskoler og universiteter med de samme AI‑drevne verktøyene som gjorde K‑12 til et så enkelt mål.

Omfanget viser seg allerede i overskriftene. Bare denne måneden, personlig informasjon ble stjålet fra minst 137 000 skoleansattes kontoer i et datainnbrudd som rammet Glendale Community College, Moody Bible Institute, Illinois Central College og Houston City College. Brannmurer og perimeterverktøy er fortsatt viktige, men de ble aldri laget for å stoppe det som skjer nå: AI som lar angripere etterligne ansatte og studenter i stor skala, godt nok til å komme forbi kontrollene institusjonene har stolte på i årevis. Tyveri av legitimasjon og overtakelse av kontoer er ikke lenger sjeldne tilfeller. De er den primære angrepsflaten, og å forsvare den har blitt den sentrale cybersikkerhetsutfordringen i høyere utdanning for 2026.

Den andre siden av problemet: Spøkelsesstudenter

Stjålne ansattlegitimasjoner får mest oppmerksomhet, men de er bare halve historien. Den andre halvdelen skjer på studentens side, og det er sannsynligvis det dyrere problemet: svindel med spøkelsesstudenter.

Mekanismen er enkel. Ondsinnede aktører bruker falske eller stjålne identiteter for å registrere seg som studenter, ikke for å delta i undervisning, men for å samle økonomisk støtte. AI‑genererte søknader er nå gode nok til å overgå identitetsverifiseringen de fleste institusjoner fortsatt bruker, noe som betyr at denne svindelen skalerer på samme måte som legitimasjonstyveri: automatisk og raskt.

Tallene blir vanskelig å ignorere. Anslått $150 millioner i støtte gikk til urettmessige studenter i 2025 alene, med fagskoler hardest rammet fordi de vanligvis har den minst robuste identitetsinfrastrukturen. Delaware County Community College avdekket mer enn 500 falske studentkontoer på egen hånd. På nasjonalt nivå har den føderale regjeringen over $350 millioner i svindel med spøkelsesstudenter under etterforskning, over 200 åpne saker.

Kostnaden er ikke abstrakt, og den er ikke begrenset til skolene selv. Når en svindler registrerer seg med en stjålet identitet og samler inn et lån, er den ekte personen bak den identiteten ofte den som sitter igjen med gjelden. Legitime studenter ender opp med å konkurrere om krympende økonomiske støttepott og institusjonelle ressurser som svindelen allerede har tappet. Som en nylig ABC News-undersøkelse fant, blir fagskoler i Sør‑California oversvømt med AI‑genererte søknader, og mønsteret dukker opp nasjonalt, ikke bare i én region.

Tyveri av legitimasjon og svindel med spøkelsesstudenter ser ut som ulike problemer, men de deler samme rotårsak: identitetssjekker som kun skjer én gang, ved innlogging eller registrering, og som aldri blir gjennomgått igjen.

Identitet er ikke en hendelse: Det er en livssyklus

Det er den endringen høyere utdanning må gjøre i 2026. Spørsmålet kan ikke bare være «autentiserte denne personen vellykket». Det må være kontinuerlig: hvem har tilgang akkurat nå, og bør de fortsatt ha den.

Det spørsmålet har blitt vanskeligere å svare på fordi befolkningen av «identiteter» på campus har utvidet seg langt utover studenter og ansatte. Universiteter er nå ansvarlige for å sikre autonome AI‑agenter, tredjepartsintegrasjoner og maskinidentiteter som berører sensitive systemer hver dag, ofte med langt mindre tilsyn enn en menneskelig konto ville fått. Hver av disse identitetene er et potensielt inngangspunkt, og de fleste institusjoner har ikke en sanntidsmåte å spore dem på.

Dette er akkurat stedet hvor Identity Lifecycle Management fortjener sin plass som en prioritet, ikke som et ekstra. Statisk, engangsautentisering ble designet for en verden hvor «identitet» betydde en person som logget inn med et passord. Den ble aldri bygget for en verden med agentisk AI, maskin‑til‑maskin‑integrasjoner, og svindelringer som kan generere en overbevisende falsk student på sekunder. Å lukke dette gapet betyr å kombinere phishing‑resistente passnøkler og agentisk AI‑styring med en ILM‑tilnærming som kontinuerlig gjennomgår og oppdaterer tilgang, i stedet for å gi den én gang og anta at den fortsatt er gyldig et semester senere.

Høyere utdanning kan ikke sitte på sidelinjen og vente på at de føderale etterforskningene skal ta igjen. Institusjonene som ligger i forkant vil være de som slutter å behandle identitet som en avkrysningsboks ved innlogging og begynner å behandle den som noe som må verifiseres, overvåkes og justeres kontinuerlig, for hver person og hver maskin som berører systemene deres.

Angriperne har allerede automatisert sin side av dette. Det er på tide at høyere utdanning gjør det samme.