IRONSCALES-rapport viser at AI-agenter blir et nytt mål for phishing

En phishingmelding trenger ikke lenger å overbevise den ansatte som eier innboksen. Den kan rette seg mot programvaren som leser innboksen på vedkommendes vegne. Det er hovedadvarselen i IRONSCALES’ nye rapport Fra deepfakes til dobbeltagenter: den nye formen for AI-drevet cyberrisiko, som viser at bedriftenes innføring av verktøy som kan utføre handlinger, har gått raskere enn sikkerhetstiltakene rundt dem.

I den Censuswide-undersøkelsen som ble bestilt av selskapet, svarte 77 % av respondentene at en AI-agent eller et verktøy i organisasjonen deres hadde handlet på grunnlag av skadelig, villedende eller uautorisert innhold i løpet av det foregående året. En mindre, men fortsatt betydelig andel på 57 % rapporterte om minst ett bekreftet tilfelle. Tallene gjengir respondentenes rapportering om hendelser, inkludert mistenkte hendelser i det høyere samlede tallet; de er ikke en uavhengig bekreftet opptelling av vellykkede datainnbrudd.

Funnene kommer samtidig med en mer oppløftende utvikling: Investeringene i deepfake-forsvar økte, mens de rapporterte økonomiske tapene ble mindre alvorlige. Sett under ett peker resultatene på en praktisk utfordring for sikkerhetsansvarlige: å utvide beskyttelsen til automatiserte beslutningstakere uten å gi avkall på forsvar som er utviklet for mennesker.

AI-agenter har tilgang til viktige systemer

Censuswide undersøkte 501 IT- og cybersikkerhetseksperter i USA på mellomledernivå eller høyere, ansatt i selskaper med 1 000 til 10 000 medarbeidere. Deltakerne var mellom 25 og 55 år, og datainnsamlingen foregikk fra 9. til 17. september 2026. Resultatene beskriver derfor dette utvalget av bedrifter, ikke alle virksomheter som bruker AI.

I dette utvalget svarte 96 % at organisasjonene deres bruker AI-agenter eller verktøy som kan handle på vegne av ansatte, og 52 % beskrev bruken som utbredt. Rapporten bruker en bred definisjon som omfatter verktøy som leser og svarer på meldinger, får tilgang til filer og utløser arbeidsflyter.

Blant organisasjonene som bruker disse verktøyene, gir 67 % dem tilgang til systemer for saksbehandling eller brukerstøtte, 56 % til skylagring og 49 % til e-post eller meldinger. Ytterligere 30 % gir dem tilgang til systemer for økonomi, fakturering, innkjøp eller betaling. Bare 19 % svarte at verktøyene deres var begrenset til det åpne nettet, uten tilgang til interne systemer.

Forskjellen mellom å besvare et spørsmål og å utføre en handling har betydning. Et feilaktig sammendrag kan villede leseren; et verktøy som er koblet til virksomhetens systemer, kan også flytte informasjon eller sette i gang en arbeidsflyt. Tillatelsene verktøyet har, er med på å avgjøre hvor langt en feil kan spre seg.

Innboksen er også en inngangsport for agenter

Blant respondentene som rapporterte om en hendelse knyttet til AI-agenter, svarte 42 % at et AI-verktøy hadde oppsummert eller handlet på grunnlag av en skadelig e-post eller melding. Ytterligere 41 % rapporterte at en angriper hadde brukt et AI-verktøy i phishing eller sosial manipulering. Disse kategoriene kan overlappe, og den andre omfatter angriperes bruk av AI, ikke nødvendigvis et kompromittert verktøy hos offeret.

Denne nyansen er viktig. Undersøkelsen gir et samlet bilde av flere typer AI-relaterte feil, men fastslår ikke at alle hendelsene involverte samme angrepsteknikk. Den viser likevel hvorfor organisasjoner må undersøke både innholdet agentene behandler, og hvilke handlinger integrasjonene deres tillater.

En nyttig måte å forstå risikoen på er å skille mellom informasjon og myndighet. En melding kan inneholde instruksjoner, men det at den kommer til en innboks, betyr ikke at instruksjonene er godkjent. Når programvare kan handle på tvers av tilkoblede systemer, blir det å opprettholde dette skillet en del av tilgangskontrollen og utformingen av arbeidsflyter.

IRONSCALES’ plattform for e-postsikkerhet gjenspeiler selskapets fokus på denne inngangsporten. Selskapet beskriver en API-basert tilnærming som kombinerer AI-analyse, automatisert undersøkelse og menneskelig trusselintelligens, i tillegg til phishing-simuleringer og deepfake-beskyttelse for Microsoft Teams. Disse funksjonene gir kontekst for forskningssponsorens perspektiv; denne undersøkelsen vurderer ikke produktenes effektivitet uavhengig.

Godkjenningsprosesser finnes, men sikkerhet er sjelden førende

Blant de 479 respondentene hvis organisasjoner bruker AI-verktøy som kan utføre handlinger, oppga 78 % IT som hovedansvarlig for å godkjenne agenter, assistenter, programtillegg og koblinger. Bare 6 % oppga sikkerhetsavdelingen, mens 14 % beskrev godkjenningen som et felles ansvar på tvers av grupper.

Å være hovedansvarlig for godkjenningen er ikke det samme som å være involvert i det hele tatt. Tallene viser ikke at sikkerhetsavdelingen er utelukket fra alle de øvrige godkjenningsprosessene. De viser imidlertid at beslutninger om verktøy med omfattende tilgang som regel tas av andre.

Blant organisasjonene som rapporterte om en hendelse, svarte 39 % at en ansatt hadde gitt et AI-verktøy tilgang som sikkerhetsavdelingen ikke ville ha godkjent. Dette konkretiserer styringsspørsmålet: Hvem vurderer tillatelsene før en kobling aktiveres, og hvem kan trekke dem tilbake hvis verktøyet oppfører seg uventet?

Rapporten avdekker også et gap mellom trygghet og gjennomføring. Mens 93 % svarte at beredskapsplanene deres dekker AI-agenter, og 84 % var trygge på at de kunne identifisere en AI-drevet hendelse, beskrev bare 52 % formelle retningslinjer, kontroller og beredskapsprosesser som fullt ut innført. Ytterligere 35 % rapporterte at de hadde retningslinjer, men begrensede tekniske kontroller.

Tapene fra deepfake-angrep gikk ned, men trusselen vedvarte

Funnene om deepfake-angrep gir et mer positivt sammenligningsgrunnlag enn Censuswides undersøkelse fra 2025 blant 500 respondenter med samme profil. Andelen som aktivt investerte i forsvarstiltak, økte fra 37 % til 48 %. Blant organisasjonene som rapporterte økonomiske tap, gikk andelen som tapte minst 100 000 dollar, ned fra 63 % til 49 %, mens andelen som tapte 1 million dollar eller mer, falt fra 6 % til 3 %.

De anslåtte gjennomsnittlige tapene blant organisasjonene som var rammet økonomisk, gikk ned fra omtrent 280 000 dollar til 225 000 dollar. Anslagene er basert på midtpunktene i de oppgitte tapsintervallene. Fordi undersøkelsene stilte ulike spørsmål om tap, utelater sammenligningen svarene «ingen tap», «usikker» og «ønsker ikke å svare».

Rapporten understreker uttrykkelig at det at høyere investeringer og lavere tap forekommer samtidig, ikke beviser at det ene forårsaket det andre. Hendelsene forsvant heller ikke: 84 % rapporterte minst én hendelse knyttet til deepfake-angrep, mot 85 % i 2025. Definisjonen er vid og omfatter alt fra manipulerte bilder og forfalskede e-poster til sanntidsimitasjon av stemmer og video.

Det er også et problem med konkurrerende prioriteringer. Andelen som anså forsvar mot deepfake-angrep som en hovedprioritet, falt fra 71 % til 60 %, samtidig som KI som kan utføre handlinger, legger enda et press på sikkerhetsbudsjettene. Lavere tap gir grunn til å undersøke hva som fungerer, i stedet for å anta at trusselen er over.

Beskytt handlingene, ikke bare samtalen

IRONSCALES anbefaler å involvere sikkerhetsteamet når agenter godkjennes, begrense tillatelsene deres, overvåke handlingene deres og teste hendelseshåndteringen med angrep rettet mot både ansatte og agenter. Anbefalingene knytter sammen rapportens to temaer: Villedende innhold er fortsatt farlig, men programvare med tillatelse til å utføre handlinger endrer hvordan slik villedning kan få konsekvenser.

For et virksomhetsteam betyr det å vite hvilke agenter som finnes, hvilke systemer hver enkelt har tilgang til, og hvilke handlinger som krever menneskelig gjennomgang. Logger må gjøre det mulig å rekonstruere hva verktøyet leste og gjorde. Testing bør undersøke om en melding fra en ikke-klarert avsender kan påvirke en godkjent arbeidsflyt, i stedet for bare å måle om ansatte kjenner igjen en mistenkelig e-post.

Rapportens viktigste bidrag er beskrivelsen av avstanden mellom innføring, tillit og implementerte kontrolltiltak. Leserne kan utforske spørsmålene i undersøkelsen, metodiske forbehold og anbefalinger i den fullstendige rapporten Fra deepfakes til dobbeltagenter: Det nye ansiktet til KI-drevet cyberrisiko.