Når utviklede angrep løper forbi gamle forsvar: Hvorfor det er på tide for proaktiv AI-sikkerhet

Hvis du jobber noen gang nær sikkerhet nå, føler du kanskje at du alltid kommer til å hakke på. Det er et nytt brudd i nyhetene, en fersk ransomware-historie, og en annen smart triks som forsvarerne ikke så komme. Samtidig hviler mye beskyttelse fortsatt på ideer fra en eldre internett hvor nettverk hadde klare grenser og angripere beveget seg langsommere.

Tallene forteller deg at dette ikke bare er en følelse. Den siste IBM Cost of a Data Breach Report setter den globale gjennomsnittlige bruddet på 4,88 millioner dollar i 2024, opp fra 4,45 millioner dollar året før. Den 10% økningen er den største spiken siden pandemien, og den kommer selv om sikkerhetsteam investerer mer i verktøy og bemanning.

Den Verizon Data Breach Investigations Report for 2024 ser på over 30 000 hendelser og over 10 000 bekreftede brudd. Den fremhever hvordan angripere avhenger av stjålne legitimasjoner, webapplikasjons-utnyttelser og sosiale handlinger som forspill, og den påpeker at organisasjoner tar rundt 55 dager i gjennomsnitt å fikse bare halvparten av sine kritiske sårbarheter etter at patches er utgitt. Disse 55 dagene er en meget komfortabel vindu for en angriper som skanner kontinuerlig.

I Europa peker også ENISA Threat Landscape-rapporten for 2023 på en tung blanding av ransomware, nekt-av-tjeneste-angrep, leverandørangrep og sosial manipulering. En annen ENISA-studie som fokuserte på leverandørhendelser estimerte at det sannsynligvis var fire ganger så mange slike angrep i 2021 som i 2020, og at denne trenden har fortsatt oppover. 

Så er bildet enkelt, men ubehagelig. Brudd blir vanligere, dyrere og mer komplekse, selv om verktøyene blir bedre. Noe strukturelt er galt i måten mange organisasjoner fortsatt forsvarer seg.

Hvorfor det klassiske sikkerhetsmodellen faller bak

I lang tid har det mentale bildet av cybersikkerhet vært enkelt. Du hadde en klar innside og utsiden. Du bygde en sterk periferi med brannmurer og filter. Du deployerte antivirus på endepunkter og så etter kjente dårlige signaturer. Du justerte regler, så etter varsler og reagerte når noe åpenbart utløste.

Denne modellen har tre store problemer i dagens verden.

Først er periferien nesten borte. Folk jobber fra overalt på en blanding av managede og unmanagede enheter. Data ligger i offentlige skyplattformer og programvare som tjeneste-verktøy. Partnere og leverandører kobler direkte inn i interne systemer. Rapporter som ENISA-leverandørstudien viser hvordan intrusjoner nå ofte begynner gjennom en pålitelig partner eller programvareoppdatering i stedet for en direkte frontalangrep på en sentral server.

Andre er fokuset på kjente signaturer etterlater en stor blindsoner. Moderne angripere blander custom-malware med hva forsvarerne kaller living off the land. De avhenger av innebygde skriptverktøy, fjernstyringsagenter og hverdagslige administrative handlinger. Hver enkelt handling sett for seg kan se harmløs ut. En enkel signature-basert tilnærming ser ikke det større mønsteret, særlig når angripere endrer små detaljer i hver kampanje.

Tredje er at mennesker er overbelastet. Verizon-rapporten viser at sårbarhetsutnyttelse nå er en stor måte å komme inn i nettverk på, og at mange organisasjoner sliter med å bruke patches raskt nok. IBMs forskning legger til at lange oppdage- og innhegnings-tider er en stor årsak til at bruddkostnadene fortsatt stiger. Analytikere sitter under en fjell av varsler, logger og manuell triage, mens angripere automatiserer så mye som mulig.

Så har du angripere som er raskere og mer automatiserte, og forsvarere som fortsatt avhenger mye av manuell etterforskning og gamle mønster. Inn i denne gapen kommer kunstig intelligens.

Angripere behandler allerede AI som en medspiller

Når folk snakker om AI i sikkerhet, tenker de ofte på defensive verktøy som hjelper med å fange dårlige aktører. Virkeligheten er at angripere er like ivrige etter å bruke AI til å gjøre jobben enklere.

Den Microsoft Digital Defense Report 2025 beskriver hvordan statlige grupper bruker AI til å lage syntetisk media, automatisere deler av intrusjonskampanjer og skalerer innflytelsesoperasjoner. En separat Associated Press-oppsamling av Microsoft-trusselintelligens rapporterer at, fra midten av 2024 til midten av 2025, hendelser som involverer AI-generert feilaktig innhold økte til over 200, mer enn dobbelt så mye som året før og omtrent 10 ganger så mye som i 2023.

I praksis ser dette ut som phishing-beskjeder som ser ut som om de er skrevet av en innfødt taler, på hvilket som helst språk du liker. Det ser ut som deepfake-lyd og video som hjelper angripere å late som om de er seniorledere eller pålitelige partnere. Det ser ut som AI-systemer som sorterer gjennom enorme volumer av stjålne data for å finne de mest verdifulle detaljene om din omgang, din stab og dine tredjeparter.

En nylig Financial Times-artikkel om agens AI i cyberangrep beskriver til og med en nesten autonom etterretningsoperasjon hvor en AI-kodingagent håndterte de fleste av trinnene fra rekognosering til data-ekstraksjon med begrenset menneskelig innsats. Uansett hvordan du føler om denne spesifikke saken, er retningen av reisen tydelig. Angripere er mer enn glade for å la AI håndtere de kjedelige delene av jobben.

Hvis angripere bruker AI til å flytte raskere, blande seg bedre inn og treffe flere mål, kan forsvarerne ikke forvente at tradisjonelle periferiverktøy og manuell varslingstriage skal være nok. Du må enten bringe lignende intelligens inn i forsvaret, eller gapet vil fortsette å øke.

Fra reaktivt forsvar til proaktivt sikkerhetstenkning

Den første virkelige skiftet er ikke teknisk; det er mentalt.

En reaktiv holdning bygges rundt ideen om at du kan vente på tydelige tegn på problemer, og så reagere. En ny binær er oppdaget. En varsling utløses fordi trafikken matcher en kjent mønster. En konto viser en åpenbar tegn på kompromiss. Teamet hopper inn, etterforsker, rydder opp og oppdaterer kanskje en regel for å forhindre akkurat det mønsteret fra å fungere igjen.

I en verden med langsomme og sjeldne angrep kan dette være greit. I en verden med konstante sonderinger, raskt utnyttende angrep og AI-støttede kampanjer, er det for sent. Når en enkel regel utløser, har angriperne ofte allerede utforsket nettverket ditt, berørt følsomme data og forberedt reserveveier.

En proaktiv holdning starter fra et annet sted. Den antar at du alltid berøres av fiendtlig trafikk. Den antar at noen kontroller kan feile. Den bryr seg om hvor raskt du kan oppdage uvanlig atferd, hvor fort du kan innhegne det og hvor konsekvent du kan lære av det. I den rammen blir de grunnleggende spørsmålene veldig praktiske.

• Har du kontinuerlig visning inn i dine nøkkel-systemer, identiteter og data-lagre?

• Kan du merke små avvik fra normal atferd, ikke bare kjente dårlige signaturer?

• Kan du knytte den innsikten til rask, gjentakende handling uten å brenne ut ditt team?

AI er ikke løsningen i seg selv, men det er en kraftfull måte å svare på disse spørsmålene på den skalaen moderne miljøer krever.

Hva en AI-drevet sikkerhetspostur ser ut som

AI hjelper deg å flytte fra et enkelt ja eller nei-bilde av trusler mot et rikere, atferdsbasert bilde. På detekterings-siden kan modeller se på identitetsaktivitet, endepunkts-telemetri og nettverksstrømmer og lære hva som ser normalt ut for ditt miljø. I stedet for bare å blokkere en kjent malisøs fil, kan de reise en flagg når en konto logger inn fra en uvanlig plassering på en uvanlig tid, vipper til et system det aldri har berørt før og så begynner å flytte store volumer av data. Hver enkelt hendelse kan være lett å overse. Det kombinerte mønsteret er interessant.

På eksponeringssiden kan AI-støttede verktøy kartlegge din virkelige angrepsflate. De kan skanne offentlige sky-kontoer, internett-eksponerte tjenester og interne nettverk for å finne glemte test-systemer, feilkonfigurert lagring og eksponerte admin-paneler. De kan gruppere disse funnene inn i praktiske risiko-historier i stedet for rå lister. Dette er spesielt viktig når skygge-AI vokser innen organisasjoner, med team som spinner opp sine egne modeller og verktøy uten sentral tilsyn, en trend som IBM peker på i sin nyeste Kostnad for data-brudd-arbeid som en alvorlig risiko-område. 

På respons-siden kan AI hjelpe deg å handle raskere og mer konsekvent. Noen sikkerhetsoperasjons-sentre bruker allerede AI-støttede systemer til å anbefale innhegnings-trinn i sanntid og til å sammenfatte lange etterforsknings-tidslinjer for menneskelige analytikere. Det amerikanske Cybersecurity and Infrastructure Security Agency beskriver flere slike bruksområder i sine kunstig intelligens-resurser, og viser hvordan AI kan hjelpe med å oppdage uvanlig nettverksaktivitet og analysere store strømmer av trussel-data over føderale systemer.

Ingen av dette fjerner behovet for menneskelig dømmekraft. I stedet blir AI en kraftmultiplier. Det tar over den konstante overvåkingen, mønster-spotingen og deler av den tidlige triasjen, så at menneskelige forsvarere kan bruke mer tid på dyptgående etterforskning og på harde design-spørsmål, som identitets-strategi og segmentering.

Hvordan du kan begynne å flytte i denne retningen

Hvis du er ansvarlig for sikkerhet, kan alt dette se stort og abstrakt ut. Det gode nyheten er at skiftet fra reaktivt til proaktivt vanligvis begynner med noen grunnede steg i stedet for en gigantisk transformasjon.

Det første steget er å få dine datastrømmer i orden. AI er bare så nyttig som signalene den kan se. Hvis din identitetsleverandør, endepunkts-verktøy, nettverkskontroller og sky-plattformer alle sender logger inn i separate siloer, vil hver modell ha blinde flekker og angripere vil ha skjulesteder. Investeringer i en sentral visning av din viktigste telemetri er sjelden glamorøs, men det er grunnlaget som gjør meningsfull AI-støtte mulig.

Det andre steget er å velge bestemte brukstilfeller i stedet for å prøve å spre AI overalt. Mange team begynner med atferdsanalyse for brukerkontoer, anomali-deteksjon i sky-miljøer eller smartere e-post- og phishing-deteksjon. Målet er å velge områder hvor du allerede vet du har risiko og hvor mønster-gjenkjenning over store datasamlinger kan klart hjelpe.

Det tredje steget er å parre hver ny AI-støttet verktøy med en eksplisitt sett av retningslinjer. Det inkluderer å definere hva modellen er tillatt å gjøre på egen hånd, hva som alltid må involvere en menneske, og hvordan du vil måle om systemet er ærlig og nyttig over tid. Her kan tenkningen i NIST AI-rammeverket og veiledningen fra byråer som CISA kan spare deg fra å gjøre alt selv.

Hvorfor proaktiv AI-sikkerhet ikke kan vente

Cyberangrep utvikler seg til noe som ligner en konstant bakgrunnsbetingelse mer enn en sjelden nødsituasjon, og angripere er mer enn glade for å la kunstig intelligens gjøre mye av tungt arbeid for dem. Kostnadene stiger, inngangspunktene multipliseres og verktøyene på angriper-siden blir smartere hvert år. En reaktiv modell som venter på høye varsler og så skrumper er bare ikke bygget for den verden.

En proaktiv AI-drevet holdning er mindre om å jage en flashy trend og mer om å gjøre det stille, uglamorøse arbeidet med å få dataene dine i orden, legge til atferdsbasert innsikt og plassere klare retningslinjer rundt nye AI-systemer så de hjelper dine forsvarere i stedet for å overraske dem. Gapet mellom angripere og forsvarere er reelt, men det er ikke fast, og valgene du gjør nå om hvordan du bruker AI i sikkerhetsstaben din vil bestemme hvilken side som flytter raskere over de neste årene og plasserer klare retningslinjer rundt nye AI-systemer så de hjelper dine forsvarere i stedet for å overraske dem. Gapet mellom angripere og forsvarere er reelt, men det er ikke fast, og valgene du gjør nå om hvordan du bruker AI i sikkerhetsstaben din vil bestemme hvilken side som flytter raskere over de neste årene.