Din AI-säkerhetsverktyg skyddar dig inte – det gör dig bara mer säker

I juni 2025 patchade Microsoft CVE-2025-32711, bättre känd som EchoLeak: en zero-click-sårbarhet i Microsoft 365 Copilot, som fick betyg 9,3 på CVSS. Ett konstruerat e-postmeddelande, som aldrig öppnades av offret, kunde göra Copilots hämtningssystem tyst exfiltrera all känslig kontext det hade tillgång till. Detaljen som borde besvära dig: payloaden gick rakt förbi XPIA, Microsofts egen prompt-injektionsklassificerare, som var närvarande, körde och fungerade exakt som utformat.

Bruce Schneier gav oss vokabulären för detta redan 2009. Säkerhetsteater, skrev han, beskriver åtgärder som gör människor mer säkra utan att förbättra deras säkerhet. Känslan och verkligheten är olika saker, och de divergerar.

Sjutton år senare har AI industrialiserat divergensen, på båda sidor av ekvationen. AI-drivna säkerhetsverktyg säljs med funktioner de inte kan demonstrera under mätning, och säkerhetsverktyg för AI säljs som lösningar på ett problem som deras egen dokumentation medger är olöst. Gartners 2025 hype-cykel placerade AI-tillit, risk och säkerhetshantering vid toppen av inflacerade förväntningar. Analytikerna berättar för dig var vi är. Frågan är vad man ska göra åt det.

Klyftan mellan datasheet och mätning

Börja med vad som händer när någon testar distribuerade kontroller istället för att läsa deras marknadsföring.

Picus Blue Report 2025 analyserade mer än 160 miljoner verkliga attackssimulationer som kördes mot produktionsmiljöer under första halvåret 2025. Picus säljer simuleringplattformen, så väg källan därefter, men siffrorna är svåra att avfärda. Preventionseffektiviteten låg i genomsnitt på 62%, ner från 69% ett år tidigare. Trots loggnings täckning på 54% genererade endast 14% av de simulerade attackerna en varning. Angrepp med giltiga autentiseringsuppgifter lyckades 98% av gångerna. Och av de dataexfiltreringsförsök som simulerades blockades 3% av kontrollerna på plats.

3%. Detta är miljöer med moderna, ofta AI-märkta säkerhetsstackar, och exfiltreringstestet är det som mest direkt motsvarar vad en angripare vill göra.

De benchmarkpoäng som visas i leverantörsdeckarna förtjänar samma skepsis. När leverantörerna började hävda perfekta poäng på MITRE ATT&CK-utvärderingarna publicerade Forrester-analytikern Allie Mellen en påpekande påminnelse: utvärderingarna har inga vinnare eller förlorare, och 100%-påståendena vilar vanligtvis på orealistiska konfigurationer, utvalda subresultat eller upptäcktsinställningar som skulle begrava en riktig SOC i brus.

Inget av detta är nytt, vilket är den deprimerande delen. 2019 tog forskare på Skylight Cyber isär Cylances “rena AI”-antivirus genom att lägga till strängar från videospellet Rocket League till malwareprover, vända klassificerarens utlåtande på 100% av de tio viktigaste malwarefamiljerna för dagen och 83% av en bredare urvalsgrupp. Lektionen, att statiska maskinlärningsmodeller misslyckas mot motståndare som studerar dem, publicerades för sju år sedan. Marknadens svar var att leverera fler statiska maskinlärningsmodeller.

Vägträdsproblemet är värre

Om AI-drivna upptäcktsfunktioner översäljer, befinner sig verktygen som säljs för att säkra AI själva i en underligare position: standardiseringsorganet som definierar hotet säger att hotet kanske inte kan lösas.

Promptinjektion ligger på första plats i OWASP Top 10 för LLM-applikationer, och OWASPs egen vägledning är ovanligt rak: med tanke på modellernas stokastiska natur “är det oklart om det finns fullständigt säkra metoder för att förhindra promptinjektion.” Fine-tuning och RAG, tillägger den, mitigierar det inte fullständigt. Det är problemet som promptsköldmarknaden finns till för att lösa, beskrivet som möjligtvis olösligt av organisationen som katalogiserade det.

Den empiriska arbetet stöder pessimismen. Forskare vid Lancaster University och Mindgard testade sex produktionsvägträdsystem, inklusive Microsofts Azure Prompt Shield och Metas Prompt Guard, och uppnådde upp till 100% undvikande lyckande med hjälp av teckeninjektions- och adversarial perturbations-tekniker, samtidigt som de behöll de underliggande attackerna funktionella. HiddenLayer gick längre och publicerade en enda överförbar “Policy Puppetry”-promptmall som de säger kringgår varje större modell på marknaden. Det sistnämnda är leverantörsforskning och inte granskad, så behandla “alla” med försiktighet, men oberoende kanaler reproducerade de grundläggande påståendena.

Den mest trovärdiga vittnet har inget produkt att sälja. Storbritanniens AI-säkerhetsinstitut, som utvärderade fem ledande LLM, rapporterade att “alla modeller var mycket sårbara för våra grundläggande attacker”, med varje modell som lydde minst en gång på fem försök för nästan varje skadlig fråga när inhemska attacker applicerades. Grundläggande attacker. Inte nationell konst. En regeringsutvärderingskropp, som artigt noterar att kejsarens indatafilter har inga kläder.

Unite.AIs egen täckning har katalogiserat sårbarhetsklasserna och injektionsteknikerna i år. Inget av detta är hemligt. Det visas bara inte på datasidor.

Den farliga delen är känslan

Här slutar artikeln att vara retorisk. Om dessa verktyg bara underpresterade, skulle förlusten vara budgetmässig. Forskningen tyder på något värre: den tillförsikt de genererar förstör aktivt beteendet.

Säkerhetsforskare kallar det riskkompensation, eller Peltzman-effekten: skyddade människor tar fler risker. Förare med säkerhetsbälten kör snabbare. Och organisationer med AI-säkerhetsinstrumentbrädor, visar det sig, slutar göra de tråkiga sakerna.

Siffrorna stämmer obehagligt väl överens. Ciscos 2025 Cybersecurity Readiness Index, som undersökte 8 000 säkerhetsledare, fann att 86% av organisationerna hade upplevt ett AI-relaterat säkerhetsincident under de senaste tolv månaderna, medan endast 10% ansåg att AI var det svåraste de hade att skydda, och 60% medgav att de saknade insyn i hur anställda använder generativ AI över huvud taget. Incidenter nästan universella; oro, en avrundningsfel.

IBMs 2025 Cost of a Data Breach-rapport kompletterar bilden. Av de organisationer som utsattes för intrång i AI-modeller eller applikationer saknade 97% ordentliga AI-åtkomstkontroller. En av fem intrång spårades tillbaka till skugg-AI, vilket tillförde cirka 670 000 dollar till den genomsnittliga intrångskostnaden, och 63% av de inträngda organisationerna hade ingen AI-styrningspolicy alls. Läs dessa siffror tillsammans och ett mönster framträder: misslyckandena är tråkiga. I organisationer som saknade grunder, som kände sig täckta.

Instrumentbrädan fungerade inte fel. Den levererade sitt faktiska produkt, som var tillförsikt.

Vad den ärliga versionen ser ut som

Inget av detta hävdar att AI-säkerhetsverktyg är värdelösa, och det bästa motbeviset förtjänar lufttid. Anthropics konstitutionella klassificerare överlevde mer än 3 000 timmar av röd teamning av 183 forskare utan en universell jailbreak, vilket minskade jailbreak-lyckande från 86% på den oförsvarade modellen till 4,4%, till en kostnad av en 0,38-punkts ökning av över-avslag och cirka 24% beräkningsöverklagande. Sedan körde Anthropic en offentlig utmaning, och av 339 deltagare klarade fyra alla nivåer och en hittade en fungerande universell jailbreak ändå.

Det är den ärliga formen på hela fältet i ett resultat: en välbyggd vägträdsökning ökade angriparens kostnad enormt, bar en mätbar skatt och föll ändå för en tillräckligt bestämd människa. Om jag måste komprimera den här artikeln till en inköpsprincip, är det detta: en kontroll som säljs som en kostnadsökare med publicerade felmoder är värd att utvärdera; en kontroll som säljs som ett löst problem säljer dig känslan.

Kontroll eller trösteobjekt: tre frågor

Du kan skilja en från den andra utan en forskningsbudget. Tre frågor, ställda till varje AI-säkerhetsverktyg du äger eller är på väg att köpa.

Vad är dess uppmätta bypass-takt i min miljö? Inte leverantörens benchmark. Din. Kontinuerlig validering och lila teamövningar finns till för att, som Picus-data visar, distribuerade kontroller glider mot misslyckande tyst. Ett nummer du inte har mätt är ett nummer du tar på tro.

Vad händer när det misslyckas? Inte om. OWASPs praktiska vägledning pekar samma riktning som varje incident ovan: minst-privilegierad åtkomst för modeller, mänskliga godkännandegränser för känsliga åtgärder och segmentering som antar att filtret så småningom kommer att släppa igenom något. EchoLeak var överlevnadsduglig för organisationer vars Copilot enkelt inte kunde nå något värt att stjäla.

Är leverantörens påstående ett faktum eller en hypotes? Även leverantörerna medger mer än deras datasidor gör. Vectras egen undersökning av 2 000 SOC-proffs, leverantörsforskning igen, fann att team kunde hantera endast 38% av varningsmeddelandena deras verktyg genererar, med 60% som sa att leverantörer säljer verktyg som skapar brus snarare än tydlighet, och hälften som kallade sin verktygsutrustning mer hinder än hjälp. När branschens egna kunder rapporterar det, “lita på datasidan” slutar vara en strategi.

Mönstret överlever lappningen

EchoLeak fixades i en Patch Tuesday. Mönstret det visade, en produktionsvägträdsfilter som försäkrade främre dörren medan attacken kom genom brevlådan, fixades inte, och forskningsposten ovan säger att det inte kommer att fixas snart.

Schneiers distinktion är sjutton år gammal och har aldrig varit dyrare att ignorera. Känslan av säkerhet är en produkt, och AI-eran säljer den i prenumerationsnivåer. Säkerhetsverkligheten är en mätning, och ingen kan sälja den till dig, för du måste gå och ta den.