Från människa till hybrid: Inuti Exabeams rapport från 2025 om AI-drivad insider-risk

Risken har vänt inåt—and det förändrar arkitekturen

Om det främsta hotet är inifrån, är “mer brandvägg” inte svaret. Det handlar om identitet, åtkomst och beteende. Tänk kontinuerlig verifiering av vem som gör vad, med vilken data, och om mönstret är normalt. Regionalt sett behandlar de flesta marknader nu insiders som den primära oron; den största avvikaren är APJ (Asien-Stilla havet och Japan), där många fortfarande fruktar externa angripare mer. För ledare är den praktiska översättningen att fördela utgifterna mot:

• Starkare identitetskontroller (MFA som fungerar, riskbaserad åtkomst, minsta privilegier som faktiskt tillämpas).
• Data-medveten övervakning över SaaS, slutpunkter, lagring och e-post så att onormal rörelse är synlig.
• Beteendeanalys som lär sig normala mönster per person, team och system—and varnar för meningsfull avvikelse.

Den organisatoriska implikationen: säkerhets- och dataägare måste arbeta tillsammans. Om du inte kan svara på “vem rörde vid känslig data i veckan och var det typiskt för dem?” är du blind för den moderna intrångsvägen (komprometterat konto → tyst data-staging → snabb exfil).

AI har omdefinierat “insider”

Skugg-AI är den nya skugg-IT. Personal klistrar in kod, kontrakt, kundlistor eller prompter med känslig kontext i godkända modeller. Det är därför 76%-siffran är viktig: den betyder att detta inte är ett nischproblem. Behandla GenAI som privilegerad åtkomst—godkänn specifika verktyg, logga användning där lagligt, och förhindra att skyddade dataklasser (reglerad PII, affärshemligheter) någonsin kommer in i tredjepartsmodeller. Para ihop policy med aktivering: ge människor sanktionerade AI-alternativ så att de inte känner sig tvungna att gå rogue.

Det finns också en ny aktör på insidan: AI-agenter. Team kopplar agenter till arbetsflöden med riktiga autentiseringsuppgifter och API-nycklar. Dessa är “icke-mänskliga insiders”. De blir inte trötta, och de klagar sällan—tills de drar iväg. Det kräver två kontroller som chefer bör känna till:

• Omfång: varje agent behöver en ägare, ett tydligt jobb och minimala behörigheter.
• Observabilitet: varje agent förtjänar samma granskningslogg och avvikelseupptäckt som en människa får.

UEBA (User & Entity Behavior Analytics) är upptäckt som fokuserar på beteende, inte bara signaturer och chefer bör bli bekanta med detta. Det bygger en baslinje för varje användare eller enhet (inklusive botar, tjänstekonton och agenter) genom att lära:

• Tids-serie-normer: typiska inloggnings-tider, data-volymer eller destinationer.
• Peer-grupp-kontext: hur en finansiell analytiker beter sig jämfört med andra finansiella analytiker.
• Sekvens-mönster: ovanliga ordningar (t.ex. första gången VPN-inloggning → omedelbar behörighetsändring → bulk-nerladdning).
  När aktiviteten avviker från de inlärda mönstren, poängsätter UEBA risken och visar avvikelser. Tekniskt sett bygger detta på statistik och maskinlärande (oövervakade och semi-övervakade metoder) som trivs på loggdata utan att behöva perfekta etiketter. I vanligt språk: UEBA omvandlar högar av händelser till “är detta normalt för dem just nu?”

Stäng analys-gapet—and kultur-gapet

Här är den verkliga exponeringen: endast 44% av organisationerna använder UEBA trots att insider-risk är det nuvarande problemet. Samtidigt säger 74% av praktiker att chefer underskattar insider-hot. Det kulturella gapet bromsar rekrytering, verktyg och policy. Att stänga båda gapen ser ut så här:

Gör beteende till en första-klass-signal. Konsolidera identitet, slutpunkt, SaaS-admin, e-post och data-rörelse-loggar så att en person (eller agent) har en historia över system. Investera i korrelation före instrumentpaneler. Om SOC inte kan sy ihop identitet över verktyg, kommer de att missa tyst missbruk och långsam exfiltration.

Balansera sekretess med upptäckt—genom design. Det vanligaste hindret för insider-program är sekretess-motstånd. Lös det med syfte-begränsad analys, roll-baserad åtkomst till telemetri, tydliga kvarhållningsfönster och transparent dokumentation av vad du analyserar och varför. Om det görs rätt, möjliggör sekretess-räcken starkare upptäckt eftersom de låser upp data-flödena som teamen behöver.

Mät resultat, inte verktygs-räkning. Chefer bör fråga efter tre siffror varje månad:

1. Tid till upptäckt av onormalt beteende
2. Tid till inneslutning av insider-incidenter
3. Procent av incidenter som upptäckts av beteendeanalys jämfört med tur eller efter-fakta-revisioner.

Knyt budgeten till förbättring av dessa mått, inte till hur många punkt-produkter som “distribueras”.

Behandla GenAI som ett produktions-system. Etablera tillåtna listor, röd-linje-data-kategorier och loggning för prompter och utdata där lagligt. Ge produkt och juridik en plats vid bordet så att “flytta snabbt” aldrig betyder “spraya data i svarta lådor”.

Baslinje alla och allt. Människor, tjänstekonton, RPA-skript och AI-agenter får var och en sin egen baslinje. Du letar efter avvikelse—ny data som rördes, ovanliga tider på dagen, konstiga destinationer eller sekvenser som inte matchar jobbet som ska utföras.

Sammanfattning

Från Från människa till hybrid: Hur AI och analysgapet driver insider-risk är mer än en ögonblicksbild av dagens risker—det är en förhandsvisning av vart säkerhet måste gå nästa. Insider-hot, förstärkta av AI, är inte längre undantag utan den grundläggande antagandet. För CISO:er och VD:ar betyder vägen framåt att skifta från perimeter-försvar till identitets-centrerade strategier, behandla GenAI med samma försiktighet som privilegerad åtkomst, och ge både människor och AI-agenter sina egna beteendebaslinjer. De organisationer som lyckas kommer att vara de som unifierar telemetri, antar resultat-drivna mått och anpassar ledarskap med verksamhet. I den meningen är Exabeams rapport mindre en varning och mer en handbok för att bygga motståndskraft i en AI-definierad framtid.