IRONSCALES-rapport visar att AI-agenter blir ett nytt mål för nätfiske

Ett nätfiskemeddelande behöver inte längre övertyga den anställda som äger inkorgen. Det kan i stället rikta sig mot programvaran som läser inkorgen åt den anställda. Det är den centrala varningen i IRONSCALES nya rapport Från deepfakes till dubbelagenter: den nya bilden av AI-driven cyberrisk, som visar att företagens införande av verktyg som kan vidta åtgärder har gått snabbare än säkerhetskontrollerna kring dem.

I den Censuswide-undersökning som företaget beställde uppgav 77 % av de svarande att en AI-agent eller ett AI-verktyg på deras organisation hade agerat på skadligt, vilseledande eller obehörigt innehåll under det föregående året. En mindre, men ändå betydande, andel på 57 % rapporterade minst ett bekräftat fall. Siffrorna återger de svarandes rapporter om incidenter, inklusive misstänkta händelser i det högre totalantalet; de är inte en oberoende verifierad räkning av lyckade intrång.

Resultaten kommer samtidigt som en mer uppmuntrande utveckling: investeringarna i skydd mot deepfakes ökade, samtidigt som de rapporterade ekonomiska förlusterna blev mindre allvarliga. Sammantaget pekar resultaten på en praktisk utmaning för säkerhetsansvariga: att utöka skyddet till automatiserade beslutsfattare utan att överge de skydd som utformats för människor.

AI-agenter har tillgång till viktiga system

Censuswide undersökte 501 IT- och cybersäkerhetsspecialister i USA på mellanchefsnivå eller högre, som arbetade på företag med 1 000 till 10 000 anställda. Deltagarna var mellan 25 och 55 år, och fältarbetet genomfördes den 9–17 september 2026. Resultaten beskriver därför detta företagsurval, inte alla företag som använder AI.

I det här urvalet uppgav 96 % att deras organisationer använder AI-agenter eller verktyg som kan agera för de anställdas räkning, och 52 % beskrev användningen som utbredd. Rapporten använder en bred definition som omfattar verktyg som läser och besvarar meddelanden, får åtkomst till filer och utlöser arbetsflöden.

Bland organisationer som använder dessa verktyg tillåter 67 % åtkomst till ärendehanterings- eller supportsystem, 56 % till molnlagring och 49 % till e-post eller meddelandetjänster. Ytterligare 30 % tillåter åtkomst till system för ekonomi, fakturering, inköp eller betalningar. Endast 19 % uppgav att deras verktyg var begränsade till den offentliga webben, utan intern åtkomst.

Skillnaden mellan att besvara en fråga och att utföra en åtgärd får betydande konsekvenser. En felaktig sammanfattning kan vilseleda läsaren; ett verktyg som är anslutet till företagssystem kan också flytta information eller starta ett arbetsflöde. Vilka behörigheter verktyget har bidrar till att avgöra hur långt konsekvenserna av ett misstag kan nå.

Inkorgen är också en ingång för agenter

Bland de svarande som rapporterade en incident kopplad till en AI-agent uppgav 42 % att ett AI-verktyg hade sammanfattat eller agerat på ett skadligt e-postmeddelande eller annat meddelande. Ytterligare 41 % rapporterade att en angripare hade använt ett AI-verktyg vid nätfiske eller social manipulation. Kategorierna kan överlappa, och den andra omfattar angripares användning av AI, inte nödvändigtvis ett intrång i offrets egen agent.

Den nyansen är viktig. Undersökningen sammanför flera typer av AI-relaterade fel i en och samma bild; den visar inte att alla incidenter involverade samma angreppsteknik. Den visar ändå varför organisationer behöver granska både innehållet som agenterna tar del av och vilka åtgärder deras integrationer tillåter.

Ett användbart sätt att förstå risken är att skilja mellan information och befogenheter. Ett meddelande kan innehålla instruktioner, men att det hamnar i en inkorg innebär inte att instruktionerna är godkända. När programvara kan agera i flera anslutna system blir det en del av åtkomstkontrollen och utformningen av arbetsflöden att upprätthålla den gränsen.

IRONSCALES plattform för e-postsäkerhet speglar företagets fokus på denna ingång. Företaget beskriver ett API-baserat tillvägagångssätt som kombinerar AI-analys, automatiserad utredning och mänskligt framtagen hotinformation, tillsammans med nätfiskeövningar och skydd mot deepfakes för Microsoft Teams. Dessa funktioner ger en bild av forskningssponsorns perspektiv; den här undersökningen utvärderar inte oberoende hur effektiva företagets produkter är.

Godkännandeprocesser finns, men säkerhetsavdelningen leder dem sällan

Bland de 479 svarande vars organisationer använder AI-verktyg som kan vidta åtgärder angav 78 % IT-avdelningen som den främsta godkännaren av agenter, assistenter, pluginprogram och anslutningar. Bara 6 % angav säkerhetsavdelningen, medan 14 % beskrev godkännandet som gemensamt mellan flera grupper.

Att vara den främsta godkännaren är inte detsamma som att vara delaktig över huvud taget. Siffrorna visar inte att säkerhetsavdelningen utesluts från alla övriga godkännandeprocesser. De visar däremot att beslut om verktyg med betydande åtkomst vanligtvis leds av andra.

Bland organisationer som rapporterade en incident uppgav 39 % att en anställd hade gett ett AI-verktyg åtkomst som säkerhetsavdelningen inte skulle ha godkänt. Resultatet konkretiserar styrningsfrågan: Vem bedömer behörigheterna innan en anslutning aktiveras, och vem kan återkalla dem om verktyget beter sig oväntat?

Rapporten visar också på ett glapp mellan tilltro och genomförande. Även om 93 % uppgav att deras incidenthanteringsplaner omfattar AI-agenter och 84 % var säkra på att de kunde identifiera en AI-driven incident, beskrev bara 52 % att formella policyer, kontroller och incidenthanteringsprocesser alla fanns på plats. Ytterligare 35 % rapporterade att de hade policyer men begränsade tekniska kontroller.

Deepfakeförlusterna minskade, men hotet kvarstod

Resultaten om deepfakes ger en mer positiv jämförelse med Censuswides undersökning från 2025, som omfattade 500 respondenter med samma profil. Aktiva investeringar i försvarsåtgärder ökade från 37 % till 48 %. Bland organisationer som rapporterade ekonomiska förluster minskade andelen som förlorade minst 100 000 dollar från 63 % till 49 %, och andelen som förlorade 1 miljon dollar eller mer sjönk från 6 % till 3 %.

De uppskattade genomsnittliga förlusterna bland ekonomiskt drabbade organisationer sjönk från cirka 280 000 dollar till 225 000 dollar. Uppskattningarna bygger på mittpunkterna i de rapporterade förlustintervallen. Eftersom undersökningarna ställde frågor om förluster på olika sätt utesluter jämförelsen svar om inga förluster, osäkra svar och svar från personer som föredrog att inte svara.

Rapporten betonar uttryckligen att det faktum att högre investeringar och lägre förluster sammanfaller inte bevisar att det ena orsakade det andra. Incidenterna försvann inte heller: 84 % rapporterade minst en deepfake-relaterad incident, jämfört med 85 % år 2025. Definitionen är bred och omfattar allt från manipulerade bilder och förfalskade mejl till röst- och videoförfalskning i realtid.

Det finns också ett problem med konkurrerande prioriteringar. Andelen som betraktade skydd mot deepfakes som en högsta prioritet sjönk från 71 % till 60 %, samtidigt som AI som kan utföra handlingar skapar ytterligare ett anspråk på säkerhetsbudgetarna. De minskade förlusterna ger anledning att undersöka vad som fungerar, snarare än att anta att hotet är över.

Skydda handlingarna, inte bara samtalet

IRONSCALES rekommenderar att säkerhetsavdelningen involveras när agenter godkänns, att deras behörigheter begränsas och deras handlingar övervakas samt att incidenthanteringen testas med attacker riktade mot både anställda och agenter. Rekommendationerna knyter samman rapportens två teman: vilseledande innehåll är fortfarande farligt, men programvara som har behörighet att agera förändrar hur sådant vilseledande innehåll kan få konsekvenser.

För ett företagsteam innebär det att veta vilka agenter som finns, vilka system var och en kan komma åt och vilka åtgärder som kräver mänsklig granskning. Loggarna måste göra det möjligt att rekonstruera vad verktyget läste och gjorde. Testningen bör undersöka om ett meddelande från en otillförlitlig källa kan påverka ett godkänt arbetsflöde, i stället för att bara mäta om de anställda känner igen ett misstänkt mejl.

Rapportens främsta bidrag är redogörelsen för avståndet mellan införande, tillförsikt och implementerade kontroller. Läsarna kan ta del av enkätfrågorna, metodologiska förbehåll och rekommendationer i den fullständiga rapporten Från deepfakes till dubbelagenter: den nya bilden av AI-driven cyberrisk.