Den dolda hotet från AI-agenter kräver en ny säkerhetsmodell

Agenta AI-system har blivit allmänt accepterade under det senaste året. De används för flera funktioner, inklusive autentisering av användare, överföring av kapital, utlösning av regelefterlevnadsarbetsflöden och samordning över företagsmiljöer med minimal mänsklig övervakning.

En tystare problem dyker dock upp med den ökande autonomin, inte på nivån för prompter eller policys, utan på nivån för infrastrukturtrust. Agenta system ges insidermyndighet medan de fortfarande körs på beräkningsmiljöer som aldrig var designade för att skydda autonoma beslutsfattare från infrastrukturen under dem.

Traditionell säkerhet antar att programvara är passiv, men agenta system är det inte. De resonrar, minns och agerar kontinuerligt, autonomt och med delegerad myndighet.

Det ska inte glömmas att AI-agenter sannolikt kommer att ha tillgång till personuppgifter, baserat på deras användningsfall, såsom e-post och telefonsamtal, bland annat.

Dessutom, medan hårdvarubaserade skydd, såsom konfidentiella virtuella maskiner och säkra enklaver, existerar, är de inte ännu den standardmässiga grunden för de flesta agenta AI-distributioner. Som ett resultat kör många agenter fortfarande i miljöer där känslig data exponeras för den underliggande infrastrukturen under körning.

Agenter är insiders, inte verktyg

Säkerhetsteam vet redan hur utmanande det är att innesluta insiderhot, ett problem som belyses i Verizon’s 2025 dataintrångsrapport, som visar att systemintrång var ansvarigt för mer än 53% av bekräftade intrång förra året. I 22% av dessa fall använde angriparna stulna autentiseringsuppgifter för att få tillgång, vilket visar hur ofta de lyckas med att använda legitima identiteter istället för att utnyttja tekniska brister.

Tänk nu på en agent, som består av promptlogik, verktyg och plugins, autentiseringsuppgifter samt policys. Den kan inte bara köra kod och bläddra på webben, utan kan också fråga CRM, läsa e-post och skicka biljetter, bland många andra saker. Vad kombinationen av funktioner har medfört är traditionella angreppsytor i en modern gränssnitt.

Faran som sådana insiderhot utgör är inte spekulativ. The Open Web Application Security Project (OWASP) listar nu “Prompt Injection” som en kritisk sårbarhet för LLM-applikationer, och noterar dess särskilda fara för agenta system som kedjar åtgärder. Microsofts Threat Intelligence-team har också publicerat råd som varnar för att AI-system med verktygsåtkomst kan kapas för att utföra datastöld om säkerhetsåtgärder inte är arkitektoniskt påtvingade.

Dessa rapporter ger en lämplig påminnelse om att agenter som har legitimitet för system och data kan vändas mot sina ägare. Men risklandskapet för agenta system är inte enhetligt. Applikationslagershot som promptinjektion och verktygsmissbruk härrör från modellens oförmåga att skilja på trovärdiga instruktioner och obehörig användarindata, en designbegränsning som ingen mängd minnesförstärkning kan åtgärda.

Ett annat och lika viktigt problem finns på infrastrukturnivån: vissa agenter kör i klartextminne, vilket innebär att känslig information – som chatsamtal, API-svar och dokument – kan ses medan den bearbetas och kan förbli tillgänglig senare. OWASP identifierar denna risk som Sensitive Information Disclosure (LLM02) och System Prompt Leakage (LLM07) och föreslår att man använder kontextisolering, namnområdessegmentering och minnessandboxning som viktiga säkerhetsåtgärder.

Användare bör inte behandla dessa agenter som bara vanliga applikationer, med tanke på att de är dynamiska, resonande exekverare som kräver en säkerhetsmodell som tar hänsyn till deras unika natur som icke-mänskliga entiteter med myndighet. Denna strategi måste omfatta både programvarukontroller för att begränsa hur modellen agerar och hårdvaruskydd för att hålla data säker medan den används.

Arkitekturen för tillit har en kritisk brist

Nuvarande säkerhetspraxis fokuserar på att skydda data i vila och under överföring. Den sista fronten, data i användning, förblir nästan helt exponerad. När en AI-agent resonrar över en konfidentiell datamängd för att godkänna ett lån, analysera patientjournaler eller utföra en transaktion, är data vanligtvis dekrypterad och bearbetad i klartext inom serverns minne.

I standardmolnmodeller kan vem som helst med tillräcklig kontroll över infrastrukturen, inklusive hypervisormiljöer eller co-tenant-angripare, potentiellt titta på vad som händer medan en arbetsbelastning körs. För AI-agenter är denna exponering särskilt farlig, eftersom de behöver tillgång till känslig information för att utföra sina jobb, vilket kan potentiellt bli angreppsytor.

Som Lumia Security visade, kan angripare med tillgång till en lokal maskin hämta JWT och sessionsnycklar direkt från processminnet för ChatGPT, Claude och Copilot-skrivbordsapplikationer. Dessa stulna autentiseringsuppgifter kan låta dem utge sig för att vara en annan användare, stjäla samtalshistorik och injicera prompter i pågående sessioner som kan ändra agentbeteende eller plantera falska minnen.

Ett exempel på detta kan vara AWS CodeBuilds minnesdump-incident i juli 2025. Angriparna lade till skadlig kod i ett projekt i hemlighet, och när systemet körde den, tittade koden in i datorns minne och stal dolda inloggnings-token som lagrades där. Med dessa token kunde angriparna ändra projektets kod och potentiellt få tillgång till andra system.

För finansiella institutioner är den tysta manipulationen existentiell. Banker, försäkringsbolag och investeringsföretag absorberar redan genomsnittliga intrångskostnader på över 10 miljoner dollar, och de förstår att integritet är lika viktig som konfidentialitet. Enligt en nylig Informatica-rapport förklarades “tillitsparadoxen” så här: organisationer distribuerar autonoma agenter snabbare än de kan verifiera deras utdata. Resultatet är automatisering som kan förhärda fel eller partiskhet direkt in i kärnprocesser, som fungerar i maskinhastighet.

Konfidentiell databehandling och fallet för isolering

Inkrementella lösningar kommer inte att lösa problemet, även om strängare åtkomstkontroller och bättre övervakning kan hjälpa. Men varken kan ändra det underliggande problemet. Problemet är arkitektoniskt, och så länge som beräkning sker i exponerat minne, kommer agenter att vara sårbara i ögonblicket de betyder mest, vilket är resonemang.

Konfidentiell databehandling, definierad av Confidential Computing Consortium (CCC) som skydd av data i användning via hårdvarubaserade Trusted Execution Environments (TEEs), adresserar direkt den grundläggande bristen.

För AI-agenter är denna hårdvarubaserade isolering omvandlande, eftersom den tillåter en agents identitetsautentiseringsuppgifter, dess modellvikter, proprietära prompter och den känsliga användardata den bearbetar att förbli krypterade, inte bara på en disk eller över ett nätverk, utan aktivt i minnet under körning. Separationen bryter definitivt det traditionella modellen där kontroll över infrastrukturen garanterar kontroll över arbetsbelastningen.

Fjärrautentisering tillhandahåller kryptografiska bevis för att en specifik inferensbegäran kördes inom en hårdvarubaserad trusted execution environment, antingen det är en CPU eller GPU. Beviset genereras från hårdvarumätningar och levereras tillsammans med svaret, vilket möjliggör oberoende verifiering av var och hur arbetsbelastningen kördes.

Autentiseringsposter avslöjar inte den kod som kördes. Istället är varje arbetsbelastning associerad med en unik arbetsbelastnings-ID eller transaktions-ID, och TEE-autentiseringsposten är länkad till den identifieraren. Autentiseringen bekräftar att beräkningen kördes inom en pålitlig miljö utan att avslöja dess innehåll.

Konfigurationen skapar en ny bas för regelefterlevnad och granskning, vilket möjliggör länkning av en agents åtgärder till en specifik version av kod som har autentiserats och en känd uppsättning indata.

Mot ansvarsfull autonomi

Implikationerna för systemet beskrivet ovan sträcker sig bortom grundläggande säkerhet. Tänk på lagarna som styr finans, hälsovård och personuppgifter. Många jurisdiktioner tillämpar datasuveränitetsregler som begränsar var information får bearbetas. I Kina kräver Personuppgiftsskyddslagen och Dataskyddslagen att vissa kategorier av data, viktiga personuppgifter, till exempel, lagras inom landet och granskas innan de överförs utomlands.

På liknande sätt har flera Gulfstater, som Förenade Arabemiraten och Saudiarabien, antagit liknande tillvägagångssätt, särskilt för finansiell, regerings- och kritisk infrastrukturdatabehandling.

Konfidentiell databehandling kan stärka säkerhet och granskning genom att skydda data medan den bearbetas och möjliggöra autentisering av körningsmiljön. Men den ändrar inte var bearbetning sker. Där datasuveränitetsregler kräver lokal bearbetning eller pålägger villkor för gränsöverskridande överföringar, kan Trusted Execution Environments stödja regelefterlevnadskontroller, men inte ersätta juridiska krav.

Dessutom möjliggör konfidentiell databehandling säker samverkan i multi-agentsystem, där agenter från olika organisationer eller inom olika avdelningar ofta behöver dela information eller validera utdata utan att exponera proprietär data.

Och när tekniken kombineras med en nolltillitsarkitektur, är resultatet en mycket starkare grund. Nolltillit validerar kontinuerligt identitet och åtkomst, medan konfidentiell databehandling skyddar hårdvarans minne från obehörig extraktion och förhindrar att känslig information återvinns i klartext.

Tillsammans försvarar de det som faktiskt betyder något, till exempel beslutslogik, känsliga indata och de kryptografiska nycklar som auktoriserar åtgärder.

Ny baslinje för autonoma system

Om varje interaktion utsätter människor för risk för exponering, kommer de inte att låta AI hantera saker som hälsojournaler eller fatta finansiella beslut. Likaså kommer företag inte att automatisera sina viktigaste uppgifter om det kan leda till regelefterlevnadsproblem eller förlust av viktig data.

Allvarliga byggare inser att applikationslagerslösningar ensamma är otillräckliga i högtillförlitliga miljöer.

När agenter anförtros med finansiell myndighet, reglerad data eller samordning mellan organisationer, blir infrastruktur-exponering mer än en teoretisk oro. Och utan konfidentiell körning i sådana sammanhang, förblir många agenter ett mjukt mål, med stjälbart nyckel och formbart logik. Storleken på moderna intrång visar exakt vart den vägen leder.

Integritet och konfidentialitet är inte valfria funktioner som kan läggas till efter distribution. De måste arkitektoniskt utformas från silikon och uppåt. Därför, för att agenter ska kunna skalas säkert, kan hårdvarubaserad konfidentialitet inte ses som enbart en konkurrensfördel, utan som en baslinje.