Diskussionen om AI i cybersäkerhet har passerat en tröskel. När Claude Mythos lanserades i våras handlade samtalet om vad modellerna kunde göra. Ett halvår senare är den frågan i stort sett besvarad: de kan mycket, och de blir bättre i en takt som få hade räknat med.
Den fråga som nu spelar roll är en annan. Hur behåller vi kontrollen över system som kan skriva kod, köra verktyg och arbeta självständigt i timmar utan att tröttna?
Mikael Eriksson, som leder Ethical Hacking på Orange Cyberdefense, höll nyligen en dragning på just det temat. Här är de insikter från den som vi tror att alla som arbetar med säkerhet behöver förhålla sig till.
Modellen är hjärnan, harnessen är kroppen
Vi pratar gärna om modeller: vilken leverantör, vilken version, vilken benchmark. Men modellen avgör bara en del av vad ett AI-system faktiskt kan åstadkomma.
Mikael Eriksson beskriver det som att modellen är hjärnan och harnessen är kroppen. Harnessen är ramverket runt modellen: verktygen den får anropa, miljön den kör i och hur den itererar mot ett mål. Samma modell presterar märkbart sämre i en neutral harness än i den som labbet självt byggt. Frontierlabben tävlar alltså inte längre bara i modeller, utan i hur de paketerar dem.
Till det kommer två faktorer till: resurser och behörigheter. Mer tokens, mer tid och bättre hårdvara ger bättre resultat. Och det en modell får röra avgör vad den kan göra, på gott och ont.
För säkerhetsarbetet är det här en viktig förskjutning. Riskbedömningen kan inte stanna vid vilken modell som används. Den måste omfatta hela systemet: modell, ramverk, verktyg, data och behörigheter.
Tre samtal som inte ska blandas ihop
En av de mest användbara poängerna i dragningen är också den enklaste. När vi pratar om "AI och säkerhet" klumpar vi ihop tre helt olika frågor:
- AI hos hotaktörer – hur angripare använder AI för att hitta, prioritera och utnyttja svagheter.
- AI för säkerhet – hur försvarare använder AI för att upptäcka, verifiera och åtgärda.
- Säkerhet för AI – hur vi skyddar de AI-system vi själva bygger och inför.
De tre kräver olika kompetens, olika ägare och olika beslut. Att hålla dem isär är inte pedanteri. Det är förutsättningen för att diskussionen i en ledningsgrupp ska landa i något konkret i stället för i en allmän oro.
Hotbilden: inte domedag, men lägre trösklar
Rubrikerna om Mythos har ibland fått det att låta som om varje sårbarhet nu hittas och utnyttjas automatiskt. Men Mikael nyanserar bilden på två sätt.
För det första är de mest avancerade frontier-modellerna dyra att köra i den skala som krävs, och de flesta hotaktörer har inte de resurserna. För det andra är det relativt få CVE:er som faktiskt kan härledas till Mythos-arbetet. En hittad sårbarhet är inte heller automatiskt exploaterbar; den kan vara skyddad på andra sätt.
Men det betyder inte att hotet är överdrivet. Det har bara en annan form än rubrikerna antyder:
- AI som hjälpmedel över hela attackkedjan. Angripare behöver inte automatisera allt. Att skriva exploits och proof-of-concepts går snabbare med AI.
- Smartare rekognosering. Att skanna nätet är inget nytt. Det nya är att en modell kan prioritera vilka mål och vilka svagheter som är mest värda att gå efter.
- En ny sorts uthållighet. Agenter tröttnar inte. Många små försök mot många mål blir billigt.
- Kostnadströskeln sjunker. Open weights-modeller har blivit så bra, och kvantisering så effektiv, att kapabla modeller kan köras på egen hårdvara. Det finns också tjänster som erbjuder modeller med borttagna skyddsräcken.
Mikael gjodee själv ett exxpriment över hur lågt ribban ligger. Med en standardinstallation av en kodagent och ett vanligt provkonto, en enkel instruktion att hacka en webbsida och en IP-adress, tog agenten sig hela vägen till root på servern. Ingen förberedelse, ingen mänsklig inblandning.
Agenten behöver inte vara perfekt. Den behöver bara vara tillräckligt bra och tillräckligt envis.
Försvaret: kortare exponeringstid och egen kapacitet
Samma egenskaper som gör AI användbart för angripare gör det användbart för försvarare. Den största vinsten ligger i att korta exponeringstiden, alltså tiden från att en svaghet finns till att den är åtgärdad.
AI hjälper redan till i hela kedjan från fynd till verifiering. Att reproducera ett fynd och bygga en fungerande proof-of-concept går betydligt snabbare. Det gör det lättare att skilja verkliga risker från teoretiska.
När det gäller patchning är bilden mer splittrad. Studier från i våras pekar åt olika håll, och vissa visar att modellerna kan introducera nya sårbarheter när de rättar gamla. Sedan dess har modellerna tagit stora kliv, så det är ett område värt att följa noga snarare än att dra slutsatser om.
Två praktiska poänger sticker ut:
- Utvecklingsagenten är redan en säkerhetsagent. Samma kodagent som skrev koden kan granska den. Att vända på flödet och be den leta svagheter i det som just byggts är en av de billigaste säkerhetsförbättringarna som finns.
- Försvaret kan behöva egen kapacitet. Kommersiella modeller kan vägra att arbeta med kod de bedömer som skadlig, även när syftet är att försvara sig. Eriksson nämnde ett fall där en organisation fick sin incidenthantering stoppad av just det skälet och fick byta till en lokalt körd modell. Den som är beroende av en enda leverantörs skyddsräcken i ett skarpt läge har en sårbarhet den kanske inte räknat med.
Här blir AI en fråga om leverantörsberoende och kontinuitet, inte bara om inköp. Leverantörer kan ändra hur en modell beter sig, prestandan kan variera över tid och nationella säkerhetsintressen kan påverka tillgången. Det här året har visat att det inte är ett hypotetiskt scenario.
AI som attackyta och som insider
Det tredje samtalet, säkerheten i våra egna AI-system, är kanske det mest underskattade. Varje AI-implementation är en ny attackyta, och några gamla problem har gjort comeback.
Shadow AI är det nya shadow IT. Ett nej i AI-policyn stoppar inte användningen, det driver den bara under radarn. AI är ett starkt verktyg och människor kommer att vilja använda det. Svaret är att bygga något som faktiskt fungerar, inte att förbjuda.
Snabb kod är inte automatiskt säker kod. När fler bygger egna appar med AI, utan en genomtänkt utvecklingsprocess, dyker klassiska fel upp igen. SQL-injektioner som många trodde var på väg bort börjar synas på nytt.
Hela ramverket kan attackeras, inte bara modellen. Agenternas minne kan förgiftas. Dokument i RAG-lösningar kan manipuleras så att en oskyldig fråga, som hur man återställer ett lösenord, ger ett svar med skadligt innehåll eller en länk till fel ställe. Till och med själva modellen kan vara förgiftad på ett sätt som är mycket svårt att upptäcka.
Agenten kan bli en insider. Den kanske viktigaste insikten: det krävs ingen angripare för att något ska gå fel. Kodagenter och liknande ramverk får ofta höga behörigheter för att vara användbara. En felformulerad instruktion räcker för att agenten ska agera på eget bevåg. Dumpade databaser och nya användarkonton som ingen bett om är inte teoretiska exempel. En agent som går över styr beter sig som en insider med nycklar till allt.
Fem frågor ledningen behöver kunna svara på
Inget av det här kräver en ny säkerhetsfilosofi. Det kräver att grunderna tillämpas på en ny sorts system: separera agenter, minsta möjliga behörighet, härdade miljöer och en stark säkerhetskultur. Eriksson sammanfattade det i fem frågor som varje organisation bör kunna besvara innan det blir kritiskt:
- Inventera. Vilka modeller och agenter används, till vad, och vet vi var de kommer ifrån?
- Begränsa. Vilka data och vilka verktyg får de komma åt, och var går de hårda gränserna?
- Kontrollera. Har vi faktiskt kontroll över dem, eller styrs beteendet av en leverantör som kan ändra det när som helst?
- Återskapa. Om en agent fattar ett beslut vi aldrig godkänt, kan vi rulla tillbaka och återställa?
- Ompröva. Stämmer säkerheten fortfarande med förmågan, nu när modellerna blivit bättre igen?
Den femte frågan är den som lättast glöms bort. En riskbedömning gjord i våras är redan inaktuell.
Från förmåga till styrning
Den vanligaste frågan Eriksson får från företag är vilken modell de ska välja. Det är begripligt, men det är fel startpunkt. Den bättre frågan är vad AI ska användas till, och vad det får röra.
Efter Mythos handlar det inte längre om vad AI är kapabelt till. Det handlar om hur vi kontrollerar det och säkrar upp det. AI kommer inte att försvinna, och det är ett kraftfullt verktyg för alla parter, angripare som försvarare.
De organisationer som klarar sig bäst blir inte de som har tillgång till den stärkaste modellen. Det blir de som vet exakt vilka system de kör, vad systemen får göra och vad som händer när något går snett.
Dragningen "No Time to Wait: Conquering Exposure & AI Challenges in Real Time" hölls av Mikael Eriksson, Business Area Manager Ethical Hacking på Orange Cyberdefense, under Orange Cyberdefense Live 2026 i Stockholm. Se hela dragningen på YouTube.