En planterad kommentar räcker – så kapas ditt AI-verktyg utan att du rör ett finger
En enda kommentar på sociala medier räcker för att kapa din AI-assistent och sprida nätfiske.
När AI-agenten blir angriparens verktyg
Föreställ dig att du ber din AI-assistent att hjälpa dig sortera inkorgen. I bakgrunden läser agenten ett till synes harmlöst e-postmeddelande – och i samma stund skickar den nätfiskemeddelanden till alla dina kontakter på WhatsApp. Du har inte klickat på någonting. Du har inte ens märkt att något hänt.
Det är inte ett hypotetiskt scenario. Det är exakt vad säkerhetsföretaget Zenity har demonstrerat i verkliga tester mot ChatGPT Atlas från OpenAI och Claudes Chrome-tillägg från Anthropic, enligt SecurityWeek. Tekniken kallas indirekt kommandoinjektion – dolda instruktioner smugglas in i vanligt innehåll som AI-agenten bearbetar, och eftersom agenten agerar autonomt i en redan inloggad webbläsarsession kan konsekvenserna bli alarmerande omfattande.
En kommentar på X räcker
I Zenitys demonstrerade angrepp mot ChatGPT Atlas räckte det med en enda planterad kommentar i en tråd på X för att styra om agenten. I ett scenario omdirigerades agenten till WhatsApp Web, läste offrets kontaktlista och skickade nätfiskemeddelanden till samtliga kontakter. I ett annat manipulerades agenten att lägga till varor i en Amazon-varukorg och byta leveransadress till angriparens – och när spärren mot att klicka på köpknappen hindrade agenten, instruerade den i stället Amazons egna AI-assistent Rufus att slutföra köpet.
Det är nästan imponerande i sin förfärlighet. Angriparen behöver inte infiltrera några system, knäcka några lösenord eller ens ha direkt kontakt med offret. Det räcker med ett inlägg i ett kommentarsfält.
Problemet är strukturellt – och det är det allvarliga
Zenity informerade OpenAI om fynden redan i januari 2026, men enligt SecurityWeek finns ingen enkel lösning. Och det är kärnproblemet: angreppen utnyttjar inte en bugg – de utnyttjar en funktion. AI-agenten bryter mot webbläsarens grundläggande skyddsmekanism för ursprungskontroll just därför att den är designad att verka sömlöst över flera inloggade flikar och tjänster samtidigt. Det är precis det som gör den användbar. Det är också precis det som gör den sårbar.
Det påminner om en insikt som Edna Conway – en av cybersäkerhetsbranschens mest erfarna röster med över fyra decenniers erfarenhet – lyfter fram i SecurityWeeks poddcast: regelefterlevnad och checklistor räcker inte. Organisationer måste bygga verklig motståndskraft, inte bara uppfylla minimikrav. Den principen gäller nu minst lika mycket för AI-plattformar som för traditionell IT-infrastruktur. Att en AI-agent är certifierad eller godkänd säger ingenting om hur den beter sig när den utsätts för avsiktligt fientligt innehåll.
Vad gör bolagen?
Varken OpenAI eller Anthropic har presenterat några konkreta åtgärder som löser grundproblemet. Det är förståeligt – men inte tillräckligt. När AI-agenter i allt högre grad får tillgång till e-post, kalender, bankärenden och sociala medier på våra vägnar, måste säkerhetsarkitekturen växa i takt med förmågan. I dag springer kapaciteten ifrån skyddet.
Det vore orättvist att bara peka finger mot AI-bolagen. Samma mönster har setts på mobilsidan: säkerhetsforskarna Dimitrios Valsamaras och Ken Gannon visade vid hackningstävlingen Pwn2Own hur en kedja av sårbarheter i Samsungs egna appar – via röstassistenten Bixby – kunde ge angripare kontroll på systemnivå över en Galaxy S25, enligt SecurityWeek. Komplex, sammankopplad programvara skapar attackytor som ingen enskild part har full överblick över.
Vad bör du som användare göra?
Svaret är inte att sluta använda AI-verktyg. Det vore som att sluta använda internet efter att ha läst om en nätfiskeattack. Däremot finns det skäl att vara medvetet selektiv med vilka behörigheter du ger dina AI-agenter – och att inte ge dem tillgång till mer än de faktiskt behöver för uppgiften. Principen om minsta möjliga behörighet är lika giltig för AI-agenter som för mänskliga medarbetare.
De bolag och organisationer som redan nu börjar ställa de rätta frågorna – Vad kan vår AI-agent göra? Vad bör den kunna göra? Vad händer om den manipuleras? – kommer att vara bättre rustade när fler angrepp av den här typen synliggörs. Och de kommer att synliggöras. Det är bara en tidsfråga.
Vår analys
Det som Zenity har demonstrerat är inte en isolerad bugg som kommer att patchas bort i nästa uppdatering. Det är ett designproblem inbyggt i hela idén om autonoma AI-agenter – och det ställer en fundamental fråga om hur vi balanserar förmåga mot säkerhet.
Jag ser AI-agenter som en av de mest transformativa teknologierna vi har framför oss. Men transformation utan säkerhetsarkitektur är inte framsteg – det är riskexponering i ny förpackning. Det glädjande är att problemen identifieras av ansvarsfulla säkerhetsforskare nu, medan tekniken fortfarande är ung. Det ger bolagen ett fönster att agera proaktivt.
Vart leder detta? Sannolikt mot ett nytt skikt av AI-specifik säkerhetsteknik – verktyg som analyserar vad en AI-agent faktiskt gör i realtid, inte bara vad den säger att den gör. De bolag som investerar i den infrastrukturen tidigt kommer att vinna användarnas förtroende. Och förtroende, i AI-eran, är den enskilt viktigaste konkurrensvariadeln.