Är vår digitala ryggrad ihålig? Oparatchade säkerhetshål hos Cisco och AI som fabricerar fakta hotar kritisk infrastruktur
Otäppda säkerhetshål hos Cisco och opålitlig AI hotar kritisk digital infrastruktur.
Oparpade hål i Ciscos e-postsäkerhet
Det börjar med en klassisk mardröm för nätverksansvariga. Cisco meddelade i veckan att två säkerhetsbrister i produkten Secure Email har blivit offentligt kända — utan att några korrigeringar ännu finns tillgängliga. Sårbarheterna, spårade som CVE-2026-20354 och CVE-2026-20355, rör funktionen för krypterad e-post enligt standarden S/MIME. Enkelt förklarat: den kryptering som ska skydda din affärskommunikation kan i praktiken kringgås.
Bristerna beror på otillräcklig kontroll av meddelandenas integritet, vilket öppnar för en så kallad man-i-mitten-attack. En angripare som lyckas positionera sig rätt i nätverkstrafiken kan alltså avlyssna och manipulera kommunikation som borde vara låst bakom kryptering. Alla enheter som kör AsyncOS version 16.5.0 eller tidigare med S/MIME aktiverat är sårbara, rapporterar SecurityWeek.
Som om det inte vore nog meddelade Cisco också allvarliga brister i operativsystemet IOS XR och i Nexus 9000-serien — nätverksbrytare som sitter i ryggraden på en stor del av världens företagsnätverk. Två av bristerna i IOS XR fick toppbetyget 9,8 av 10 på den internationella sårbarhetsskalan CVSS. Det handlar om minnessäkerhetsproblem och otillräcklig åtkomstkontroll som kan möjliggöra fjärrstyrning av drabbade system. Dessa har åtgärdats med uppdateringar, men det faktum att en så central leverantör har sådana hål i sin portfölj är en viktig påminnelse om att infrastruktur vi tar för given sällan är så stabil som vi hoppas.
AI som inte kan granska sanningen
Parallellt med nätverksproblemen landar det forskning som ger en mer grundläggande oro för AI-drivna system. Forskare har lanserat ett riktmärke kallat HalluPeer, specifikt utformat för att mäta hur ofta AI-assistenter fabricerar fakta i vetenskapliga granskningstexter. Resultaten, baserade på experiment med 12 000 artiklar och 38 000 granskningar, är nedslående läsning.
De befintliga verktygen för att upptäcka sådana fabriceringar har svårt att skilja dem från legitim kritik. Det är ett problem i sig — men det som verkligen borde få oss att stanna upp är att de identifierade felaktighetsmönstren faktiskt förekommer i verkliga granskningar. AI-hallucinationer är alltså inte ett teoretiskt problem begränsat till testmiljöer. De läcker redan in i akademisk praktik.
Som systemutvecklare kan jag inte låta bli att tänka på vilken sårbarhet det skapar när vi lägger vetenskaplig kvalitetssäkring i händerna på system som med övertygande ton kan leverera påhittad fakta. Problemet är inte att AI är dum — det är att den är övertygande även när den har fel.
Personuppgiftsskyddet brister i verkligheten
Den tredje oroande nyheten denna vecka kommer från forskning om automatiska system för att identifiera och skydda personuppgifter. Resultaten är tydliga: systemen presterar väl i kontrollerade tester, men skyddet försämras kraftigt när de möter verklig, rörig data.
Forskarna testade tre vanliga systemtyper — regelbaserade, maskininlärningsbaserade och stora språkmodeller — mot sju kategorier av realistiska störningar. Alla tre typer uppvisade kraftig försämring, men på olika sätt. Regelbaserade system trasslar in sig i icke-standardiserade format. Språkmodeller förväxlar olika typer av personuppgifter och uppvisar instabilitet. Slutsatsen är besk men viktig: de prestandamått vi förlitar oss på döljer kritiska svagheter som kan leda till integritetsintrång i praktiken.
Forskarna föreslår en kombinerad lösning med en återkopplingsloop för att löpande minska riskerna, och de släpper sitt testramverk fritt — ett välkommet bidrag som förhoppningsvis kan lyfta branschstandarden för hur vi utvärderar dessa system.
Tre problem, ett mönster
Det är lätt att läsa dessa tre nyheter som separata händelser. Men sätter man ihop dem framträder ett tydligare mönster: vi bygger snabbt, och vi testar ofta under för välordnade förhållanden. Cisco levererar nätverkslösningar som världens företag litar livet på — och ändå hittas kritiska hål som inte är åtgärdade när de blir offentliga. AI-system sätts i tjänst för vetenskaplig granskning och dataskydd — och ändå brister de systematiskt när verkligheten är lite rörigare än träningsdatan.
Det är inte ett skäl att backa från tekniken. Det är ett skäl att bygga bättre.
Vår analys
De här tre nyheterna pekar tillsammans mot en strukturell mognadsfråga för teknikbranschen. Vi är duktiga på att mäta systemprestanda under ideala förhållanden — men verkliga miljöer är aldrig ideala. Det gäller Ciscos nätverksprogramvara lika mycket som AI-modeller tränade på välrensat data.
Den goda nyheten är att forskarvärlden tar problemet på allvar. HalluPeer-riktmärket och det fritt tillgängliga testramverket för personuppgiftsskydd är precis den typ av öppen infrastruktur vi behöver för att driva branschen framåt. Öppenhet om brister är alltid bättre än att låtsas att de inte finns.
Min spaning: den närmaste tidens viktigaste arbete inom AI-säkerhet handlar inte om att bygga mer kraftfulla modeller, utan om att bygga bättre utvärderingsmetoder — metoder som testar system under de förhållanden de faktiskt möter. Där har forskarsamhället tagit ett viktigt steg denna vecka. Nu gäller det att industrin följer efter.