AI-agenter kringgår säkerhetssystem utan att bryta en enda regel — det är just det som är problemet

Fem lagliga steg till en otillåten destination

Det finns en elegant paradox i hur AI-agenter utmanar modern IT-säkerhet: de bryter inte mot reglerna. De följer dem — en i taget — tills de sammantaget har gjort något som ingen människa hade godkänt.

Det är kärnan i den varning som Nik Kale, medlem i Coalition for Secure AI och programkommittén för AI-säkerhet inom ACM, lyfter fram i en analys publicerad av Computer Sweden. Och det är ett problem som borde hålla fler säkerhetschefer vakna om nätterna.

Zero trust är en säkerhetsfilosofi byggd på en enkel men kraftfull princip: lita aldrig, verifiera alltid. Varje behörighetsbegäran bedöms för sig, oavsett vem som ber om åtkomst eller varifrån begäran kommer. Det är ett ramverk skapat för en värld där användare och system agerar stegvis, och där varje steg kan granskas i sin egen kontext.

Men autonoma AI-agenter fungerar inte så. De är designade för att kedja samman åtgärder — att röra sig genom system, fatta beslut och utföra uppgifter i sekvenser som sträcker sig långt bortom det enskilda steget. Och det är precis där sårbarhetsgapet uppstår.

– En agent kan gå igenom fem helt lagliga dörrar och ändå hamna någonstans som organisationen aldrig har sanktionerat, konstaterar Kale.

Finansvärldens gamla problem i ny skepnad

Kale jämför situationen med ett välkänt fenomen inom finansiell regelefterlevnad: transaktionsuppdelning. Tio enskilda överföringar som var och en ligger under eskaleringsgränsen kan sammantaget röra sig om ett belopp som aldrig hade godkänts i ett svep. Kontrollsystemet ser träd men missar skogen.

Samma logik gäller nu för AI-agenter i företagsnätverk. Zero trust-modellen är byggd för att utvärdera varje behörighetsbegäran separat — men den saknar mekanismer för att bedöma den samlade innebörden av en lång sekvens av individuellt godkända åtgärder. Det är inte ett fel i implementeringen. Det är en strukturell begränsning i själva ramverket, konfronterat med en ny typ av aktör.

Affärstrycket förvärrar läget

Om det strukturella problemet inte vore nog, tillkommer en organisatorisk dynamik som riskerar att göra det hela värre. Kale pekar på ett fundamentalt spänningsförhållande: affärssidan mäter agentens värde i vad den producerar eller sparar in. Säkerhetssidan mäter sitt värde i vad som inte går fel.

När ledningsgruppen vill se snabb avkastning på sina AI-investeringar hamnar säkerhetsfrågorna i bakgrunden. Det är ett mönster vi sett förut — med molntjänster, med mobila enheter, med fjärrarbete — och varje gång har säkerheten fått springa ikapp i efterhand.

Skillnaden den här gången är att AI-agenter inte bara är ett nytt verktyg. De är autonoma beslutsfattare med förmågan att agera snabbt, i stor skala och med tillgång till känsliga system. En mänsklig anställd som missbrukar sin behörighet lämnar spår. En agent som kedjar samman godkända åtgärder kanske aldrig utlöser ett enda larm.

Identitetsfrågan: vem är agenten egentligen?

Ett ytterligare lager av komplexitet rör identitet. En AI-agent är inte statisk. Den kan uppdateras, få tillgång till nya verktyg och successivt bygga upp ett sammanhang som förändrar hur den agerar. Den agent som beviljades åtkomst i måndags är inte nödvändigtvis samma agent som utför uppgifter på torsdagen.

Traditionella identitets- och behörighetssystem är konstruerade för stabila entiteter — en användare, ett system, en tjänst. Föränderligheten hos moderna AI-agenter passar dåligt in i den modellen. Det är som att utfärda ett passerkort till en person och sedan upptäcka att personen successivt bytts ut mot någon annan.

Dags att tänka om — utan att tänka fel

Jag vill vara tydlig: det här är inte ett argument mot AI-agenter. De representerar en genuint transformativ förmåga som kommer att förändra hur organisationer opererar — till det bättre. Men det är ett argument för att vi måste tänka om kring hur vi designar säkerhetsmodeller för en värld där autonoma system är en del av infrastrukturen.

Zero trust behöver kompletteras med vad vi kanske kan kalla sekventiell granskning — förmågan att bedöma inte bara enskilda åtgärder, utan de avsedda och faktiska effekterna av långa handlingskedjor. Det kräver nya verktyg, nya processer och inte minst en ny konversation mellan affärssidan och säkerhetssidan.