Kan en maskin hålla militärens hemligheter? DARPA låter AI granska försvarsappar
DARPA låter självständig AI granska militärens hemliga källkod efter säkerhetsbrister.
När AI blir vaktpost för nationell säkerhet
Det finns ögonblick när en enskild upphandling säger mer om riktningen för en hel bransch än hundra konferenstal. DARPAs beslut att anlita säkerhetsföretaget Xint för att använda AI-driven programsäkerhetsgranskning av militärens meddelandeappar är ett sådant ögonblick.
Enligt SecurityWeek handlar uppdraget om att analysera källkod i populära meddelandeprogram — däribland Signal — men också kompilerade binärfiler som inte är direkt läsbara för mänskliga granskare. Xints teknik bygger på de senaste stora språkmodellerna och kan till och med bakåtkompilera binärfiler för att nå komponenter som annars vore dolda. Det är en kapacitet som tidigare krävt ett stort team av erfarna säkerhetsforskare och veckor av arbete. Nu sker det automatiserat, systematiskt och i skala.
Xint: Från tävlingsvinnare till försvarsuppdrag
Xint är ingen slumpmässig aktör. Företaget, som växte fram ur cybersäkerhetsföretaget Theori, tog sig till toppen i DARPAs tvååriga tävling Artificial Intelligence Cyber Challenge — med en total prispott på 29,5 miljoner dollar. Att gå från tävlingssegrare till faktiskt försvarsuppdrag är en snabb och välförtjänt resa.
Det är värt att påminna sig om vilket sällskap DARPA befinner sig i historiskt. Samma organisation har tidigare bidragit till ARPANET — föregångaren till internet — liksom GPS och röstassistenten Siri. När DARPA satsar på en teknik brukar det ha långsiktiga konsekvenser långt utanför den ursprungliga tillämpningen.
Tredjepartsbibliotek: Den dolda risken
Andrew Wesie, teknisk chef och medgrundare på Xint, sätter fingret på en av de mest underskattade sårbarheterna i modern programvara: inbäddade tredjepartsbibliotek. Dessa kodpaket — ofta hämtade från externa källor och integrerade utan fullständig granskning — kan läcka känslig information, exempelvis en användares geografiska position, utan att vare sig användaren eller den primäre utvecklaren är medveten om det.
Det är en systemisk svaghet som inte är unik för militära sammanhang. Inom näringsliv, sjukvård och kritisk infrastruktur används liknande beroendekedjor dagligen. Men i ett militärt meddelandeprogram är konsekvenserna av ett sådant läckage potentiellt ödesdigra. Som Wesie påpekar räcker det med läsåtkomst för en angripare för att undergräva hela syftet med en krypterad meddelandeapp. Det är en nykter påminnelse om att säkerhet inte enbart handlar om kryptering — utan om hela programvarukedjan.
AI som säkerhetsgranskare: Möjligheternas logik
Jag ser det här som ett naturligt och välkommet steg i AI-omställningen. Mänskliga säkerhetsgranskare är fantastiska — men de är begränsade av tid, uthållighet och det faktum att modern programvara kan innehålla miljontals kodrader. En AI-baserad granskare tröttnar inte, missar inte ett mönster på rad 847 293 och kan arbeta parallellt på en mängd komponenter samtidigt.
Det handlar inte om att ersätta mänskligt omdöme. Det handlar om att ge mänskliga experter ett verktyg som faktiskt matchar problemets skala. Det är precis den sortens förstärkning som gör AI till en strategisk tillgång snarare än ett hot mot kompetens.
Samtidigt är det viktigt att vara ärlig om komplexiteten: självständiga AI-system som analyserar känslig militär programvara ställer höga krav på tillförlitlighet, förklarbarhet och robust felhantering. Att ett system missar en sårbarhet — eller flaggar för något felaktigt — kan få allvarliga följder. Det är en utmaning som Xint och DARPA uppenbarligen tagit på fullaste allvar, men som branschen i stort fortsatt behöver ta itu med.
Ett vägskäl, inte ett slutmål
Detta uppdrag är ett vägskäl. Det etablerar ett prejudikat: att AI-driven, självständig säkerhetsgranskning är tillräckligt mogen och tillförlitlig för att användas i nationell säkerhetskontext. Det öppnar dörren för liknande initiativ hos allierade nationer, inom kritisk civil infrastruktur och i den privata sektorn.
Sverige och Norden bör följa utvecklingen noga. Med ökande cyberhot mot både militär och civil infrastruktur är frågan inte längre om AI kommer att bli en del av säkerhetsarbetet — utan när och hur snabbt vi väljer att anamma det.
Vår analys
DARPAs val av Xint är mer än en upphandling — det är ett strategiskt signalvärde. När en organisation med DARPAs historik och genomslagskraft formaliserar AI som säkerhetsgranskare i militära kärnapplikationer, sätts en ny ribba för hela branschen.
Den verkligt intressanta utvecklingen på sikt är inte att AI hittar sårbarheter snabbare — det är att AI-system potentiellt kan göra detta kontinuerligt, i realtid, allteftersom programvara uppdateras. Det förflyttar säkerhetsgranskning från en periodisk aktivitet till en levande process inbyggd i hela programvarans livscykel.
För svenska och nordiska aktörer inom försvar, myndigheter och kritisk infrastruktur bör detta fungera som en väckarklocka. Den teknologiska kapprustningen inom cybersäkerhet accelererar, och AI är nu ett centralt vapen i den arsenalen — på båda sidor. Att investera i liknande granskningskapacitet är inte längre en framtidsfråga. Det är en fråga för i dag.