AI hittade kritiskt säkerhetshål i filservrar – nu utnyttjas det av angripare
AI hittade ett dolt säkerhetshål – nu utnyttjas det av angripare världen över.
När AI är snabbare än systemadministratören
I juni i år gjorde säkerhetsföretaget Horizon3.ai något anmärkningsvärt: de lät Anthropics AI-modell Mythos analysera källkoden till Rejetto HTTP File Server (HFS) – ett populärt verktyg med öppen källkod för att dela filer över nätverk. Modellen använde avancerat matematiskt resonemang och hittade ett grundläggande kryptografiskt fel som mänskliga granskare missat.
Sårbarheten, registrerad som CVE-2026-61500 med allvarlighetsgraden 9,3 av 10, handlar om hur programvaran genererar sessionskakor vid inloggning. HFS använder JavaScript-funktionen Math.random() – en funktion som låter oskyldig men i praktiken bygger på algoritmen xorshift128+, vars utdata är matematiskt reversibel. En angripare som samlar in ett fåtal inloggningssvar kan räkna baklänges, rekonstruera signeringsnyckelns hemliga värde och förfalska giltiga administratörskakor. Resultatet: full kontroll över servern, helt utan giltiga inloggningsuppgifter.
Det är en elegant och obehaglig attack – precis den typ av logisk kedja som AI-modeller med starkt matematiskt resonemang är särskilt lämpade att hitta.
Från säkerhetsfynd till aktivt utnyttjande
Rejetto agerade snabbt. Version 3.2.1 med nödvändiga säkerhetsrättningar släpptes den 13 juli. Men som alla som arbetat med säkerhet vet: en uppdatering som finns är inte samma sak som en uppdatering som installerats.
Den 2 oktober rapporterade säkerhetsföretaget VulnCheck, enligt SecurityWeek, att aktiva angrepp mot sårbara installationer hade påbörjats. Försöken verkar härröra från en enda IP-adress – vilket antingen tyder på en ensam hotaktör eller ett mer koordinerat angrepp som döljer sin sanna omfång. Oavsett vilket: hålet som AI hittade utnyttjas nu i verkligheten, mot system som inte hunnit – eller inte prioriterat – att uppdatera.
Detta är det klassiska tidsfönsterproblemet inom cybersäkerhet, nu med en ny dimension. När AI kan hitta sårbarheter snabbare och mer systematiskt än mänskliga granskare, krymper det tidsfönster där en sårbarhet är känd men ännu inte utnyttjad. Det ställer hårdare krav på att hela kedjan – från säkerhetsfynd till driftsatt uppdatering – måste röra sig i samma tempo.
Sjukvården betalar ett högt pris
Samtidigt visar ett lagstiftningsbeslut på andra sidan Atlanten hur allvarliga konsekvenserna kan bli när cybersäkerheten brister på riktigt. USA:s senat har enhälligt antagit Health Care Cybersecurity and Resilience Act, en tvärpolitisk lag som syftar till att göra sjukvårdssektorn mer motståndskraftig mot cyberangrepp, rapporterar SecurityWeek.
Bakgrunden är dyster läsning. Förra året drabbades över 270 miljoner amerikaner av mer än 730 dataintrång inom sjukvården – med en genomsnittlig kostnad på 10 miljoner dollar per intrång. Attacken mot Ascension 2024 slog ut journalsystem i elva delstater. Intrånget mot Change Healthcare exponerade uppgifter för uppskattningsvis 190 miljoner personer.
Sjukvården är ett tacksamt mål för utpressningsgrupper som använder så kallad dubbel utpressning – man krypterar data och hotar att läcka den. Vårdinrättningar hamnar i ett moraliskt och operativt skruvstäd: myndigheterna avråder från att betala lösensummor, men verksamheterna måste väga det rådet mot risken att patienter skadas när system ligger nere.
Den nya lagen innehåller anslag för förebyggande arbete, krishantering och utbildning i säkerhetsrutiner – och skickas nu vidare till representanthuset.
Samma mynt, olika sidor
De här två nyheterna hänger ihop på ett djupare plan. AI-drivna säkerhetsverktyg som Mythos representerar en enorm möjlighet: systematisk, skalbar sårbarhetsgranskning som kan hitta fel som mänskliga granskare missar. Det är precis vad vi behöver – särskilt inom sektorer som sjukvården, där konsekvenserna av ett intrång är direkt livsavgörande.
Men samma teknologi som hittar hålen kan, i fel händer, användas för att hitta dem ännu snabbare och med ännu högre precision. Det tveeggade svärdet är verkligt. Frågan är inte om vi ska använda AI i säkerhetsarbete – det är vi redan övertygade om att vi bör – utan hur vi bygger de processer och det tempo som krävs för att nyttan ska vara större än risken.
Vår analys
Det som sticker ut i HFS-fallet är inte att AI hittade en sårbarhet – det är att den hittade en matematisk sårbarhet, en svaghet i slumptalsgenereringen som kräver ett nästan formellt resonemang för att förstå. Det är en kapacitet som kommer att bli vanligare, och den förändrar spelplanen.
För systemutvecklare och driftansvariga innebär det att uppdateringscykler måste kortas dramatiskt. Tidsfönstret mellan 'känd sårbarhet' och 'aktivt utnyttjad sårbarhet' är inte längre veckor – det kan vara dagar.
På den positiva sidan: samma teknik som angripare kan använda finns tillgänglig för försvarare. Organisationer som investerar i AI-driven sårbarhetsgranskning – kontinuerlig, automatiserad, matematiskt noggrann – har en reell fördel. Det är inte ett hot mot cybersäkerhetsbranschen. Det är en uppgradering av den. Men bara för dem som agerar snabbt nog.