datasikkerhet
AI-agenter fant sikkerhetshull hos åtte av åtte børsnoterte selskaper
Borg Security lot AI-agenter teste åtte børsnoterte norske selskaper i sommer. Alle hadde rapporterbare sårbarheter, og over halvparten ga tilgang til persondata, ifølge selskapet.
Publisert
De siste månedene har avanserte AI-modeller funnet nye, og ofte alvorlige, sikkerhetshull i kode hver dag.
Startupen Borg Security har selv testet norske selskaper for å vurdere cyber-beredskapen. Testene ble gjort enten med selskapenes tillatelse eller gjennom deres åpne ordninger for å rapportere sårbarheter.
Funnene kommer samme uke som Nasjonal sikkerhetsmyndighet (NSM) hevet det nasjonale cyberrisikonivået til høyt. NSM begrunner hevingen blant annet med at AI finner sårbarheter raskere enn mennesker, og at bruk av agentiske AI-systemer i cyberoperasjoner er en alvorlig risiko.
Etaten understreker samtidig at slike angrep foreløpig ikke er dokumentert i Norge.
Selskapene som er blitt testet, holder til innen energi, bank, handel, industri, IT-infrastruktur og programvare. Borg Security vil ikke navngi dem.
I ett tilfelle kunne en uautorisert bruker eksportere brukernavn, passord og andre sensitive filer fra et internt dashboard for ansatte, opplyser selskapet.
Alle de åtte har vedkjent sårbarhetene, og de som har svart Borg i etterkant, bekrefter at hullene er lukket.
– Vi har brukt våre autonome hackere i form av agenter for å finne sårbarhetene, sier gründer og daglig leder Alexander Wollan i Borg Security.
Mer kode har gitt flere potensielle hull
Borg kan ikke si hvor mange av hullene som stammet fra AI-generert kode, fordi selskapet ikke alltid ser hvordan koden er laget.
Ifølge Wollan er det uansett mengden som har endret seg.
– Uansett om koden er skrevet av mennesker eller AI, er den sårbar til den er testet. Det som har endret seg, er volumet, sier han.
Google oppga i april at 75 prosent av selskapets egen nye kode nå genereres av AI og deretter gjennomgås av utviklere. Kodesikkerhetsselskapet Veracode, som selger verktøy for kodeanalyse, fant i sin årlige test at rundt 44 prosent av oppgavene AI-modellene fikk, ga kode med en kjent sårbarhet.
Borg sier også at flere bedrifter de snakker med, forteller at ansatte utenfor IT-avdelingen nå lager eller bestiller programvare selv.
AI-agenter er både problemet, men kan også være en mulig løsning
Wollan mener at verktøyene angriperne kan bruke, også er forsvaret.
– Motvekten er å bruke agentiske verktøy slik vi har gjort nå for å avdekke sårbarheter, sier han.
Vend er blant selskapene som har kontakt med Borg. De har positiv erfaring med AI-agenter i datasikkerhetsarbeidet.
– Agentiske pentester har latt oss finne og verifisere reelle sårbarheter raskere enn manuell gjennomgang, og til en brøkdel av kostnaden. Vi får bekreftede funn vi kan handle på, ikke en bunke teoretiske funn, sier Emil Vaagland, Head of Product Security i Vend i en kommentar.
NSM sendte denne uken ut en tiltakspakke som består i hovedsak av kjente grunnprinsipper innen datasikkerhet. Man bør bruke phishing-resistent flerfaktorautentisering, kartlegge av programvaren man bruker og føre kontroll av at sikkerhetstiltakene faktisk virker.
