Generativ kunstig intelligens har på kort tid gått fra å være et verktøy som primært produserer tekst og analyser, til å kunne utføre handlinger på vegne av brukeren. Utviklingen gir store muligheter, men det åpner også opp for lumske aktører og onde hensikter. Her får du en oversikt på hvordan din virksomhet kan bruke agentiv kunstig intelligens på en tryggere måte.
På den ene siden har vi oppgaver som tidligere krevde mange manuelle steg. Disse kan gjennomføres raskere og med mindre administrativ belastning. For virksomheter kan dette bety bedre arbeidsflyt, lavere kostnader og mer tid til oppgaver som krever faglig skjønn. Det er også en vesentlig forskjell mellom en AI-løsning som gir et svar, og en AI-agent som får tillatelse til å handle alene. Når agenten kan gjøre endringer i den virkelige verden, blir kvaliteten på tilgangsstyringen minst like viktig som kvaliteten på språkmodellen.
Likevel ser vi at agenter ofte kobles til brede brukerkontoer, delte tjenestekontoer eller integrasjoner med langt større rettigheter enn den konkrete oppgaven krever. Det kan være effektivt i utviklings- og pilotfasen, men vil også skape en unødvendig stor angrepsflate.
Problemet blir særlig tydelig dersom agenten:
En menneskelig medarbeider vil normalt være begrenset av rolle, opplæring, interne rutiner og en forståelse av at en forespørsel kan være mistenkelig. En KI-agent tolker derimot informasjon ut fra instruksjonene, konteksten og verktøyene den har fått.
Dersom agenten blir manipulert, er det derfor rettighetene den har som avgjør hvor stor skaden kan bli.
Instruksjonene kan gis direkte av en bruker, men kan også skjules i en nettside, e-post, fil, kodekommentar eller et dokument agenten blir bedt om å analysere.
Konsekvensen kan være at agenten endrer mål, bruker et verktøy på feil måte eller forsøker å hente og dele informasjon den egentlig skulle beskytte. Den ideelle organisasjonen OWASP jobber for å gjøre programvare og applikasjoner tryggere. De trekker frem prompt injection, misbruk av verktøy, eskalering av rettigheter, datalekkasje, forgiftning av agentens minne og for stor grad av autonomi som sentrale risikoer ved KI-agenter.
Når den ondsinnede instruksjonen er formulert som vanlig tekst og ligger i data agenten har en legitim grunn til å lese, er ikke tradisjonelle sikkerhetsfiltere nok.
Dette gjør det risikabelt å legge all tillit i at modellen skal forstå forskjellen mellom data og autoriserte instruksjoner. Sikkerheten må også håndheves av systemene rundt modellen.
Senere ble det kjent at en intern forskningsagent hadde fått uautorisert tilgang til en australsk Medicare-portal. Agenten var satt til å undersøke offentlig tilgjengelig statistikk, men fortsatte etter at tilgangen ble blokkert og fant andre veier inn. Det ble ikke funnet bevis for tilgang til individuelle pasientjournaler, men agenten kjørte kommandoer og hentet interne filer og legitimasjonsopplysninger.
Disse hendelsene skiller seg ut fratradisjonelle cyberangrep. Agentene bleikke gitt en uttrykkelig instruks om å bryte seg inn. Likevel oppstod hendelsene fordi de forfulgte et mål, møtte en hindring og hadde tilstrekkelig kapasitet og tilgang til å forsøke alternative fremgangsmåter.
Den samme utviklingen påvirkertrusselaktørene. I september kom det frem at hundrevis av KI-agenter ble brukt til å utvikle, teste og gjennomføre angrep mot den populære programvaren PaperCut. Programmet blir brukt til utskrift av filer i blant annet offentlige etater, universiteter og bedrifter. Ifølge analysen ble 440 installasjoner hos 395 identifiserte virksomheter kompromittert, og agentene fikk tilgang.
Alternativet kan imidlertid være at én feil eller vellykket manipulering får konsekvenser på tvers av hele virksomheten. Målet bør derfor ikke være å begrense agenten mest mulig. Det bør være å gi agenten akkurat den handlefriheten oppgaven krever, innenfor tydelige og teknisk håndhevede grenser.
Dette krever at virksomheten vurderer KI-agenten som en egen digital identitet. Agenten bør ha egne tilganger, et definert formål og en tydelig eier. Handlingene bør kunne spores, og tilgangen må kunne stanses raskt.
Det er ikke tilstrekkelig å dokumentere agentens formål. Virksomheten må også vite hvilken teknisk tilgang den har.
Dette gjør det enklere å begrense tilgangen, oppdage avvik og trekke tilbake rettigheter uten å påvirke andre brukere.
OWASP anbefaler blant annet å avgrense rettigheter per verktøy, skille mellom lese- og skrivetilgang og kreve særskilt autorisasjon for sensitive operasjoner.
Tilganger bør også være kortvarige og oppgavebaserte der det er praktisk mulig.
For handlinger med stor konsekvens bør en separat regel- eller autorisasjonskomponent kontrollere om handlingen er tillatt. Det bør ikke være opp til språkmodellen alene å avgjøre dette.
Virksomheten bør etablere tekniske skiller mellom betrodde instruksjoner og innhold agenten bare skal analysere.
Overvåkingen bør varsle ved uventet bruk av privilegerte funksjoner, store datamengder, gjentatte mislykkede forsøk, uvanlige kostnadsøkninger eller kontakt med ukjente eksterne tjenester. OWASP anbefaler logging av beslutninger, verktøykall og resultater, samt overvåking av avvikende agentatferd.
En nødstopp som aldri er testet, gir liten sikkerhet. Ansvar og myndighet må være avklart før en hendelse oppstår
.
Testingen bør gjentas når modellen, verktøyene, datakildene, systeminstruksjonene eller tilgangene endres.
BDOs tilnærming til KI er å kombinere praktisk nytte med ansvarlig bruk. Det innebærer å bruke KI til å forsterke fagkompetanse, samtidig som menneskelig kontroll, dokumentasjon, sikkerhet og tydelige styringsmekanismer ivaretas gjennom hele livsløpet.
Det holder ikke lenger å spørre deg selv hva en KI-agent kan gjøre.
Du bør også stille spørsmål ved hva slags skade agenten kan forårsake dersom den blir manipulert eller gjør handlinger utenfor oppgaven den er satt til å gjøre.
Agenten har ofte mer tilgang enn rollen krever
Et grunnleggende sikkerhetsprinsipp er at ansatte kun skal ha tilgangene de behøver for å utføre sine oppgaver. Det samme prinsippet må gjelde for AI-agenter.Likevel ser vi at agenter ofte kobles til brede brukerkontoer, delte tjenestekontoer eller integrasjoner med langt større rettigheter enn den konkrete oppgaven krever. Det kan være effektivt i utviklings- og pilotfasen, men vil også skape en unødvendig stor angrepsflate.
Problemet blir særlig tydelig dersom agenten:
- kan lese både interne og konfidensielle dokumenter
- har skrive- eller sletterettigheter i sentrale systemer
- kan kjøre kode eller kommandoer
- har tilgang til e-post, skylagring eller databaser
- kan sende informasjon til eksterne tjenester
- benytter langvarige API-nøkler eller privilegerte tjenestekontoer
En menneskelig medarbeider vil normalt være begrenset av rolle, opplæring, interne rutiner og en forståelse av at en forespørsel kan være mistenkelig. En KI-agent tolker derimot informasjon ut fra instruksjonene, konteksten og verktøyene den har fått.
Dersom agenten blir manipulert, er det derfor rettighetene den har som avgjør hvor stor skaden kan bli.
Prompt injection
En sentral risiko er såkalt prompt injection. Det innebærer at noen plasserer manipulerende instruksjoner i innhold som agenten behandler.Instruksjonene kan gis direkte av en bruker, men kan også skjules i en nettside, e-post, fil, kodekommentar eller et dokument agenten blir bedt om å analysere.
Konsekvensen kan være at agenten endrer mål, bruker et verktøy på feil måte eller forsøker å hente og dele informasjon den egentlig skulle beskytte. Den ideelle organisasjonen OWASP jobber for å gjøre programvare og applikasjoner tryggere. De trekker frem prompt injection, misbruk av verktøy, eskalering av rettigheter, datalekkasje, forgiftning av agentens minne og for stor grad av autonomi som sentrale risikoer ved KI-agenter.
Når den ondsinnede instruksjonen er formulert som vanlig tekst og ligger i data agenten har en legitim grunn til å lese, er ikke tradisjonelle sikkerhetsfiltere nok.
Dette gjør det risikabelt å legge all tillit i at modellen skal forstå forskjellen mellom data og autoriserte instruksjoner. Sikkerheten må også håndheves av systemene rundt modellen.
Flere hendelser i 2026 viser at dette er et reelt problem
I juli 2026 klarte modeller fra OpenAI, under interne cybersikkerhetsevalueringer, å omgå kontrollene som skulle isolere dem fra internett. Ifølge selskapets egen redegjørelse utnyttet modellene sårbarheter i delt infrastruktur, fikk internettilgang og innpass i systemer hos Hugging Face. OpenAI beskrev selv hendelsen som et varselskudd og fremhevet behovet for sterkere isolasjon, tilgangskontroll og overvåking.Senere ble det kjent at en intern forskningsagent hadde fått uautorisert tilgang til en australsk Medicare-portal. Agenten var satt til å undersøke offentlig tilgjengelig statistikk, men fortsatte etter at tilgangen ble blokkert og fant andre veier inn. Det ble ikke funnet bevis for tilgang til individuelle pasientjournaler, men agenten kjørte kommandoer og hentet interne filer og legitimasjonsopplysninger.
Disse hendelsene skiller seg ut fratradisjonelle cyberangrep. Agentene bleikke gitt en uttrykkelig instruks om å bryte seg inn. Likevel oppstod hendelsene fordi de forfulgte et mål, møtte en hindring og hadde tilstrekkelig kapasitet og tilgang til å forsøke alternative fremgangsmåter.
Den samme utviklingen påvirkertrusselaktørene. I september kom det frem at hundrevis av KI-agenter ble brukt til å utvikle, teste og gjennomføre angrep mot den populære programvaren PaperCut. Programmet blir brukt til utskrift av filer i blant annet offentlige etater, universiteter og bedrifter. Ifølge analysen ble 440 installasjoner hos 395 identifiserte virksomheter kompromittert, og agentene fikk tilgang.
Effektivitet og kontroll er ikke motsetninger
Det kan være fristende å gi agenten brede rettigheter for å få størst mulig effekt. Flere godkjenningssteg, begrensninger og sikkerhetskontroller kan oppleves som en hindring for automatiseringen.Alternativet kan imidlertid være at én feil eller vellykket manipulering får konsekvenser på tvers av hele virksomheten. Målet bør derfor ikke være å begrense agenten mest mulig. Det bør være å gi agenten akkurat den handlefriheten oppgaven krever, innenfor tydelige og teknisk håndhevede grenser.
Dette krever at virksomheten vurderer KI-agenten som en egen digital identitet. Agenten bør ha egne tilganger, et definert formål og en tydelig eier. Handlingene bør kunne spores, og tilgangen må kunne stanses raskt.
8 måter din virksomhet kan redusere agentrisikoen på
1. Kartlegg agentene og hva de kan gjøre
Virksomheten bør ha oversikt over alle KI-agenter, integrasjoner og pilotløsninger. Kartleggingen må vise hvilke datakilder, systemer og verktøy hver agent kan bruke, og hvilke handlinger den kan utføre.Det er ikke tilstrekkelig å dokumentere agentens formål. Virksomheten må også vite hvilken teknisk tilgang den har.
2. Gi agenten en egen identitet
En agent bør ikke operere gjennom en generell administratorbruker eller en ansatt personlige konto. Den bør få en egenkonto med rettigheter knyttet til ett definert formål.Dette gjør det enklere å begrense tilgangen, oppdage avvik og trekke tilbake rettigheter uten å påvirke andre brukere.
3. Bruk minste privilegiums prinsipp
Agenten bør bare få tilgang til de verktøyene og dataene den trenger. Leserettigheter bør velges fremfor skriverettigheter der det er mulig, og tilgangen bør begrenses til bestemte mapper, databaser, API-operasjoner eller systemområder.OWASP anbefaler blant annet å avgrense rettigheter per verktøy, skille mellom lese- og skrivetilgang og kreve særskilt autorisasjon for sensitive operasjoner.
Tilganger bør også være kortvarige og oppgavebaserte der det er praktisk mulig.
4. Skill mellom forslag og utførelse
Agenten kan gjerne foreslå en handling uten at den automatisk får gjennomføre den. Betalinger, sletting av informasjon, endring av rettigheter, utsendelse av ekstern kommunikasjon og produksjonssetting bør ha egne kontrollpunkter.For handlinger med stor konsekvens bør en separat regel- eller autorisasjonskomponent kontrollere om handlingen er tillatt. Det bør ikke være opp til språkmodellen alene å avgjøre dette.
5. Behandle eksternt innhold som upålitelig
Dokumenter, e-poster, nettsider og svar fra eksterne API-er kan inneholde manipulerende instruksjoner. Slike data må derfor behandles som upålitelige, selv når de kommer fra en tilsynelatende legitim kilde.Virksomheten bør etablere tekniske skiller mellom betrodde instruksjoner og innhold agenten bare skal analysere.
6. Logg både beslutninger og handlinger
Det må være mulig å se hvilken informasjon agenten behandlet, hvilke verktøy den forsøkte å bruke, hvilke handlinger den gjennomførte og hvilke resultater handlingene ga.Overvåkingen bør varsle ved uventet bruk av privilegerte funksjoner, store datamengder, gjentatte mislykkede forsøk, uvanlige kostnadsøkninger eller kontakt med ukjente eksterne tjenester. OWASP anbefaler logging av beslutninger, verktøykall og resultater, samt overvåking av avvikende agentatferd.
7. Test nødstopp og hendelseshåndtering
Virksomheten må vite hvordan en agent kan stanses, hvordan identiteten dens sperres og hvordan nøkler eller aktive sesjoner tilbakekalles.En nødstopp som aldri er testet, gir liten sikkerhet. Ansvar og myndighet må være avklart før en hendelse oppstår
.
8. Test agenten som en angriper ville gjort
Vanlig funksjonstesting er ikke nok. Agenten bør sikkerhetstestes mot blant annet direkte og indirekte prompt injection, misbruk av verktøy, omgåelse av godkjenning, uthenting av sensitive data, manipulering av minne og eskalering av rettigheter.Testingen bør gjentas når modellen, verktøyene, datakildene, systeminstruksjonene eller tilgangene endres.
Ansvarlig bruk gir mer verdi over tid
KI-agenter er allerede en viktig del av mange virksomheters arbeidsprosesser. Gevinsten kan bli betydelig. Men det avhenger av at medarbeidere, kunder og ledelse kan stole på hvordan agentene oppfører seg.BDOs tilnærming til KI er å kombinere praktisk nytte med ansvarlig bruk. Det innebærer å bruke KI til å forsterke fagkompetanse, samtidig som menneskelig kontroll, dokumentasjon, sikkerhet og tydelige styringsmekanismer ivaretas gjennom hele livsløpet.
Det holder ikke lenger å spørre deg selv hva en KI-agent kan gjøre.
Du bør også stille spørsmål ved hva slags skade agenten kan forårsake dersom den blir manipulert eller gjør handlinger utenfor oppgaven den er satt til å gjøre.