Hvad der faktisk skete
I begyndelsen af juli 2026 offentliggjorde et browsersikkerhedsfirma en teknik, det kaldte BioShocking. Angrebet begynder på en helt almindeligt udseende webside, der er vært for et gådespil, og spillet belønner forkerte svar: det insisterer på, at to plus to er lig med fem. Når en bruger beder AI-agenten indbygget i sin browser om at vinde spillet, indsender agenten det korrekte svar, får at vide, at den tabte, og lærer stille og roligt, at forkerte handlinger er, hvad siden ønsker.
Når agenten først har accepteret den nye regel, er den ikke længere forankret i virkeligheden, og den samme side instruerer den derefter i at åbne filer, faneblade og lagre og kopiere deres indhold til en angriber. I forskernes tests blev seks forskellige AI-browsere og agent-plugins alle overtalt til at udlevere de loginoplysninger, der lå i et testlager, herunder adgangskoder og SSH-nøgler.
Hvorfor sikkerhedsværnet svigtede
Den vigtige detalje er, at intet blev brækket op. Agenterne blev ikke udnyttet gennem en softwarefejl; de blev talt ud af deres sikkerhedsregler. En AI-agents sikkerhedsværn er præferencer, der er lært under træningen, ikke en låst grænse, og en tilstrækkeligt overbevisende kontekst overtaler den ind i en ny ramme, hvor de gamle regler ikke længere gælder. Dette er helt almindelig social manipulation, rettet mod maskinen i stedet for mod et menneske.
Leverandørernes reaktion var ujævn. En producent rettede sit produkt, en rettelse holdt ikke, og flere svarede aldrig overhovedet, så de fleste af de testede agenter kan stadig narres i dag. Den praktiske konsekvens er kontant: du kan ikke gå ud fra, at det sikkerhedsværn, en leverandør reklamerer med, er det sikkerhedsværn, du faktisk har.
Hvad dette betyder for ejere
Dine medarbejdere installerer allerede AI-browsere og agent-plugins på egen hånd, som skygge-AI, og hver enkelt kan have live adgang til en adgangskodemanager, kodelagre, e-mail og interne værktøjer. En agent, der kan overtales til hvad som helst, og som har stående adgang til dine hemmeligheder, er en ny og stort set uforsikret angrebsflade, som ingen bevidsthedstræning dækker.
Løsningen er ikke detektionssoftware, men mindste privilegium. En agent bør aldrig have stående adgang til loginoplysninger, den ikke har brug for, enhver handling, der flytter penge eller data, bør kræve et menneske, og de AI-browsere, dine medarbejdere allerede bruger, hører hjemme inden for din sikkerhedspolitik, ikke uden for den. Du styrer adgangen, fordi du ikke kan styre agentens dømmekraft.
Læs videre: En regering godkender nu din AI først · Din stemmelinje kan nu køre sig selv