AI har på kort tid gått från att för många bara vara ett verktyg vi ställer frågor till, till avancerade system som kan utföra uppgifter åt oss. Nästa steg är redan på väg in i organisationer: AI-agenter som kan läsa information, fatta beslut, använda digitala verktyg och agera i andra system. Det öppnar för stora effektivitetsvinster, men det förändrar också riskbilden.

I en undersökning från Dark Reading tror 48 procent av respondenterna att agentisk AI kommer att utgöra den främsta attackvektorn för cyberkriminella och statsstödda aktörer i slutet av 2026. Det är en oro som speglar en större förändring. Ju mer handlingsutrymme vi ger en AI-agent, desto större blir konsekvenserna om någonting går fel.

Men betyder det att organisationer bör vara försiktiga med AI-agenter? Inte nödvändigtvis. Den viktigare frågan är hur systemen runt dem byggs.

När instruktion och information flyter ihop

Agentisk AI skiljer sig från traditionell automation på ett viktigt sätt. Ett klassiskt system följer en på förhand definierad process. En AI-agent kan på egen hand tolka sin omgivning och själv avgöra vilka steg som behöver tas för att nå ett mål. Samma flexibilitet som gör agenten användbar, gör den mindre förutsägbar.

En särskild utmaning uppstår när agenten interagerar med information utanför den egna organisationens kontroll. Ett mejl, dokument eller en webbsida är för en människa information att läsa och bedöma. För en AI-modell kan samma texter samtidigt innehålla instruktioner som påverkar hur agenten agerar. Genom exempelvis prompt injection kan en angripare försöka få agenten att tolka skadligt innehåll som legitima instruktioner.

Problemet handlar alltså inte enbart om att skydda AI-modellen, utan om att utforma systemet utifrån antagandet att agenten ibland kommer att tolka sin omgivning på ett annat sätt än organisationen avsett.

Det är här diskussionen om agentisk AI lätt hamnar fel, menar Daniel Deogun, AI-expert och CTO, på Omegapoint.

“Vi möter organisationer som både ser en enorm potential i AI-agenter och andra AI-system, men samtidigt är osäkra på hur långt de vågar gå. Slutsatsen behöver inte vara att man ska bromsa. Snarare behöver vi flytta fokus från om agenten går att lita på till hur vi bygger system där säkerheten inte är beroende av att den alltid gör rätt.”

Ett gammalt säkerhetsproblem i ny kostym

Det kan låta som en helt ny typ av säkerhetsproblem. Delvis är det också det. Men mycket av lösningen bygger på principer som säkerhetsbranschen har arbetat med länge, från identitets- och åtkomsthantering och klassificering av data, till arkitektur, styrning och kontroll över externa modeller och tjänster. 

Det nya ligger snarare i vilken roll agenten får i systemet. En traditionell maskinidentitet har vanligtvis ett tydligt definierat beteende, medan en mänsklig användare kan tolka information och fatta egna beslut. AI-agenten hamnar någonstans däremellan: en maskinidentitet med betydligt större utrymme att själv välja hur en uppgift ska lösas.

Frågor om behörighet övergår därför snabbt i frågor om mandat. Vilka beslut får agenten fatta själv? När ska dess handlingsutrymme begränsas? Och var är mänsklig kontroll faktiskt en effektiv säkerhetsåtgärd?

Det sista är inte självklart. ”Human in the loop” har blivit ett vanligt svar på riskerna med autonoma system, men kontinuerlig mänsklig övervakning är varken realistisk eller nödvändigtvis särskilt säker. Människor behöver snarare finnas vid rätt kontrollpunkter, medan systemarkitekturen begränsar konsekvenserna av felaktiga beslut.

Det är också här Omegapoint ser att många organisationers AI-fråga börjar förändras.

”För ett par år sedan handlade många diskussioner om vilket AI-verktyg man skulle välja och vad tekniken kunde effektivisera. Nu handlar samtalen alltmer om hur AI faktiskt ska bli en del av verksamhetens system och processer. Då möts frågor om AI, arkitektur, data, identitet, risk och styrning. De går inte längre att behandla separat”, säger Daniel Deogun.

Säkerhet behöver inte vara bromsen

Det finns en frestelse att se säkerhet och innovation som två motstående krafter. Men med AI-agenter kan förhållandet lika gärna vara det motsatta.

Omegapoint möter frågorna hos organisationer som vill gå från att experimentera med AI till att använda tekniken i verksamhetens system och processer. Med kompetens inom både AI, cybersäkerhet och säker systemutveckling arbetar företaget med just den övergången: hur AI kan integreras i verksamheten utan att säkerhet, kontroll och styrning hamnar i efterhand.

”Det finns en risk att säkerhetsdiskussionen kring AI blir så defensiv att organisationer avstår från möjligheter de skulle kunna ta vara på. Vår erfarenhet är snarare att ett moget säkerhetsarbete ger större handlingsutrymme, och det är just det vi hjälper organisationer med”, säger Daniel Deogun.

För organisationer med höga säkerhetskrav blir frågorna särskilt tydliga, men principerna är desamma även i mindre känsliga verksamheter. Ju närmare AI kommer organisationens kärnprocesser, desto viktigare blir förmågan att hantera att tekniken ibland kommer att bete sig på sätt som inte gick att förutse.

Säkerhetsarbetet kan därför inte utgå från att agenten alltid kommer att göra rätt, utan från vad som händer när den inte gör det. Hur långt når den? Vilka handlingar kan den genomföra? Går ett beslut att stoppa eller återställa? Och vem har ansvaret när agenten agerar?

För paradoxalt nog kan det vara just tydliga begränsningar som gör det möjligt att ge AI-agenter större frihet.

Källor: https://www.darkreading.com/threat-intelligence/2026-agentic-ai-attack-surface-poster-child