Når AI gør phishing og sårbarhedsjagt lettere, bliver cybersikkerhed et ledelsesansvar. Fokus flytter sig fra teknik alene til styring af data, leverandører og adfærd.
Cybersikkerhed er rykket fra it-afdelingen til direktionen, efter at generativ AI har gjort avancerede angreb billigere og hurtigere at udføre.
Ifølge professor i datalogi Anders Møller er “døren på vid gab”, fordi både stater og helt almindelige brugere kan få hjælp til alt fra phishingmails til sårbarhedsjagt.
Det skærper presset på danske virksomheder: Når angrebstempoet stiger, bliver klassiske kontrolpunkter som adgangsstyring, logning og backup ikke nok, hvis man samtidig slipper nye AI-værktøjer løs uden styring.
Konsekvensen kan være alt fra datalæk til driftsstop, der rammer omsætning og omdømme.
Det oplyser Berlingske.
AI sænker prisen på angreb
Generativ AI ændrer især “forarbejdet” i cyberangreb: Sprogmodeller kan formulere mere troværdige beskeder, oversætte og tilpasse dem til målgruppen og hjælpe med at skrive simple scripts.
Pointen er ikke, at AI automatisk bryder ind, men at flere kan komme langt hurtigere frem til et angreb, der virker i praksis.
For virksomheder betyder det, at risikobilledet flytter sig fra enkeltstående hændelser til en strøm af forsøg.
Derfor bliver det et ledelsesansvar at beslutte, hvilke data medarbejdere må dele med eksterne AI-tjenester, og hvilke opgaver der må automatiseres.
De nye AI-huller ligger i processer
Samtidig opstår nye sårbarheder, når virksomheder bygger AI ind i produkter eller interne workflows.
OWASP peger i sin Top 10 for LLM-applikationer på blandt andet prompt injection, datalæk via modeloutput og “system prompt leakage”, hvor en angriber får en model til at afsløre regler, nøgler eller instruktioner, den ikke burde dele.
Det fremgår af OWASP’s GenAI/LLM Top 10.
Det er i praksis governance, der afgør, om de tekniske huller bliver farlige: Har I testmiljøer, review af prompts og integrationer, og kan I dokumentere, hvor data flyder hen.
Tre signaler ledelsen bør følge
For det første: Leverandørkæden.
AI bliver ofte købt som service, og en svag kontrakt om databrug, rettigheder og logning kan udvikle sig til både sikkerheds- og compliance-problemer.
For det andet: Ransomware og tilgængelighed.
ENISA’s seneste trusselsbillede peger på, at angreb mod tilgængelighed ligger øverst, efterfulgt af ransomware og datatrusler, baseret på tusindvis af rapporterede hændelser.
For det tredje: Mennesket.
Når AI løfter kvaliteten af social engineering, skal træning og to-faktor ikke ses som “bløde” tiltag, men som direkte risikoreduktion.
Den praktiske test er enkel: Kan en angriber få en medarbejder til at omgå jeres proces på en dårlig dag?
Christian Pedersen er journalist på FinansFokus og dækker markeder, investering og erhvervsliv.
