Det må ha gått tre år sedan lanseringen av ChatGPT inledde en ny teknologisk kapprustning, men alla ögon är nu riktade mot agentisk AI. Förespråkare hävdar att den kommer att bli ett steg bättre än generativ AI (GenAI) genom att arbeta självständigt för att slutföra uppgifter åt sina mänskliga mästare. Nästan två tredjedelar (62 %) av organisationerna experimenterar redan åtminstone med AI-agenter, medan större företag skalar upp bortom pilotfasen, enligt McKinsey.

Men med autonomi kommer risker. Så sent som förra månaden avslöjade Anthropic vad de påstod vara den första "AI-orkestrerade cyberspionagekampanjen", som använde sin Claude-chatbot för att rikta in sig på dussintals organisationer. Det är ett hot som analytikerkåren också varnar för.

Forresters viktigaste förutsägelser inom cybersäkerhet för 2026 är att en agentisk AI-implementering kommer att orsaka ett offentligt rapporterat intrång, vilket leder till uppsägning av anställda. Frågan är om organisationer har verktygen, ramverken och kunskapen för att hantera sådana risker, samtidigt som de utnyttjar teknikens enorma affärsfördelar.

Hur Agentic AI fungerar

Medan GenAI bara sammanfattar och skapar innehåll baserat på användaruppmaningar, är agentiska AI-system utformade för att fungera utan ständig mänsklig övervakning för att slutföra uppgifter. För att göra det samlar de in information från databaser, sensorer, användare och API:er. Sedan bearbetar de dessa data för att extrahera insikter och sammanhang. Därefter sätter AI:n upp mål baserat på fördefinierade mål eller användarinmatning, räknar ut hur man ska uppnå dem och använder resonemang för att välja det bästa av flera möjliga åtgärder.

Därefter kommer utförandet av den åtgärden, vanligtvis genom att interagera med tredjepartssystem och data. Och sedan utvärdering av resultatet samt kontinuerlig förfining och lärande. Det är AI:s förmåga att slutföra komplexa uppgifter i flera steg på detta sätt – potentiellt dynamiskt anpassa sig allt eftersom ny information dyker upp – som gör den så användbar. Användningsfallen är nästan obegränsade. Tekniken skulle kunna driva allt från prediktiva underhållsarbetsflöden i industriella miljöer till kundresehantering för e-handelsaktörer.

Om agentbaserad AI används på ett klokt sätt skulle den kunna eliminera mänskliga fel i manuella uppgifter, frigöra personal så att de kan fokusera på mer värdefullt arbete och dramatiskt förbättra den operativa effektiviteten och produktiviteten. Dessa effektiviseringar bör kunna minska kostnaderna. Och AI-agenter skulle också kunna ge ett betydande lyft för kundupplevelsen inom vissa branscher.

Hur ett intrång kan inträffa

Men eftersom det finns mindre tillsyn över AI:n finns det större risk för illvillig manipulation, eller oavsiktligt läckage av data, innan säkerhetsteam ens vet att något är fel. Ju viktigare beslut en agent har befogenhet att fatta, desto större är den potentiella risken. Snabb injektion är ett stort problem. Genom att bädda in skadliga instruktioner i något som en agent kommer att bearbeta – till exempel ett dokument, en webbsida eller en onlinekommentar – kan en hotaktör lura den att läcka känsliga data.

Läckor kan också inträffa av misstag, om skyddsräcken inte är korrekt utplacerade. Överprivilegierade agenter och agentspridning ökar sannolikheten för att något går fel.

Forrester varnar för att dataintrång är möjliga på grund av en "kaskad av misslyckanden". Senioranalytikern Paddy Harrington ger ISMS.online tre scenarier:

För mycket åtkomst till data: ”I en brådska med att implementera agentbaserad AI kan avdelningar och team ignorera standardriktlinjer för nollförtroende. Och eftersom det är ett 'program' och inte en person, kan de anta att så länge de bara beordrar det att komma åt vissa datamängder, borde det begränsa dess omfattning”, förklarar han. ”Tyvärr, som man har lärt sig genom att inte ha korrekt användar- eller enhetssegmentering, kan vilken agent som helst som kan komma åt data manipuleras för att komma åt den informationen. Om man lägger till stölden av en autentiseringstoken kan mängden data som kan sugas upp lamslå ett företag.”

Dålig autentiseringshygien: ”Agenterna behöver behörighet för att komma åt data, vilket innebär autentisering. Om autentiseringsmetoderna är för enkla – statiska tokens lagras felaktigt, eller kanske en för bred behörighet – kan dessa agenter manipuleras av hotande aktörer”, säger Harrington. ”Om en användare skapar ett agentiskt arbetsflöde och om det inte finns några riktlinjer är det möjligt att de skickar data till externa databaser eller får åtkomst till känsliga data genom dessa autonoma arbetsflöden. Om det inte finns några skyddsräcken kan detta innebära att HR-, finans- eller till och med autentiseringsinformation exponeras.”

Att lita på information med låg noggrannhet: ”Noggrannheten hos många probabilistiska modeller kan variera från 60 % ner till 10 %. Om man sätter den i samband med IT- eller säkerhetsvarningar, med en modell som lanseras snabbt på marknaden, kan man få en mängd falska positiva resultat eller, ännu värre, falska negativa varningar”, menar Harrington. ”Detta kan distrahera teamen från faktiska problem eller få dem att helt missa dem. När det gäller kaskaden, när man skapar det agentiska arbetsflödet, där agenterna arbetar tillsammans, kan en lögn i en av dem sedan få de efterföljande agenterna i arbetsflödet att livnära sig på den lögnen, generera sin egen och få detta att fortsätta så att utdata eller slutliga åtgärder blir en säkerhets-/IT-mardröm.”

Skyddsräcken och policyer

Forresters råd är att följa deras ramverk Agentic AI Guardrails For Information Security (AEGIS) . Det är baserat på sex "domäner":

  • Styrning, risk och efterlevnad (GRC)
  • Identitets- och åtkomsthantering (IAM)
  • Datasäkerhet och integritet
  • Applikationssäkerhet
  • Hothantering
  • Zero Trust-arkitektur

Analytikern rekommenderar att man börjar med GRC – att etablera styrning, bygga agentinventeringssystem och definiera acceptabel användning. Den uppmanar säkerhetsteam att sedan bygga IAM och datasäkerhet, och behandla agenter som en "ny identitetsklass". Därefter bör förbättringar av DevSecOps komma för att säkra agentlivscykeln och upptäcka hallucinationer. Och slutligen, optimering via Zero Trust för att genomdriva minsta möjliga agency, övervaka oplanerat beteende och isolera oseriösa agenter.

Bästa praxisstandarder som ISO 42001 kan också vara till hjälp här, eftersom det finns en betydande överlappning med AEGIS-metoden, säger Harrington. Oavsett deras slutliga metod uppmanar han organisationer att säkerställa att säkerhet är integrerad i agentbaserade AI-projekt från början.

”Alla rör sig för fort för att rätt skydd ska kunna införas. Företagsledare ser implementeringen av AI-agenter och agentiska arbetsflöden som ett sätt att ge enorma kostnadsbesparingar och öka effektiviteten”, avslutar han.

”Säkerhet, nej-funktionen, är ofta ett hinder för hastighet eftersom vi säger åt folk att ta sig tid att följa säkra körrutiner. Och de där farthinderna ses som att de är i vägen. Men i stort sett varje gång [säkerhet ignoreras] slutar det så småningom med smärta.”