Agent Security Gap: Hvorfor 54 % af virksomhederne allerede har oplevet en KI-agent-hændelse

Autonome KI-agenter i brug – og sikkerhedsarkitekturen sover stadig

KI-agenter er for længst ophørt med at være et fremtidsscenarie. I stadig flere virksomheder udfører de selvstændigt forretningsprocesser, tilgår interne systemer, behandler følsomme data og træffer operative beslutninger – uden menneskelig indgriben i hvert enkelt trin. Det, der i innovationsafdelingen fejres som en effektivitetsgevinst, afslører ved nærmere eftersyn en strukturel sikkerhedsbrist, hvis rækkevidde undervurderes: den såkaldte Agent Security Gap.

En aktuel undersøgelse af 107 virksomheder foretaget af VentureBeat Pulse Research tegner et ernstigt billede. Mere end halvdelen af de adspurgte organisationer – præcist 54 procent – har allerede oplevet en bekræftet sikkerhedshændelse med KI-agenter eller var tæt på det. 18 procent rapporterer om en hændelse, der faktisk er indtrådt, 36 procent om en næsten-hændelse, der blev afværget i tide. Kun 42 procent melder endnu ingen sådanne begivenheder. Virksomhedernes KI-agentarkitektur vokser hurtigere end det sikkerhedsnet, der omgiver den.

Identitetsproblemet: Delte credentials som indfaldsport

Den strukturelle kerne af problemet ligger inden for Agent Identity. Kun omkring en tredjedel af de adspurgte virksomheder (32 procent) tildeler hver KI-agent en egen, snævert defineret identitet med skalerede rettigheder – den såkaldte Scoped Identity-model. Næsten halvdelen (48 procent) angiver, at visse agenter ganske vist har egne identiteter, men at mange fortsat benytter fælles credentials. Yderligere 32 procent anvender overvejende delte API-keys eller lånte service account-adgangsdata fra menneskelige brugere.

Konsekvensen er alvorlig: Når agenter deler adgangsdata, overfører en enkelt kompromitteret eller overprivilegeret agent sin rækkevidde til hele det tilknyttede system. Blast Radius – det vil sige skadeomfanget ved et kontroltab – vokser proportionalt med antallet af dårligt afgrænsede agenter. Hertil kommer: Ved en hændelse er det ikke længere muligt at fastslå forensisk, hvilken agent der har udført hvilken handling. Attribution, som er grundforudsætningen for enhver Incident Response, bliver praktisk talt umulig.

Dataene bekræfter denne sammenhæng empirisk: I virksomheder med credential-sharing et eller andet sted i agentflåden lå raten for hændelser eller næsten-hændelser på 63,5 procent. Der, hvor hver agent besidder en egen Scoped Identity, faldt denne rate til 40,9 procent – en forskel på 23 procentpoint, som ikke lader sig bortdiskutere.

„Non-Human Identity-problemet er det største uløste strukturproblem i enterprise-agent-anvendelse i dag. Så længe agenter deler identiteter, deler de også risici – og det eksponentielt."

Overvågning ja, isolering nej: Containment-hullet

På niveauet for tekniske kontroller træder endnu et mønster frem: Monitoring og Enforcement er udbredt, Containment er det ikke. Omkring 47 procent af virksomhederne overvåger deres agenters aktiviteter via logging, mens yderligere 49 procent anvender Runtime Enforcement med skalerede rettigheder. Men kun 30 procent isolerer deres mest risikobetonede agenter i Sandboxes – den eneste foranstaltning, der i en kritisk situation faktisk begrænser Blast Radius.

Særlig oplysende er størrelses-korrelationen: Med voksende virksomhedsstørrelse stiger incident-raten ganske vist (fra 49 procent i mellemstore virksomheder til 63 procent hos større enterprises), men samtidig falder sandbox-isolationsraten fra 35 til 20 procent. Netop de organisationer, der kører flest agenter på tværs af flest systemer, har mindst gavn af den eneste kontrol i brug, der i tilfælde af fejl begrænser skaden.

Dr. Maik Bunzel, grundlægger og administrerende direktør for mabucon.eu, observerer dette mønster også i mellemstore virksomheder: Virksomheder undervurderer systematisk, at KI-agenter ikke blot er procesautomatiserere, men aktive aktører med systemadgang. Spørgsmålet er ikke længere om en agent får adgang til kritiske ressourcer, men under hvilke betingelser – og hvad der sker, når disse betingelser krænkes.

Provider-native sikkerhed: Bekvemt, men ikke tilstrækkeligt

Hvad angår de anvendte sikkerhedsværktøjer, afslører undersøgelsen en farlig bekvemmelighed. Sikkerhedsstakken hos de fleste virksomheder er provider-nativ: Guardrails fra OpenAI (51 procent), cloud-sikkerhedskontroller fra Google og Microsoft samt managed-agent Controls fra Anthropic dominerer billedet. Dedikerede, agentspecifikke sikkerhedsløsninger fra uafhængige udbydere spiller næsten ingen rolle.

Tilfredsheden med disse lånte sikkerhedsarkitekturer er bemærkelsesværdigt høj – i gennemsnit 4,2 ud af 5 point. Samtidig planlægger et klart flertal af virksomhederne at skifte deres security-tooling inden for det næste år. Man er tilfreds med værktøjer, som man allerede er på vej ud af at erstatte. Kun en tredjedel tror, at egne KI-forsvarsforanstaltninger kan holde trit med KI-drevne angribere – et ernüchterndes signal.

Det sikkerhedsbudget, der afsættes til agentspecifikke foranstaltninger, forbliver et lille segment af det samlede IT-security-budget. Investeringsvilligheden står ikke i noget rimeligt forhold til den operative betydning, KI-agenter allerede har i kritiske forretningsprocesser.

Hvad virksomheder nu strukturelt skal ændre

Implikationerne for organisationer, der anvender KI-agenter produktivt eller planlægger at indføre dem, er klare og konkrete:

• Agent Identity som arkitekturprincip: Enhver agent kræver en egen, snævert afgrænset digital identitet med princippet om minimale rettigheder (Least Privilege). Det er ikke en valgfri best practice, men en strukturel grundforudsætning.
• Sandbox-isolering for højrisiko-agenter: Agenter med adgang til kritiske systemer, finansielle data eller eksterne grænseflader skal operere i isolerede køretidsmiljøer, der begrænser Blast Radius ved kompromittering.
• Purpose-built Agent Security frem for Provider-Defaults: Modellproviderens Guardrails er ikke udviklet til komplekse multi-agent-arkitekturer med heterogen systemadgang. På mellemlang sigt har virksomheder brug for et dedikeret sikkerhedslag til deres agentinfrastruktur.
• Forensisk kapacitet som planlægningsparameter: Inden agenter sættes i produktion, skal følgende spørgsmål besvares: Kan vi efterfølgende rekonstruere, hvilken agent der udførte hvilken handling med hvilke credentials? Hvis ikke, er arkitekturen endnu ikke produktionsklar.
• Genkalibrering af sikkerhedsbudgettet: Andelen af sikkerhedsbudgettet afsat til agentspecifikke foranstaltninger skal vokse proportionalt med den operative afhængighed af disse systemer.

Perspektiv: Interventionsvinduet lukker sig

Dataene viser: De fleste virksomheder befinder sig i en mellemfase. De har KI-agenter i produktiv drift, men governance-strukturerne er endnu ikke vokset med. Dette vindue – hvori hændelser oftere er næsten-uheld end egentlige brud – er en strategisk mulighed, ikke en alt-klar-melding.

Dr. Maik Bunzel, grundlægger og administrerende direktør for mabucon.eu, ser dette som en af de vigtigste retningsskifter for den næste fase af enterprise-KI: Overgangen fra eksperimentelle agentpilotter til skalerbare, governance-modne agentarkitekturer kræver, at sikkerhed ikke eftermonteres, men designes ind fra begyndelsen. Virksomheder, der tager fat på dette nu, skaber ikke blot sikkerhed – de skaber forudsætningen for overhovedet at kunne anvende KI-agenter på en pålidelig måde i forretningskritiske sammenhænge.

Agent Security Gap er reel, målbar – og kan lukkes. Men kun hvis virksomheder holder op med at betragte den som et teknologiproblem hos deres leverandører og begynder at forstå den som en strategisk lederopgave.