Når AI-agenter stoler på hinanden – og hvorfor det er et sikkerhedsproblem

Tillidsproblemet i autonome AI-systemers tidsalder

Når man i virksomheder i dag overvejer AI-understøttet automatisering, støder man hurtigt på et tilsyneladende teknisk detalje, der i virkeligheden er et strategisk principspørgsmål: Hvor meget tillid må et system have til sig selv? Med fremkomsten af såkaldt Agentic AI – dvs. autonome AI-agenter, der selvstændigt planlægger, delegerer og udfører opgaver – rykker dette spørgsmål ind i centrum af sikkerhedsdebatten. En aktuel analyse fra forskningsgruppen ved Queen's University Belfast viser, at eksisterende sikkerhedsmodeller, herunder navnlig Zero-Trust-arkitekturer, støder på konceptuelle grænser under presset fra netværksforbundne AI-agenter.

Hvad er Zero-Trust – og hvorfor er det alene ikke længere tilstrækkeligt?

Princippet bag Zero-Trust-arkitektur (ZTA) er i grunden veletableret: Stol aldrig automatisk, verificer altid. Enhver adgang, enhver interaktion kontrolleres, uanset om den kommer indefra eller udefra. I klassiske IT-miljøer fungerer det fint. Men når autonome AI-agenter samarbejder i et netværk – styret af en såkaldt orchestrator, der fordeler og koordinerer opgaver – opstår der et grundlæggende dilemma.

Det kritiske punkt ligger ved Policy Enforcement Point (PEP), den centrale komponent, der håndhæver retningslinjer. Denne byggesten skal selv anses for pålidelig, for at hele systemet kan fungere. Men dermed brydes det egentlige Zero-Trust-løfte: Der findes trods alt én betroet instans – og netop denne bliver det foretrukne angrebsmål.

Den klassiske Zero-Trust-model blev udformet til statiske systemer med menneskelig tilsyn – ikke til autonomt agerende AI-agenter, der træffer og videregiver beslutninger på millisekunder.

Multi-agent-systemer i praksis: Effektivitet og blinde vinkler

Talrige teams verden over bygger i dag applikationer på basis af netværksforbundne AI-agenter – til risikovurdering, kundeprofilering, informationsanalyse eller automatiseret beslutningsstøtte. Effektivitetsgevinsten er reel og målbar. Men med kompleksiteten vokser angrebsfladen også.

Et særligt lumsk problem er den såkaldte Context Recovery Attack: Agenter instrueres bevidst i at slette bestemte historiske logs for at undgå en forvrængning af fremtidige beslutninger. Men et efterfølgende prompt kan føre til, at disse oplysninger alligevel rekonstrueres – agenten lokkes på en måde til at genfremdrage det slettede. Spørgsmålet om, hvorvidt instruktioner rent faktisk er blevet fulgt, kan næsten ikke besvares pålideligt i et kørende system.

Dr. Maik Bunzel, grundlægger og administrerende direktør for mabucon.eu, ser dette som en af de centrale udfordringer for virksomheder, der ønsker at satse på agentbaseret automatisering: „Multi-agent-systemers ydeevne står og falder med kvaliteten af det governance-lag, der ligger bag. En agent, man stoler på uden at kunne det, er ikke en automatiseringsfordel – den er en ukontrolleret risiko."

Vibe Coding og eksterne modeller: Undervurderede indfaldsveje

Et andet aspekt fortjener særlig opmærksomhed: trenden med det såkaldte Vibe Coding. Her anvender udviklingsteams KI-modeller til at generere eller revidere softwarekode – ofte i høj hastighed og uden fuldstændig kontrol af outputtet. Problemet opstår, når væsentlige dele af ens egen codebase overdrages til eksterne modeller, der ikke kan kontrolleres fuldt ud. Sikkerhedshuller, der opstår i denne proces, kan sprede sig på tværs af multiple systemoverflader – forskningen betegner dette fænomen som Vulnerability Sweeping.

For virksomheder betyder det: Ikke kun KI-agenterne selv, men også de værktøjer, der bruges til at udvikle og træne dem, skal inddrages i sikkerhedsvurderingen. Blind tillid til off-the-shelf-modeller uden virksomhedsegne Guardrails er ikke et spørgsmål om budget, men om risikobevidsthed.

De-autentificeringsangreb på sekunder – tidsvinduet skrumper

Et eksperiment fra Belfast illustrerer særligt tydeligt, hvor markant agentbaserede systemer ændrer dynamikken i cyberangreb. Ved klassiske de-autentificeringsangreb på netværksforbundne systemer – det vil sige målrettet afbrydelse af legitime forbindelser – kunne reaktionstiden ved hjælp af agentbaseret orkestrering reduceres til to til tre sekunder. Det er et tidsvindue, som knapt noget menneskeligt sikkerhedsteam kan reagere inden for.

Dette fund har umiddelbare implikationer for enhver virksomhed, der integrerer autonome agenter i sikkerhedskritisk infrastruktur: Angrebsfladen vokser ikke kun i bredden, men også i hastighed. Systemer med lav fejltolerance, der er baseret på ikke-sporbare agent-workflows, er særligt udsatte – da realtidsverifikation af enhver agentforespørgsel simpelthen ikke er beregningsmæssigt realiserbar i alle scenarier.

Horisontale anomalier: Den oversete risiko i agentnetværket

Et konceptuelt nyt risikobillede tegner sig i begrebet horisontale anomalier. Det betyder: En KI-agent, der opererer pålideligt og regelkonformt inden for en specifik opgave, er ikke nødvendigvis det i andre kontekster eller ved interaktion med andre systemkomponenter. Adfærden er kontekstafhængig – og dermed sværere at standardisere end hidtil antaget.

Denne erkendelse er relevant for virksomheder, der ønsker at opbygge agentsystemer modulært og udvide dem successivt. Validering af en agent i et defineret miljø er ikke en frirejse for dens adfærd i den samlede systemlandskab.

Løsningstilgange: Traceability, Distributed Ledger og AI-BOM

Forskningen peger også på mulige veje frem. To tilgange fortjener særlig opmærksomhed: For det første introduktionen af en AI Bill of Materials (AI-BOM) – det vil sige en struktureret dokumentation af alle komponenter, modeller og afhængigheder i et KI-system, analogt med den kendte Software Bill of Materials. For det andet anvendelsen af Distributed Ledger-teknologi, som gennem uforanderlighed og sporbarhed kan skabe en platformsuafhængig tillidsinfrastruktur.

Begge tilgange sigter mod at gøre tillid beviselig frem for at forudsætte den – og dermed indløse det egentlige løfte om Zero-Trust selv i agentbaserede miljøer. Dr. Maik Bunzel, grundlægger og administrerende direktør for mabucon.eu, understreger i denne sammenhæng, at virksomheder bør forankre revisionsmulighed som designprincip fra begyndelsen, når de opbygger automatiseringsinfrastrukturer – ikke som en efterfølgende compliance-funktion.

Hvad virksomheder bør gøre nu

• Governance før hastighed: Den, der indfører multi-agentsystemer, bør først afklare, hvilke beslutninger agenter må træffe autonomt – og hvilke der kræver menneskelig gennemgang.
• Revisionsmulighed som pligt: Enhver agentinteraktion bør være sporbart dokumenteret. Systemer uden logging-koncept er ikke egnede til sikkerhedskritiske anvendelser.
• Brug eksterne modeller bevidst: AI-tjenester fra tredjepartsudbydere – også til udviklingsopgaver – bør kun integreres i workflows med en klar gennemgang af databeskyttelse og sikkerhed.
• Planlæg redundante tillidslag: Ét enkelt pålideligt lag i systemet udgør et single point of failure. Robuste arkitekturer fordeler tillidsansvaret på flere niveauer.
• Tænk anomalidetektion horisontalt: Testscenarier bør ikke kun undersøge individuelle agenter isoleret, men også kortlægge deres adfærd i samspil med andre systemkomponenter.

Konklusion: Tillid skal fortjenes – og kunne bevises

Agentic AI er ikke en forbigående hype – det er den logiske videreudvikling af automatisering. Men med autonomi vokser ansvaret, og de tekniske sikkerhedsmodeller halter stadig bagefter denne udvikling. Zero-Trust er ikke et forældet koncept, men et ufuldstændigt et – det skal nytænkes og udvides til den agentbaserede verden.

For virksomheder betyder det: Det er fornuftigt og økonomisk attraktivt at tage hul på workflow-automatisering med KI-agenter. Men det kræver en sikkerhedsmæssig modenhed, der rækker langt ud over at opsætte en firewall. Som Dr. Maik Bunzel, grundlægger og administrerende direktør for mabucon.eu, formulerer det: Den, der sætter de rette Guardrails i dag, kan udnytte automatiseringshastigheden fuldt ud i morgen – den, der undlader det, betaler prisen senere og under dårligere betingelser.