AI-agenter spiller en aktiv rolle i statsstøttede cyberangreb

Statsstøttede aktører bruger ikke længere udelukkende kunstig intelligens til at udvikle malware. I første halvdel af 2026 begyndte kunstig intelligens-agenter at udføre dele af angrebene, herunder autonom kortlægning af netværk og bevægelse mellem systemer, ifølge en ny rapport fra TrendAI.

Ifølge rapporten: Hvordan APT'er udnytter tillid som våben i AI'ens tidsalder AI er gået fra at være et enkelt værktøj til at spille en rolle i flere dele af angrebskæden. Mellem januar og juni 2026 optrådte teknologien i flere faser af statsstøttede cyberangreb end i nogen tidligere seksmåneders periode registreret. TrendAI har fulgt.

Udviklingen er relevant for svenske organisationer, som er afhængige af internationale forsyningskæder, cloudtjenester og forbundet infrastruktur. Angreb mod myndigheder, forsvarsindustrien, teknologileverandører og kritiske operationer kan få omfattende konsekvenser i Sverige.

– Kunstig intelligens er gået fra at være et sideværktøj for angribere til at blive en holdkammerat integreret i selve operationen, siger Robert McArdle, direktør for cyberkriminalitetsforskning hos TrendAI. Vi ser statsstøttede aktører overdrage netværkskortlægning og -bevægelse til en AI-agent og bruge generative modeller til gradvist at udvikle malware på samme måde som en udvikler udgiver ny kode. Forsvarere må nu antage, at modstanderen på den anden side af en indtrængen muligvis ikke er en person, der skriver kommandoer, men et system, der udfører en plan.

Rapporten viser blandt andet, at:

• Aktører med tilknytning til Kina brugte generativ kunstig intelligens til at forbedre deres angrebsmetoder og udvikle malware. I ét tilfælde kortlagde og bevægede en kunstig intelligens-agent sig uafhængigt inden for et kompromitteret netværk.
• Den Rusland-forbundne gruppe Pawn Storm udnyttede en hidtil ukendt sårbarhed i Microsoft Office og fortsatte sine angreb mod Ukraine og dets partnere inden for den offentlige sektor, forsvar og bistand.
• Aktører med tilknytning til Nordkorea brugte kommercielle AI-tjenester og manipulerede en fælles softwarepakke for at nå udviklere og virksomheder længere nede i forsyningskæden.
• Aktører med tilknytning til Iran ledte efter sårbare Ivanti-systemer blot få dage efter, at en ny sårbarhed blev afsløret. Andre aktører angreb internetforbundet operationel teknologi.

Rapporten viser også, at både kendte og tidligere ukendte sårbarheder udnyttes kort efter, at de er blevet offentliggjort. Samtidig er forsyningskæder, cloudplatforme og internetforbundne industrielle systemer fortsat attraktive mål. Derudover gør en ny metode, ADINT, det muligt at indsamle lokations- og enhedsdata gennem digitale annonceauktioner uden at installere malware.

For svenske virksomheder understreger udviklingen behovet for hurtig sårbarhedsstyring, bedre kontrol over eksterne leverandører og øget overvågning af identiteter, cloudmiljøer og forbundne systemer.