AI förändrar spelreglerna för cyberattacker

Under många år har phishing varit den vanligaste bilden av hur ett cyberangrepp börjar. En användare klickar på fel länk, lämnar ifrån sig sina uppgifter och angriparen får tillgång till organisationens miljö. Nu håller den bilden på att förändras.

I Verizons Data Breach Investigations Report 2026 är exploatering av sårbarheter för första gången den vanligaste vägen in vid dataintrång. 31 procent av intrången börjar nu genom att en sårbarhet utnyttjas. Samtidigt gör AI det möjligt för angripare att hitta sårbarheter och skala upp attacker betydligt snabbare än tidigare.

För er innebär det framför allt en sak: tiden att agera blir kortare.

En sårbarhet kan öppna dörren till många organisationer

En kritisk sårbarhet i PTC Windchill och FlexPLM, system för produktdata och produktutveckling, är ett tydligt exempel. Sårbarheten fanns i internetexponerade system och kunde ge angripare möjlighet att köra kod på distans. När samma system används av många organisationer kan samma sårbarhet också utnyttjas mot många verksamheter samtidigt.

Angriparen behöver alltså inte lura en specifik användare hos varje företag. Automatiserade verktyg kan söka efter sårbara system och attackera många av dem parallellt. I en kampanj som analyserades av Cisco Talos använde en kriminell hackergrupp AI-baserade verktyg i attacker mot exponerade Windows- och Linux-servrar. På angriparnas infrastruktur hittades omkring 170 000 potentiella mål.

Det är en utveckling som är värd att ta på allvar. Inte för att varje sårbarhet leder till ett intrång, utan för att angriparna kan leta efter möjligheter i en helt annan skala än tidigare.

Tiden från sårbarhet till attack blir kortare

Att förstå en ny sårbarhet och utveckla ett fungerande exploit har traditionellt krävt avancerad specialistkompetens och mycket manuellt arbete. Med AI blir tröskeln lägre, eftersom avancerade AI-modeller kan användas för att analysera sårbarheter och utveckla exploit-kod samtidigt som delar av arbetet kan automatiseras.

Anthropic har exempelvis visat hur avancerade AI-modeller kan hitta sårbarheter och utveckla fungerande exploits. Google Threat Intelligence har samtidigt observerat hur hotaktörer använder AI för bland annat sårbarhetsanalys och exploitutveckling.

Vad betyder det för er? Framför allt att ni inte kan räkna med samma tidsmarginaler som tidigare. Organisationer som tidigare haft dagar eller veckor på sig att agera kan i framtiden behöva göra det inom timmar.

Utvecklingen syntes också i attacken mot Taiwan sommaren 2026. Där kombinerades mänskliga angripare med AI-agenter som kunde genomföra delar av attacken automatiskt och parallellt. Vi är ännu inte i en situation där AI självständigt genomför avancerade cyberattacker, människor väljer fortfarande mål och styr attackerna. Däremot ökar kapaciteten när fler delar kan automatiseras.

Försvaret behöver hänga med

När attackerna går snabbare blir det svårt att möta dem med enbart manuella processer. AI och automation får därför en allt viktigare roll även i cyberförsvaret.

För er handlar det bland annat om att:

• få koll på internetexponerade system och den egna attackytan
• prioritera sårbarheter utifrån den faktiska risken för verksamheten
• upptäcka och stoppa attacker snabbare
• automatisera säkerhetsarbete där det kan korta tiden från upptäckt till åtgärd.

Det betyder inte att allt säkerhetsarbete ska automatiseras. Det viktiga är att använda tekniken där den hjälper er att agera snabbare och prioritera rätt.

Räkna med att någon kan ta sig in

Snabbare detektion och patchning löser inte allt. När tiden från upptäckt sårbarhet till attack krymper behöver ni också ställa en obekväm men viktig fråga: vad händer om någon faktiskt tar sig in?

Det är kärnan i principen “assume breach”. Börja med att fundera på vad som är mest kritiskt för er verksamhet. Vilka system och vilken information måste ni kunna skydda? Titta sedan på hur en angripare skulle kunna nå dit och hur långt ett komprometterat konto eller en server skulle kunna ta sig i er miljö.

Här blir exempelvis segmentering och begränsade behörigheter viktiga. Ett intrång i en del av miljön ska inte automatiskt öppna dörren till resten.

Bygg en verksamhet som klarar att något går fel

Det är lätt att fokusera säkerhetsarbetet på att stoppa nästa attack. Minst lika viktigt är att veta vad ni gör om skyddet inte räcker.

Några bra frågor att ta med till nästa diskussion om cybersäkerhet är:

1. Vet ni vad som är mest kritiskt? Identifiera systemen och informationen som verksamheten verkligen är beroende av.
2. Vet ni hur en angripare kan nå dit? Se över vilka konton och system som kan skapa en väg vidare genom miljön.
3. Kan ni upptäcka ett intrång i tid? Förmågan behöver finnas även när något händer utanför ordinarie arbetstid.
4. Kan ni återställa verksamheten? Planen behöver fungera i praktiken, inte bara finnas dokumenterad.

Målet är inte att bygga en IT-miljö där inget någonsin kan gå fel. Det handlar om att begränsa konsekvenserna och kunna fortsätta verksamheten även när något faktiskt gör det.

AI väcker också frågan om digital autonomi

Utvecklingen av världens mest avancerade AI-modeller är idag starkt koncentrerad till framför allt USA och Kina. För Sverige och Europa innebär det ett växande beroende av teknik och AI-modeller som utvecklas utanför EU.

När AI får en större roll i cyberförsvaret blir digital autonomi därför också en säkerhetsfråga. Det betyder inte att ni behöver göra allt själva. Däremot är det klokt att veta vilka tekniska beroenden ni har och var er data hanteras. Ni behöver också förstå vilka alternativ som finns om förutsättningarna förändras.

En bra fråga att ställa är helt enkelt: vilken teknik är vi beroende av och hur stor kontroll har vi över den?

Från prevention till motståndskraft

AI förändrar förutsättningarna för både angrepp och försvar. För er handlar det inte om att försöka förutse varje ny attack, utan om att bygga ett säkerhetsarbete som fungerar även när hotbilden förändras.

Börja med det mest kritiska. Ta reda på hur en angripare skulle kunna nå dit och se till att ni kan upptäcka ett intrång i tid. Bygg sedan förmågan att begränsa konsekvenserna och återställa verksamheten om något går fel.

Det är ett arbete som behöver ske systematiskt och över tid. När attackerna går snabbare blir förmågan att prioritera rätt minst lika viktig som förmågan att reagera snabbt.

Hur väl rustade är ni om ett intrång sker? Genom att förstå era attackvägar och se över förmågan att agera snabbt får ni en bättre bild av var säkerhetsarbetet behöver stärkas, även utanför ordinarie arbetstid.