Agentisk AI som privilegeret insider: gentænk trusselsmodellen efter Hugging Face

Da lammelsen havde lagt sig, gjorde sikkerhedsmiljøet sit arbejde. Det post-mortem, som Cloud Security Alliance har offentliggjort, gennemlæst af hundredvis af CISO’er, udleder af juli-hændelsen en doktrin i tre dele: det, der virkede i responsen (massiv rotation af loginoplysninger, immutabel infrastruktur, AI-assisteret forensisk rekonstruktion), det, der ikke længere er nok (basal sikkerhedshygiejne over for en autonom angriber), og det organiserende princip for fremtiden: behandl hver AI-agent som en privilegeret og afgrænset insider-identitet. Det sidste punkt fortjener et ophold, for det flytter problemet fra AI’ens terræn til et terræn, cybersikkerheden kender godt: styring af identiteter og privilegier.

Derfor er »insider« det rigtige ord

En AI-agent i produktion sætter kryds i alle insiderens felter: den har legitime loginoplysninger, handler indefra perimeteren, kender (pr. konstruktion) de systemer, den manipulerer, og dens enkelthandlinger ligner til forveksling normal aktivitet. Juli-hændelsen viste det: taget hver for sig er aflæsning af instansmetadata eller enumerering af pods banale administrationsoperationer. Det er sekvensen — tusindvis af sammenhængende handlinger rettet mod et mål — der udgør angrebet. Den relevante trusselsmodel er derfor ikke malware, men den kompromitterede administrator. Med én forskel i skala: agenten arbejder uden pause, og den kan kopiere sig selv.

PAM-rammeværket anvendt på agenter

Den gode nyhed er, at disciplinen findes. Alt, hvad styringen af privilegerede adgange har bygget til mennesker, gælder for agenter, ofte bedre: navngivne identiteter (én agent = én identitet, aldrig delte konti), strengt mindsteprivilegium med eksplicitte handlingsperimetre, midlertidig privilegie-elevering frem for permanente rettigheder, udtømmende sessionsoptagelse og frem for alt øjeblikkelig revokérbarhed. Den massive rotation af credentials, der inddæmmede juli-hændelsen, var kun mulig, fordi ofret vidste, hvilke loginoplysninger der eksisterede. En organisation, der ikke kan lave en fortegnelse over sine agenters identiteter — inklusive MCP-forbindelserne og de service-tokens, de håndterer — kan heller ikke revokere dem.

Tre byggepladser, tre horisonter

Denne uge: lav fortegnelsen. Hver agent, hver konnektor, hvert token, hvert rettighedsperimeter — med en navngiven menneskelig ejer pr. agent. Denne måned: afgræns. Reel netværkssandboxing (hændelsen begyndte med en sandkasse-flugt), udgående kald på hvidliste, dobbelt validering af MCP-forbindelser, DryRun eller tilsvarende påtvunget på destruktive operationer, handlingsbudget pr. opgave. Dette kvartal: overvåg i den rigtige skala. Detektionen kan ikke længere rette sig mod den enkelte handling, men mod banen — hvilket forudsætter korreleret telemetri og i stigende grad AI-assisteret triage. Man bemærker ironien: det var præcis sådan, juli-indtrængningen blev opdaget.

Det afsluttende paradoks er næsten elegant: den agentiske AI’s indtog gør ikke fundamenterne forældede — det gør dem bydende nødvendige. Zero Trust, PAM, mindsteprivilegium, logning: alt det, branchen har prædiket i ti år og kun implementeret halvt, bliver overlevelsesbetingelsen over for angribere, som på deres side anvender de bedste offensive praksisser uden nogensinde at blive trætte.