Da Anthropic i april ga et begrenset antall virksomheter tilgang til AI-modellen Claude Mythos, var hensikten blant annet å finne ut hvor kraftig teknologien faktisk var.
Palo Alto Networks var blant selskapene som fikk prøve modellen på egne systemer. Resultatet ga en pekepinn på hva som kan vente virksomheter når stadig kraftigere AI-modeller tas i bruk – både av dem som forsvarer digitale systemer, og av dem som forsøker å bryte seg inn.
I podkasten Teknologi og mennesker møter programleder Christian Brosstad i Atea Ulf Rasmussen, teknisk leder i Palo Alto Networks, og Kato Kristiansen, IT-sikkerhetssjef i Atea.
Temaet er ikke bare én ny AI-modell. Det handler om hva som skjer med hele trusselbildet når oppgaver som tidligere krevde store sikkerhetsteam, mye kompetanse og lang tid, kan gjennomføres automatisk.
Artikkelen fortsetter etter annonsen:
Service- og tjenestekonferansen 2026, 06.11 - spor D: Beredskap og sikkerhet – når tjenestene settes på prøve
Angrepene går stadig raskere
Palo Alto Networks analyserer hvert år sikkerhetshendelser selskapets eksperter har bistått kunder med. I fjor var rundt 750 hendelser en del av datagrunnlaget.
Utviklingen er tydelig: Tiden fra en angriper kommer seg inn i et system til data blir hentet ut, blir stadig kortere.
Rasmussen mener økt automatisering og bruk av AI på angripersiden er en del av forklaringen.
– Hvis jeg synes AI gjør det lettere for meg å få gjort oppgaver i arbeidshverdagen, gjelder det samme for angriperne. De har også en liste over ting de skal få gjort i løpet av en dag. Hvis de kan gjøre noen av dem raskere, blir de mer effektive.
Konsekvensen er at virksomhetene får stadig mindre tid til å oppdage og stoppe et angrep.
– Alt skjer i maskinhastighet. Da må forsvaret også i større grad benytte seg av maskinhastighet, sier Rasmussen.
Claude Mythos finner sammenhenger mennesker overser
Det spesielle med modeller som Claude Mythos er ikke bare at de kan analysere store mengder kode raskt.
De kan også kombinere funn på en måte som tradisjonelle sikkerhetsverktøy og mennesker ikke nødvendigvis gjør.
En enkelt sårbarhet kan isolert sett fremstå som lite alvorlig. Men dersom modellen oppdager flere mindre svakheter og finner ut hvordan de kan brukes sammen, kan resultatet bli en reell vei inn i systemet.
– Hvis en sikkerhetsanalytiker finner en sårbarhet og vurderer den som lite kritisk, kan Mythos likevel bruke den for det den er verdt for å komme til neste steg. Så identifiserer den en ny sårbarhet og finner til slutt en vei inn, forklarer Kristiansen.
Rasmussen peker på at dette utfordrer den tradisjonelle måten sikkerhetsbransjen rangerer sårbarheter på.
– Ting som tidligere ikke har vært kritiske, kan bli kritiske fordi modellene klarer å kjede flere sårbarheter sammen.
Denne typen arbeid har tidligere vært forbeholdt svært kompetente angripere med betydelige ressurser.
AI kan endre det regnestykket.
Artikkelen fortsetter etter annonsen:
Service- og tjenestekonferansen 2026, 06.11 - spor D: Beredskap og sikkerhet – når tjenestene settes på prøve
Fant langt flere sårbarheter enn normalt
Palo Alto Networks brukte Mythos til blant annet å undersøke egen programvare, kode og infrastruktur.
Selskapet har rundt 130 ulike programvareløsninger som ble testet med modellen.
Resultatet var merkbart.
– I mai hadde vi seks ganger så mange sårbarheter som vi normalt ville ha hatt i en tilsvarende periode. Det er en direkte effekt av testingen vi fikk gjøre, sier Rasmussen.
Poenget er ikke nødvendigvis at programvaren plutselig var blitt mindre sikker. Sårbarhetene hadde allerede vært der.
Forskjellen var evnen til å finne dem.
Og dersom forsvarerne kan bruke AI til dette, kan angriperne etter hvert gjøre det samme.
Kristiansen trekker særlig frem såkalte nulldagssårbarheter – sikkerhetshull som ikke er kjent fra før, og som det derfor heller ikke finnes en tilgjengelig oppdatering for.
Tidligere kunne slike sårbarheter være svært verdifulle og krevde store ressurser å oppdage.
– Nå dukker disse sårbarhetene opp langt raskere. Modellene finner svakheter som egentlig har vært der hele tiden, men som ingen har visst om.
Patching kan bli den nye flaskehalsen
Tradisjonelt har det å oppdage sårbarheter vært en krevende del av sikkerhetsarbeidet.
Med AI kan flaskehalsen flytte seg.
I stedet for å bruke mest tid på å finne feilene, kan utfordringen bli å klare å rette dem raskt nok.
– Før var kanskje flaskehalsen å finne sårbarhetene. Nå kan den flytte seg til å få dem fikset, sier Rasmussen.
Det får konsekvenser for hvordan virksomheter arbeider med oppdateringer.
Mange IT-miljøer har tradisjonelt testet patcher grundig før de rulles ut i produksjon. Det reduserer risikoen for at en oppdatering skaper nye problemer.
Men når tiden mellom oppdaget sårbarhet og mulig utnyttelse blir stadig kortere, kan virksomhetene bli nødt til å automatisere langt mer.
– Vi kan ikke gjøre disse prosessene manuelt lenger, sier Kristiansen.
Det kan også tvinge frem vanskeligere beslutninger. Hvor stor risiko kan virksomheten ta for nedetid? Når er et sikkerhetshull alvorlig nok til at en kritisk applikasjon må stenges før en oppdatering er klar?
Det er spørsmål flere ledere kan bli nødt til å ta stilling til.
Artikkelen fortsetter etter annonsen:
Service- og tjenestekonferansen 2026, 06.11 - spor D: Beredskap og sikkerhet – når tjenestene settes på prøve
AI kan automatisere hele angrepet
Det virkelig store skiftet kommer dersom AI-modeller blir i stand til å gjennomføre stadig større deler av et cyberangrep uten menneskelig hjelp.
Rasmussen peker på skalaen som en av de viktigste forskjellene.
En menneskelig angriper har begrenset kapasitet. En automatisert løsning kan forsøke det samme angrepet mot tusenvis av virksomheter samtidig, identifisere hvor det fungerer og deretter fortsette angrepet mot de mest lovende målene.
– Hvis du kan automatisere hele greia, er det skummelt.
Palo Alto Networks har allerede gjennomført simuleringer der et angrep kunne fullføres autonomt på rundt 25 minutter.
Kristiansen mener utviklingen peker mot stadig mer autonome angrep.
– Jeg tror vi nærmer oss punktet hvor disse modellene kan fullføre veldig mye av angrepskjeden på egen hånd.
Når slike kapabiliteter etter hvert blir billigere og mer tilgjengelige, kan terskelen for avanserte angrep også bli lavere.
Små virksomheter slipper ikke unna
Det er lett å tro at avanserte AI-angrep først og fremst er et problem for banker, myndigheter og store teknologiselskaper.
Det kan være en farlig antakelse.
Store virksomheter kan være attraktive mål, men de har ofte også større sikkerhetsmiljøer og bedre evne til å håndtere alvorlige hendelser.
Mindre virksomheter kan være lettere å angripe – og kan samtidig fungere som inngangsport til større kunder og samarbeidspartnere.
Leverandørkjedeangrep er allerede en betydelig utfordring.
– De som angriper, går den enkleste veien til målet. Ofte kan en underleverandør være den åpne døren inn i et større selskap, sier Rasmussen.
Kristiansen mener norske virksomheter derfor må forstå at størrelse ikke er noen garanti for å gå under radaren.
– Vi har kanskje litt flokkmentalitet og tenker at dette ikke skjer oss fordi vi ikke er interessante nok. Men er du eksponert mot internett, er du et mulig mål.
Siloer gjør automatisert forsvar vanskeligere
Når angrepene automatiseres, blir det også vanskelig å basere forsvaret på mennesker som manuelt følger med på en rekke forskjellige systemer.
Mange virksomheter sitter i dag med et stort antall sikkerhetsverktøy, konsoller og dashboards.
Det skaper fragmentert informasjon og gjør automatiserte beslutninger vanskeligere.
Kristiansen mener markedet derfor beveger seg mot mer konsoliderte sikkerhetsplattformer.
– Kundene ønsker ett sted som forteller hvordan ting står til.
Rasmussen mener dette er avgjørende dersom AI skal kunne brukes effektivt på forsvarssiden.
– Skal du ta automatiske beslutninger, må du ha et best mulig beslutningsgrunnlag.
Jo bedre oversikt systemene har over identiteter, nettverk, endepunkter, applikasjoner og hendelser, desto bedre forutsetninger får de for å oppdage sammenhenger og reagere automatisk.
Lederne må vite hva som faktisk er kritisk
Til tross for den raske teknologiske utviklingen mener Rasmussen og Kristiansen at de viktigste rådene til norske virksomheter egentlig ikke er nye.
AI gjør dem bare mer presserende.
Det første er å vite hvilke digitale tjenester virksomheten faktisk er avhengig av.
– Få en god oversikt over hva dere har, hva dere bruker, hva som er kritisk og hva som er mindre kritisk. Da kan dere lage gode katastrofe- og beredskapsplaner, sier Rasmussen.
Når en alvorlig hendelse først oppstår, er det for sent å begynne diskusjonen om hvilke systemer som må prioriteres.
Kristiansen mener samtidig at altfor få norske virksomheter faktisk øver på krisesituasjoner.
– Mange har kanskje gjort en papirøvelse, men aldri kjent på hvordan det faktisk er. Hva er viktig for bedriften? Hva tåler vi ikke at stopper? Og hva kan vi leve uten i en kortere eller lengre periode?
Virksomhetene bør også vite hvem som har myndighet til å ta avgjørelser dersom noe skjer.
Hvem kan stenge ned et forretningskritisk system? Hvem kommuniserer med kunder? Og hvem bestemmer når normal drift kan gjenopptas?
– Hvis du ikke har gjort dette forarbeidet, kan jeg garantere at det blir kaos, sier Kristiansen.
Tre grep ledere kan starte med nå
Budskapet fra sikkerhetsekspertene kan oppsummeres i tre områder.
For det første må virksomheten skaffe oversikt. Kartlegg hvilke systemer, tjenester, brukere og leverandører dere faktisk har – og hvilke som er mest kritiske.
For det andre må grunnsikringen være på plass. Systemene må holdes oppdatert, unødvendige angrepsflater må reduseres og virksomheten bør bruke phishing-resistent flerfaktorautentisering der det er mulig.
For det tredje må virksomheten forberede seg på at noe faktisk vil skje. Beredskapsplaner må ikke bare eksistere på papir. De må testes.
Rasmussen sammenligner angrepsflaten med et hus.
– Hvor mange dører og vinduer har du? Er noen av dem åpne? Hvem har nøkkel? Få oversikt over hvor du er eksponert, og prøv å redusere det der du kan.
Claude Mythos og kommende AI-modeller endrer med andre ord ikke nødvendigvis oppskriften på god cybersikkerhet.
Men de endrer tempoet.
Og når angriperne kan operere i maskinhastighet, blir marginene for å utsette sikkerhetsarbeidet stadig mindre.
– Hold hodet kaldt og beredskapsplanene klare, sier Rasmussen.
10 råd til ledere:
- Kartlegg hva virksomheten faktisk har
Skaff oversikt over systemer, applikasjoner, brukere, enheter og leverandører. Du kan ikke beskytte det du ikke vet at du har. - Prioriter det som er forretningskritisk
Avklar hvilke tjenester virksomheten ikke kan klare seg uten, og hva som kan være utilgjengelig i timer eller dager. - Automatiser oppdateringer og patching
Når AI kan finne sårbarheter raskere, blir manuelle og månedlige oppdateringsrutiner for trege. - Reduser angrepsflaten
Fjern unødvendige tjenester, tilganger og åpne systemer. Jo færre «dører og vinduer» virksomheten har åpne, desto mindre kan angriperne utnytte. - Bruk phishing-resistent flerfaktorautentisering
Sterk autentisering gjør det vanskeligere å misbruke stjålne brukernavn og passord. - Øv på alvorlige cyberhendelser
Ikke la beredskapsplanen bli liggende i en skuff. Gjennomfør realistiske øvelser og test hvordan organisasjonen faktisk reagerer. - Avklar ansvar før krisen oppstår
Bestem hvem som kan stenge systemer, kontakte kunder, varsle myndigheter og ta kritiske beslutninger under et angrep. - Bryt ned sikkerhetssiloene
For mange separate verktøy og dashboards gjør det vanskelig å oppdage sammenhenger. Samle data og sikkerhetsfunksjoner slik at virksomheten kan reagere raskere. - Still sikkerhetskrav til leverandørene
Angripere velger ofte den enkleste veien inn. En svak underleverandør kan bli inngangsporten til resten av virksomheten. - Forbered dere på angrep i maskinhastighet
Når angriperne automatiserer stadig mer med AI, må også forsvarssiden kunne oppdage, analysere og reagere automatisk. Målet er ikke å frykte teknologien, men å være rigget for et langt høyere tempo.
