AI finder sikkerhedshuller hurtigere end før, og tempoet stiger

Der er en grund til, at AI-sikkerhed ikke længere kun er noget for eksperterne i kælderen. En ny undersøgelse fra Lyptus Research peger på, at AI-modellers offensive cyber-evner nu forbedres i et tempo, som almindelige it-afdelinger får svært ved at følge med i, hvis de arbejder som sidste år.

💡 Tallene i korte træk Siden 2024 er de offensive cyber-evner ifølge undersøgelsen blevet fordoblet cirka hver 5,7 måned. Ser man helt tilbage til 2019, ligger fordoblingstiden på 9,8 måned.

Studiet bruger METR’s såkaldte time-horizon-metode og bygger på test med ti professionelle sikkerhedseksperter og 291 opgaver. Konklusionen er konkret nok til at gøre ondt: Opus 4.6 og GPT-5.3 Codex kan nu med 50 procents succes løse opgaver inden for sårbarheder og angreb, som ellers ville tage en menneskelig ekspert omkring tre timer. Når tokenbudgettet hæves fra to til ti millioner, stiger GPT-5.3 Codex’ tidshorisont fra 3,1 til 10,5 timer. Det tyder på, at udviklingen muligvis går hurtigere, end målingen allerede viser.

For danske virksomheder og offentlige organisationer er det her ikke en historie om science fiction. Det er en historie om drift. Hvis en model kan hjælpe en angriber med at finde, forstå og udnytte fejl hurtigere, så bliver gamle vaner endnu dyrere. En glemt server, en slap adgangsstyring eller en intern app uden ordentlig logning er ikke bare et hul. Det er et hul, som kan findes hurtigere og bruges mere systematisk.

💡 Det praktiske problem Open source-modeller ligger ifølge studiet cirka 5,7 måneder efter de lukkede modeller. Det er nok til, at trusselsbilledet flytter sig, selv hvis man kun holder øje med de mest kendte værktøjer.

Mandag morgen-rådet er ret enkelt. Få styr på patching, begræns adgange, og sørg for at kritiske systemer ikke kan nås bredere end nødvendigt. Kør gerne interne øvelser, hvor I tester, hvor hurtigt jeres egne folk kan finde en fejl med og uden AI. Hvis forskellen er stor, er det et tegn på, at en modstander også kan flytte sig hurtigere.

Det her betyder ikke, at alle skal gå i panik eller slukke for AI. Men det betyder, at sikkerhed ikke længere kan planlægges som et kvartalsprojekt. Når angrebssiden lærer hurtigere, skal forsvarssiden gøre det samme. Ellers bliver regningen betalt et sted mellem driften, omdømmet og den næste incident-rapport.