Säkerhet har nu AI på båda sidor

I januari 2026 rapporterade kantonpolisen i Schwyz om ett fall som för några år sedan hade låtit som fiktion. Under två veckor ringde bedragare upp ägaren till ett lokalt företag och utgav sig för att vara en affärspartner som han kände, med en röst som manipulerats av AI. Under täckmantel av en konfidentiell internationell affär gjorde han flera överföringar till ett värde av flera miljoner franc till ett konto i Asien. Bedrägeriet upptäcktes först efter att pengarna var borta.

Det är ena sidan av säkerheten i dag: angripare som använder AI. Den andra sidan finns inne i företaget, där agenter läser e-post, har nycklar och skickar saker utåt. Ett företag måste planera för båda. Vi bygger agenter för vårt eget arbete och för kunder, så ingen av sidorna är abstrakt för oss.

En bekant röst

Schwyz-fallet står inte ensamt. I februari 2025 rapporterade Reuters att bedragare hade klonat rösten på Italiens försvarsminister Guido Crosetto för att be företagsledare om pengar för att frita kidnappade journalister. Massimo Moratti, tidigare ägare till Inter Milan, skickade nästan en miljon euro innan polisen spårade pengarna till ett konto i Nederländerna och spärrade det.

FBI räknar numera sådana fall för sig. Dess rapport om internetbrott 2025 listar mer än 22'000 anmälningar som nämnde AI, med justerade förluster på över 893 miljoner dollar, och noterar att många offer inte inser hur stor del AI hade. Företag förlorade mer än 30 miljoner dollar på e-postbedrägerier med inslag av AI, där ett övertygande meddelande eller en klonad röst ber om en betalning. Byrån beskriver också anställningsintervjuer som hållits med förfalskade röster, möjligen deepfakes, oftast för att få tillgång till ett företags nätverk.

Nätfiske utan stavfel

Skriftliga attacker förändrades lika mycket. Microsofts Digital Defense Report 2025 visade att nätfiskemejl som automatiserats med AI klickades på i 54 procent av fallen, mot 12 procent för vanliga. ENISA, EU:s cybersäkerhetsbyrå, skrev i oktober 2025 att AI-stött nätfiske enligt uppgift stod för mer än 80 procent av den observerade verksamheten med social manipulation i världen i början av 2025.

Angripare använder också AI för själva intrånget. I november 2025 rapporterade Anthropic om en kampanj som man med hög säkerhet tillskrev en kinesisk statsstödd grupp, som använde Claude Code mot ett trettiotal organisationer och lät AI:n göra 80 till 90 procent av arbetet. Den lyckades i ett litet antal fall. OWASP:s sammanställning för första kvartalet 2026 lägger till ett intrång hos mexikanska myndigheter där angripare enligt uppgift använde Claude och ibland ChatGPT.

De gamla varningssignalerna, en klumpig mening eller en märklig röst, fungerar inte längre. Förtroende måste komma från processen, inte från sinnena.

Ord som agerar

Inne i företaget har risken en annan form. En chattbot som ger ett fel svar är en pinsamhet. En agent som gör en fel handling är en incident. Den grundläggande svagheten är promptinjektion, först på OWASP:s lista från 2025 över risker för applikationer byggda på språkmodeller: instruktioner som gömts i en webbsida, en fil eller ett mejl som modellen läser och följer.

Storbritanniens nationella cybersäkerhetscentrum (NCSC) förklarade i december 2025 varför det är så envist. Språkmodeller upprätthåller ingen gräns mellan instruktioner och data, så promptinjektion kanske aldrig helt går att avhjälpa, på det sätt som SQL-injektion gick. Arbetet går ut på att minska risken och dess verkan. Utvecklaren Simon Willison namngav den farliga blandningen i juni 2025: privata data, opålitligt innehåll och ett sätt att kommunicera utåt. En agent med alla tre kan få en främlings text att skicka iväg dina data.

Agenter med nycklar

Verkliga incidenter följer den formen. I juni 2025 visade Aim Labs att Microsoft 365 Copilot kunde förmås läcka interna data genom ett enda mejl, utan att offret klickade på något. Microsoft hade åtgärdat felet och såg inga tecken på missbruk. I augusti 2026 publicerade Varonis CoSnitch, en kedja av brister i Copilot Personal. En konstruerad länk körde en angripares prompt i offrets session, använde dess kopplingar till Gmail, Google Drive, Google Kalender och OneDrive, och skickade ut resultaten via Copilots egen funktion för att hämta webbsidor. Planterade instruktioner låg kvar i dess minne även efter ett lösenordsbyte. Det felaktiga antagandet, skrev forskarna, var att varje anrop till en koppling kom från användaren.

Kopplingar är leverantörer, med en leverantörs risker. I september 2025 publicerade ett paket i npm-registret, som utgav sig för att vara MCP-servern för e-posttjänsten Postmark, femton rena versioner och lade sedan till en enda rad som kopierade varje utgående mejl till angriparen. Det hade omkring 1'500 nedladdningar på en vecka när Koi Security flaggade det.

OWASP:s Top 10 för agentiska applikationer, publicerad i december 2025, namnger nu dessa risker, från kapning av mål och missbruk av verktyg till förgiftat minne och oregerliga agenter. Dess sammanställning för tredje kvartalet 2026 lägger till en nykter poäng: agenter kan göra skada bara genom att fullfölja den uppgift de fått, och alltför vida behörigheter förvandlar ett litet fel till ett stort. Instruktioner i en prompt utgör inte i sig någon säker gräns.

Försvar som håller

De försvar som fungerar på båda sidor delar en idé. De förlitar sig inte på att någon, person eller modell, upptäcker tricket i stunden. De begränsar vad en lurad person eller en vilseledd agent kan göra.

För människor listar polisen i Schwyz vad som hjälper: verifiera varje brådskande eller ovanlig betalning via en andra, oberoende kanal, håll fyra ögon på stora belopp, och gör ingen överföring utomlands utan dokumenterat godkännande.

För agenter gäller det att ge var och en den snävaste åtkomst som dess uppgift kräver. När en modell läser innehåll från en part, säger NCSC, bör dess behörigheter sänkas till den partens nivå. Bryt trifektan. Lägg sändning, betalning, publicering och radering bakom en spärr som modellen inte kan prata sig förbi. Kör varje skrivåtgärd under identiteten hos den som bad om den, håll autentiseringsuppgifter utom räckhåll, behandla varje koppling som en ny leverantör, och logga vad agenten gjorde, inte bara vad den sa.

AI kan ta rutinkontrollerna och läsandet. Det som förblir mänskligt är pausen när en begäran känns fel, omdömet att ringa tillbaka och ansvaret hos den som undertecknar.

Så bygger vi våra

Kontor, vår koppling till bexio, är en hostad MCP-server, så ingen nyckel ligger på en bärbar dator, och var och en loggar in med sin egen inloggning. Utskick, betalningar och påminnelser finns inte ens tillgängliga för assistenten. Twin tillämpar samma regler i hela företaget: åtkomst per roll, varje skrivåtgärd inloggad per användare, varje steg loggat.

Där data är för kritiska för någon extern anslutning finns Eigna, som byggs av vår partner Eigna Labs: en privat modell per företag, i det egna molnet eller på de egna servrarna, byggd för att kunna köras helt offline i slutna nätverk och tränad att vägra hacking och attacker. Och Timbre, vår produkt för röstassistenter och röstkloner, klonar en röst bara med talarens samtycke.

Ett företag kan börja redan den här veckan. Bestäm en regel om återuppringning för varje betalningsbegäran, säg till varje team att en bekant röst inte längre är något bevis, lista varje agent och koppling med den åtkomst den har, och ta bort det den inte behöver.