AI ændrer cybersikkerheden: Identitet er dit bedste forsvar

Kunstig intelligens omformer cybersikkerheden på begge sider af kampen. Sikkerhedsteams bruger den til at automatisere trusselsdetektion, sætte fart på undersøgelser og mindske alarmtræthed. Angribere bruger den samme teknologi til at køre hurtigere, mere overbevisende og mere skalerbare kampagner.

Spørgsmålet er ikke længere, om AI påvirker din sikkerhedsstrategi. Det gør den allerede. Det virkelige spørgsmål er, om dine fundamenter kan holde til angreb, der nu udfolder sig på minutter i stedet for dage, og om du ved, hvad en stjålet legitimationsoplysning faktisk har lov til at gøre, når den virker.

Det andet spørgsmål er et identitetsspørgsmål. Det er også det, de fleste organisationer ikke kan svare på hurtigt.

AI sætter fart på kendte angreb, den opfinder ikke nye

Det meste af dækningen af AI i cybersikkerhed fokuserer på nye angrebsteknikker. De målte data peger et mindre dramatisk og mere handlingsrettet sted hen: AI gør velkendte angreb hurtigere og billigere, ikke grundlæggende anderledes.

Verizons Data Breach Investigations Report for 2026 analyserede AI-assisteret angriberaktivitet i samarbejde med Anthropic og dækkede 793 trusselsaktører, som blev sanktioneret for politikovertrædelser mellem marts 2025 og februar 2026. I median-tilfældet søgte de aktører AI-assistance på tværs af cirka 15 forskellige MITRE ATT&CK-teknikker, og færre end 2,5 % af de observerede teknikker blev klassificeret som sjældne. Phishing-relateret aktivitet stod for 44 % af den AI-assisterede første adgang.

Med andre ord bruger angribere AI som et driftsværktøj til at skalere teknikker, som forsvarerne allerede kender, ikke til at låse ukendte teknikker op.

Det har betydning for, hvordan du prioriterer. Opgaver, der før tog timer med manuel forberedelse, tager nu sekunder: personaliserede phishing-mails, der spejler en kollegas skrivestil, flersprogede social engineering-kampagner, målresearch samlet fra offentlige kilder og stemme- eller videodeepfakes, der bruges til at udgive sig for at være ledere. Barrieren for at køre en effektiv kampagne har aldrig været lavere, og vinduet til at opdage en kompromitteret konto, før den laterale bevægelse begynder, bliver ved med at skrumpe.

Teknikkerne kan genkendes. Tidslinjen kan ikke.

Om phishing genereret af AI: Sådan har AI-drevet phishing ændret, hvordan en mistænkelig e-mail ser ud

Angribere bryder ind via sårbarheder og bevæger sig derefter med legitimationsoplysninger

Det er her, dataene for 2026 bliver interessante, og hvor en stor del af budskaberne om identitetssikkerhed nu er forældede.

For første gang i DBIR’s 19-årige historie blev udnyttelse af sårbarheder den mest almindelige vektor for første adgang og stod for 31 % af bruddene, op fra 20 % året før. Misbrug af legitimationsoplysninger som selvstændig første vektor faldt til 13 %. Hvis du kun læser overskriften, ville du konkludere, at identitetstruslerne er på vej tilbage.

De fulde bruddata siger noget andet. Når Verizon tæller misbrug af legitimationsoplysninger ethvert sted i bruddets forløb og ikke kun ved det første trin, optræder det i 39 % af bruddene, mere end nogen anden enkelt teknik i datasættet. Stjålne legitimationsoplysninger holder sig stabilt på 36 % på tværs af varianter af brudhandlinger. I brud af typen System Intrusion er stjålne legitimationsoplysninger og udnyttede sårbarheder lige almindelige med 39 % hver.

Mønstret har to trin:

1. Indtrængen kommer i stigende grad fra en ikke-opdateret applikation, en kompromitteret leverandør, en eksponeret fjernservice eller en ondsindet pakke.
2. Bevægelse kommer stadig fra legitimationsoplysninger: adgangskoder, API-nøgler, OAuth-tokens, legitimationsoplysninger til tjenestekonti, cloudnøgler, udrulningstokens og enhver stående tilladelse, der er knyttet til dem.

Den skelnen har en praktisk konsekvens, som sårbarhedsstyring alene ikke kan løse. Du kan patche fejlen, fjerne den ondsindede pakke og genopbygge værten og stadig efterlade en kopieret API-nøgle eller en adgangskode til en tjenestekonto i omløb. Den legitimationsoplysning bliver ved med at virke, indtil nogen finder den og tilbagekalder den.

Microsofts Digital Defense Report 2025 underbygger det samme ud fra et andet datasæt: Identitetsbaserede angreb steg 32 % i første halvdel af 2025, og mere end 97 % af dem var adgangskodeangreb i stor skala (password spraying og brute force mod forudsigelige, genbrugte legitimationsoplysninger).

Så identitet er som regel ikke den måde, angribere først kommer ind på. I moderne cybersikkerhed kommer de ofte ind via sårbarheder eller eksponerede tjenester, men identitet er det, der afgør, hvor langt de kan nå, hvor hurtigt de kan bevæge sig, og hvad bruddet i sidste ende koster.

Det skyldes, at “perimetret” ikke længere er en fast netværksgrænse. Cloudtjenester, fjernbrugere, SaaS-applikationer og maskinelle arbejdsbelastninger kører på tværs af skiftende steder og dynamiske miljøer. Derfor bliver identitets- og adgangskontroller det ensartede håndhævelseslag for hver anmodning, uanset om den kommer fra en bærbar computer, en browsersession, et API-kald eller en legitimationsoplysning til en arbejdsbelastning.

Opdatering mindsker chancen for, at døren åbner. Identitetsstyring afgør, hvad der er bag den: hvilke systemer en angriber kan nå, hvilke privilegier vedkommende kan misbruge, og hvilke risici du kan inddæmme, før den laterale bevægelse accelererer.

Om identitet som perimeter: Derfor er identitet det nye perimeter, og hvordan SMV’er kan forsvare det med begrænsede ressourcer

Ikke-menneskelige identiteter er den hurtigst voksende blinde vinkel

En ikke-menneskelig identitet (også kaldet en maskinidentitet eller en workload-identitet) er enhver enhed, der har legitimationsoplysninger, og som ikke er en person: tjenestekonti, applikationer, arbejdsbelastninger, scripts, CI/CD-pipelines, bots og i stigende grad AI-agenter. I AI-sikkerhed er det de identiteter, der lader agenter godkende sig over for systemer, hente data, kalde API’er og udføre autoriserede handlinger som en del af forretningsprocesser, uden at et menneske logger ind.

Risiciene kommer fra den måde, identiteterne typisk administreres på: De har ofte udvidede tilladelser, har måske ikke stærke godkendelseskontroller og kan være svære at spore eller tilbagekalde hurtigt. Når en AI-agents legitimationsoplysninger deles, har for mange privilegier eller styres dårligt, kan et kompromis blive til hurtig, skalerbar adgang, fordi agenten kan blive ved med at handle med de tilladelser, den har fået.

De er nu flere end menneskelige identiteter i de fleste miljøer, og de styres langt mindre stringent. Microsofts rapport for 2025 bemærker, at angribere bevidst flytter opmærksomheden mod tjenestekonti og deres legitimationsoplysninger, netop fordi de konti ofte kombinerer udvidede privilegier med svage sikkerhedskontroller. En tjenestekonto har sjældent MFA, har ofte en adgangskode, der ikke er roteret i årevis, har ofte flere tilladelser, end funktionen kræver, og har som regel ingen tydelig ejer, der ville opdage, at den opfører sig mærkeligt.

Fire kontroller lukker det meste af det hul:

1. Lav en fortegnelse. Du kan ikke styre det, du ikke har opregnet. Medtag tjenestekonti, nødkonti (break-glass), API-nøgler og agentlegitimationsoplysninger, og tildel en navngiven ejer til hver enkelt.
2. Afgræns deres tilladelser. En tjenestekonto bør have det snævreste sæt rettigheder, dens funktion kræver, på det snævreste sæt systemer.
3. Administrér deres hemmeligheder centralt. Læg legitimationsoplysningerne i en boks, rotér dem efter en tidsplan, og fjern delte eller hardkodede hemmeligheder.
4. Gør deres aktivitet revisionsklar. Hvis en workload-identitet begynder at godkende sig fra et nyt sted eller når systemer, den aldrig har rørt, bør nogen se det.

Ikke-styrede maskinidentiteter er den måde, angribere bevæger sig gennem et miljø hurtigere, end et team kan reagere, og de er den kategori, der oftest overses i en adgangsgennemgang bygget op omkring medarbejdere.

AI hjælper også forsvarerne, men indførelsen er flaskehalsen

Sikkerhedsteams får reel værdi ud af AI. Moderne platforme korrelerer millioner af hændelser i realtid, fremhæver afvigelser, grupperer relaterede alarmer og opsummerer komplekse hændelser på sekunder. I praksis betyder det, at analytikere bruger mindre tid på triage og mere tid på de hændelser, der betyder noget: prioritering af alarmer med høj risiko, hurtigere reaktion, anbefalet afhjælpning og automatisering af gentaget driftsarbejde.

Hullet er udrulning, ikke evne. Devolutions’ undersøgelse om IT-sikkerhedens tilstand i SMV’er viste, at 71 % af SMV’erne planlægger at øge deres brug af AI i cybersikkerhed, men at kun 25 % bruger det i dag, og at 40 % slet ikke er begyndt. Samtidig sagde færre end en tredjedel af respondenterne, at de kunne identificere et angreb hurtigt nok til at begrænse skaden.

Det er den ubehagelige kombination: Angriberne har allerede sat AI i drift, og de fleste forsvarere har det på en køreplan.

Det er værd at være tydelig om, hvad AI kan og ikke kan rette. Den komprimerer tiden til detektion og undersøgelse. Den kompenserer ikke for for mange privilegier, ikke-administrerede hemmeligheder eller en administratorkonto, som ingen kan huske at have oprettet. Et AI-støttet SOC, der opdager en kompromitteret konto på 4 minutter i stedet for 40, har købt dig reel tid, men kun hvis kontoens tilladelser er snævre nok til, at tiden er noget værd.

Om AI-kapløbet: Offensiv AI mod defensiv AI: Hvem har overtaget i 2026

Fundamentet afgør din skadesradius

Når AI dominerer samtalen, er det fristende at tro, at næste generation af værktøjer løser det underliggende problem. Det gør den ikke, af en enkel grund: De kontroller, der begrænser skaden efter et kompromis, er de samme, som de altid har været. Det, der har ændret sig, er, hvor hurtigt et hul bliver fundet og udnyttet.

Organisationer, der konsekvent mindsker risikoen, arbejder sig gennem en genkendelig rækkefølge:

• Håndhævelse af princippet om mindste privilegium, så hver konto kun har de rettigheder, rollen kræver
• Sikring af privilegerede konti med privilegeret adgangsstyring (PAM)
• Udrulning af phishing-resistent flerfaktor-godkendelse på privilegeret adgang og kritiske systemer
• Central administration af hemmeligheder og tjenestekonti med rotation
• Gennemgang og certificering af brugeradgang i en fast kadence
• Løbende overvågning af privilegeret aktivitet
• Indførelse af just-in-time-privilegeret adgang (JIT), hvor stående adgang kan fjernes

Ingen af dem er nye. To af dem har usædvanlig stor effekt lige nu.

Den første er phishing-resistent MFA: stærk, kryptografisk godkendelse, der bruger adgangsnøgler (passkeys), FIDO2-sikkerhedsnøgler eller certifikatbaserede metoder til at binde login til den legitime tjeneste og modstå videresendelse af legitimationsoplysninger. I praksis betyder det, at en angriber, der stjæler en adgangskode, stadig ikke kan gennemføre godkendelsen, fordi den anden faktor ikke kan genafspilles eller sendes gennem en proxy, sådan som traditionelle engangskoder kan.

Brug den først til privilegerede konti og kritiske systemer, og udvid den til fjernadgang og andre indgangspunkter med høj risiko, hvor stjålne legitimationsoplysninger er mest tilbøjelige til at blive brugt. Det er et af de forsvar i cybersikkerhed med størst effekt, fordi det direkte mindsker de risici, tyveri af legitimationsoplysninger skaber: Det bryder vejen fra “stjålet” til “brugbar” og begrænser de trusler, som et identitetskompromis kan forvandle til reel brudaktivitet.

Den anden er at reducere stående privilegier. Mindste privilegium begrænser, hvad enhver bruger, tjenestekonto eller arbejdsbelastning kan gøre. Rollebaseret adgangskontrol (RBAC) tildeler tilladelser ud fra jobfunktion i stedet for ud fra anmodningshistorik. Tilsammen sætter de et loft over antallet af handlinger, en angriber kan udføre med en legitimationsoplysning, der virker, begrænser lateral bevægelse og inddæmmer skadesradius. Den samme undersøgelse viste, at 52 % af SMV’erne stadig administrerer privilegeret adgang manuelt (regneark, delte bokse eller slet intet formelt system) og at kun 32 % bruger et dedikeret PAM-værktøj. Manuelle processer indfører fejl, slører synligheden og forsinker tilbagekaldelse, netop når hastighed betyder mest.

Når angribere automatiserer rekognoscering og rettighedsforhøjelse, bliver enhver unødvendig tilladelse, hvilende konto og ikke-administreret hemmelighed en mulighed, der findes tidligere, end den plejede.

Om ophøjet adgang: Sådan gør PIM og PAM tilsammen rettighedsforhøjelse til korte, revisionsklare og styrede hændelser

Betinget adgang gør identitet til en realtidskontrol

Godkendelse ved login er ét tjek på ét tidspunkt. Betinget adgang og løbende verificering gør identitet til en vedvarende kontrol.

Betinget adgang vurderer signaler (brugeridentitet, enhedens tilstand, placering, adfærd og følsomheden af den ressource, der anmodes om) og beslutter, om anmodningen skal tillades, begrænses eller blokeres. Løbende verificering vurderer derefter signalerne igen under sessionen. Hvis risikoen stiger midt i sessionen, fordi en enhed ikke længere overholder kravene, et placeringsmønster ser umuligt ud, eller adfærden afviger fra baseline, kan systemet skærpe godkendelsen, reducere tilladelserne eller afslutte sessionen.

Værdien ligger i timingen. Kontrollerne forkorter intervallet mellem, at en legitimationsoplysning bliver stjålet, og at den holder op med at virke, og det er netop det interval, AI-accelererede angreb er designet til at udnytte.

Synlighed er det, du faktisk mangler

Det mest almindelige spørgsmål efter en hændelse er foruroligende enkelt: Hvorfor havde den her konto stadig adgang?

Svaret er som regel synlighed, ikke teknologi. De fleste organisationer ejer værktøjer, der kan besvare spørgsmålet. Få kan besvare det på minutter.

Prøv de her fem i dit eget miljø:

• Hvem har administrative privilegier lige nu?
• Hvilke privilegerede konti har været ubrugte i 90 dage eller mere?
• Hvilke midlertidige adgangstildelinger blev aldrig tilbagekaldt?
• Hvor opbevares legitimationsoplysningerne til tjenestekonti, og hvornår blev de sidst roteret?
• Hvilke identiteter kan nå dine mest kritiske systemer i dag?

Hvis bare ét af dem tager timer eller dage at besvare, har en angriber, der arbejder ud fra en stjålet legitimationsoplysning, mere information om dit miljø, end du har. Stærk identitetsstyring er det, der gør de spørgsmål til forespørgsler i stedet for undersøgelser.

Om det, der venter forude: Cybersikkerhedstendenser i 2026: identitet, AI og hændelseshåndtering

Det, der betyder noget, er ikke, hvor meget AI du har

AI bliver ved med at udvikle sig på begge sider. Angribere finder nye anvendelser. Forsvarere bliver ved med at forbedre detektion, automatisering og reaktion. Det kapløb sætter ikke farten ned.

Men de organisationer, der kommer godt igennem det, bliver ikke dem med mest AI. Det bliver dem med den strammeste kontrol over identiteter, privilegier og adgang, fordi den kontrol er det, der afgør prisen på et brud, som allerede er i gang.

Hos Devolutions behandler vi identitetssikkerhed som en grundpille og ikke som en funktion. AI kan hjælpe dig med at opdage hurtigere og drive mere effektivt. Den kan ikke erstatte disciplineret identitetsstyring eller stærke kontroller af privilegeret adgang.

Når en hændelse sker, er det vigtige spørgsmål ikke, om AI var involveret. Det er, hvad den kompromitterede identitet havde lov til at gøre.

Se dataene: Devolutions’ undersøgelsesrapport om IT-sikkerhedens tilstand i SMV’er: PAM-indførelse, AI-parathed og huller i hændelseshåndteringen

Ofte stillede spørgsmål

De korte svar opsummerer de identitetsspørgsmål, der betyder mest, når AI sætter fart på velkendte angreb: hvordan de starter, hvordan de spreder sig, og hvilke kontroller der faktisk begrænser skaden.

Skaber AI nye cyberangrebsteknikker, eller bare hurtigere udgaver af eksisterende?

Primært hurtigere udgaver. Verizons DBIR-analyse for 2026 af 793 sanktionerede trusselsaktører viste, at angribere i median-tilfældet brugte AI på tværs af cirka 15 kendte MITRE ATT&CK-teknikker, og at færre end 2,5 % af de observerede teknikker blev klassificeret som sjældne. AI’s primære effekt er at komprimere forberedelsestiden og øge omfanget og kvaliteten af velkendte angreb, især phishing, som stod for 44 % af den AI-assisterede første adgang, frem for at introducere nye angrebsmetoder.

Hvis udnyttelse af sårbarheder nu er den vigtigste vektor for første adgang, hvorfor betyder identitetssikkerhed så stadig noget?

Fordi første adgang kun er det første trin. DBIR for 2026 viste, at udnyttelse af sårbarheder står for 31 % af indgangspunkterne til brud, men at misbrug af legitimationsoplysninger optræder i 39 % af bruddene, når det tælles et hvilket som helst sted i angrebets forløb, mere end nogen anden teknik. Angribere kommer typisk ind via et ikke-opdateret system og bruger derefter stjålne legitimationsoplysninger til at bevæge sig lateralt og ophøje privilegier. Opdatering styrer, om en angriber kommer ind. Identitets- og privilegeret adgangskontrol afgør, hvor langt de når, og hvor meget skade de forvolder.

Hvad er en ikke-menneskelig identitet, og hvorfor er den en sikkerhedsrisiko?

En ikke-menneskelig identitet er enhver enhed med legitimationsoplysninger, som ikke er en person: tjenestekonti, applikationer, arbejdsbelastninger, scripts, CI/CD-pipelines, bots og AI-agenter. De er en risiko, fordi de typisk kombinerer udvidede privilegier med svage kontroller: ingen MFA, sjældent roterede adgangskoder, bredere tilladelser end nødvendigt og ingen tydelig ejer, der overvåger deres adfærd. Microsofts Digital Defense Report for 2025 bemærker, at angribere i stigende grad går efter tjenestekonti af netop den grund. At styre dem kræver en fortegnelse med navngivne ejere, afgrænsede tilladelser, centralt opbevarede og roterede hemmeligheder og revisionsklare aktivitetslogfiler.

Hvorfor betyder mindste privilegium mere over for AI-drevne angreb?

Mindste privilegium begrænser, hvad en angriber kan gøre med en legitimationsoplysning, der allerede virker, og AI forkorter tiden mellem tyveri af legitimationsoplysninger og rettighedsforhøjelse. Når rekognoscering og rettighedsforhøjelse er automatiseret, findes og bruges enhver unødvendig tilladelse hurtigere end før. Mindste privilegium og rollebaseret adgangskontrol sætter et loft over antallet af handlinger, der er tilgængelige efter et kompromis, begrænser lateral bevægelse og inddæmmer skadesradius, og det er det, der afgør prisen på en hændelse, når detektionen allerede er blevet overhalet.

Hvad er den enkelte mest effektive identitetskontrol at udrulle først?

Phishing-resistent flerfaktor-godkendelse på privilegerede konti og kritiske systemer. Microsoft rapporterer, at mere end 97 % af identitetsangrebene er adgangskodeangreb i stor skala, og at phishing-resistent MFA forhindrer op til 99 % af dem. Efter MFA er det trin med størst effekt at fjerne stående privilegeret adgang til fordel for just-in-time-rettighedsforhøjelse, som mindsker det vindue, hvor en stjålet privilegeret legitimationsoplysning kan bruges.