10 måter AI-agenter kan gå galt

Nøkkelinnsikt

• AI-agenter innfører risikoer som ikke eksisterer i vanlige AI-chatbotter fordi de handler i stedet for å bare svare. Feil får virkelige konsekvenser.
• Den største svakheten er ikke teknisk, men menneskelig: agenter kan presentere skadelige handlinger så overbevisende at mennesker godkjenner dem uten å sjekke.
• Forsyningskjedeangrep treffer agenter hardere enn tradisjonell programvare: en forgiftet MCP-server eller verktøyregister kan kompromittere mange agenter på én gang, i sanntid.
• OWASP har nå separate topp 10-lister for LLM-er og agenter. Det er en anerkjennelse av at agentbasert AI er et eget sikkerhetsdomene.

Kort fortalt

Jeff Crume, Distinguished Engineer hos IBM, går gjennom OWASPs nye topp 10-liste over sikkerhetsrisikoer i AI-agenter. En AI-agent er ikke som en vanlig AI-chatbot. Den tar beslutninger, bruker verktøy og gjennomfører oppgaver på egenhånd. Det gjør den kraftfull. Og det gjør den til et nytt angrepsmål. OWASP, den ideelle sikkerhetsorganisasjonen bak de kjente topp 10-listene for nettsikkerhet, har nå publisert en egen liste for agentbasert AI, atskilt fra den tidligere listen for store språkmodeller (LLM-er, kunstig intelligens som genererer tekst).

---

Hva gjør agenter annerledes?

«Agenter er i bunn og grunn modeller som bruker verktøy i en løkke, på egenhånd», forklarer Crume. Du forteller agenten hva du vil oppnå, og så tar den seg av resten.

En agent kan kalle API-er (programmeringsgrensesnitt som lar systemer snakke med hverandre), skrive til databaser, delegere til andre agenter og kjøre kode. Alt dette skjer autonomt, uten at du godkjenner hvert steg. Det er styrken. Det er også problemet.

Arkitekturen har tre hoveddeler: inndata (brukerinstrukser, API-kall, meldinger fra andre agenter), prosessering (modellen som resonnerer og planlegger) og utdata (verktøykall, handlinger, delegering til nye agenter). Hvert av disse lagene er et potensielt angrepspunkt.

Som Crume sier med et smil: «Å ta feil er menneskelig — men å virkelig ødelegge det krever en datamaskin».

---

Topp 10: gruppert etter type trussel

OWASP rangerer disse 1 til 10. Her har vi gruppert dem etter type trussel for å gjøre sammenhengene tydeligere.

Gruppe 1: Å manipulere agentens mål

1. Målkapring (agent goal hijacking). Skjulte instruksjoner i dokumenter, e-poster eller nettsider kan endre retningen på agentens planlegging uten at noen merker det. Agenten gjør ting riktig, bare mot feil mål. Dette er i praksis prompt-injeksjon (å snike instruksjoner inn i innhold agenten leser) tatt til neste nivå, fordi agenten ikke bare svarer, men faktisk handler.

6. Minneforgiftning (memory poisoning). Agenter husker ting på tvers av samtaler. En angriper kan plante falsk informasjon i denne hukommelsen gjennom opplastinger, RAG-dokumenter (RAG, retrieval-augmented generation, er en teknikk der agenten henter svar fra bestemte dokumenter) eller meldinger fra andre agenter. Faren er ikke bare selve injeksjonen, men at den virker lenge etter.

9. Utnyttelse av menneskelig tillit (human-agent trust exploitation). Brukere kan godkjenne skadelige handlinger uten selvstendig verifisering, noe som gjør mennesket til det siste leddet i angrepskjeden. Agenten presenterer det skadelige som noe fornuftig, og det ser overbevisende ut. Revisjonsloggen ser ren ut. Agentens rolle forblir skjult.

---

Gruppe 2: Å utnytte verktøy og tilganger

2. Verktøymisbruk (tool misuse and exploitation). Agenter har tilgang til legitime verktøy, men for vid tilgang, uklare instrukser eller usikre kjeder av verktøykall kan føre til datatap eller kostbare handlinger. Ingen sårbarhet trengs. Autonomi kombinert med svake sperrer er nok.

3. Identitets- og rettighetsmisbruk (identity and privilege abuse). Agenter arver ofte brukerens tilganger, stoler på andre agenter som standard eller gjenbruker lagrede rettigheter. Det åpner for det som kalles et forvirret-stedfortreder-angrep (confused deputy attack): agenten lures til å bruke rettigheter den har, til å gjøre ting angriperen ikke har tilgang til selv.

4. Forsyningskjedesårbarheter (agentic supply chain). En forgiftet verktøyregister, beskrivelse eller MCP-server kan injisere ondsinnet oppførsel umiddelbart på tvers av mange agenter. MCP (Model Context Protocol) er en standardisert måte for agenter å koble seg til verktøy og datakilder. Agenter laster dynamisk inn verktøy ved kjøretid. Det gjør forsyningskjeden til en levende angrepsflate.

5. Uventet kodekjøring (unexpected code execution). Mange agenter genererer og kjører kode automatisk. Prompt-injeksjon eller usikre verktøykjeder kan eskalere til kjøring av vilkårlig kode. Tradisjonelle sikkerhetsverktøy fanger sjelden kode som er generert dynamisk av en AI.

---

Gruppe 3: Feil på systemnivå

7. Usikker kommunikasjon mellom agenter (insecure inter-agent communication). Når meldinger mellom agenter mangler autentisering og integritetssjekk, kan angripere forfalske, gjenta eller endre instruksjoner. Det muliggjør koordinerte feil som er svært vanskelige å spore tilbake til kilden.

8. Kjedereaksjoner (cascading failures). En enkelt feil kan forplante seg gjennom et nettverk av agenter som dominobrikker. Autonomi, delegering og vedvarende tilstand gjør at feil forsterkes raskere enn mennesker kan gripe inn. Skaden blir langt større enn det opprinnelige problemet.

10. Ustyrte agenter (rogue agents). Ustyrte agenter driver sakte bort fra sin tiltenkte oppførsel over tid. De kan virke lydige på oppgavenivå, mens de i realiteten forfølger skjulte mål, samarbeider med andre agenter eller manipulerer belønningssystemer. Det er ikke et enkelt angrep. Det er tap av atferdsintegritet over tid.

---

OWASPs praktiske veileder

Topp 10-listen har en 80-siders praktisk følgesvenn: Securing Agentic Applications Guide 1.0.

Den er gratis å laste ned og lisensiert under CC BY-SA 4.0, som betyr at hvem som helst kan bruke og dele den.

Guiden beskriver seks arkitekturkomponenter i en agent: selve språkmodellen, orkestrering og flytstyring, resonnering og planlegging, minnemoduler, verktøyintegrasjoner og driftsmiljø. Hver komponent har sine egne angrepspunkter, og guiden kartlegger 15 spesifikke trusler mot disse komponentene i en detaljert matrise.

Minnet er særlig verdt å merke seg. Guiden skiller mellom seks typer agent-minne, fra øktbasert (tryggeste) til delt på tvers av agenter og brukere (farligste). Jo mer vedvarende og delt minnet er, desto større er risikoen for forgiftning med varig effekt.

Guiden dekker også sikkerhet gjennom hele livssyklusen: fra design og bygging til utrulling og drift. Sikkerhet er ikke bare noe du skrur på ved lansering. Se også OWASPs topp 10-liste for agentbaserte applikasjoner 2026.

---

Praktiske implikasjoner

For de fleste som bruker AI-verktøy i dag er dette fremtidsberedskap. Men agenttiden er allerede her.

Bygger du noe med agenter? Begynn med minste-privilegi-prinsippet: agenten skal bare ha akkurat den tilgangen den trenger for akkurat den oppgaven. Sett tidsbegrensede rettigheter. Valider alle meldinger mellom agenter. Test aktivt om din egen agent lar seg lure.

Bruker du agentbaserte verktøy? Vit hva agenten har tilgang til. Sjekk hvilke verktøy den laster inn. Og ikke stol blindt på begrunnelsene agenten gir for en handling, uansett hvor overbevisende de høres ut.

Er du nysgjerrig? Crume anbefaler å lese OWASPs egen dokumentasjon. Den er gratis, den er grundig, og den er skrevet av over hundre sikkerhetseksperter.

---

Ordliste

---

Kilder og ressurser