Cyber Index #62 - Phishingkostnad per analytiker, AI-angripere rykker opp og realiteten om usikker kode
Ukens Cyber Index-oppsummering: 13 rapporter om økende phishingkostnader, AI-angripere som blir bedre, usikker AI-generert kode, hull i agentsikkerhet og AI-styring som henger etter.
Ukens viktigste cybersikkerhetsfunn
En mer normal uke for forskning etter forsommerens stillstand, med 13 nye rapporter i feeden. Den røde tråden er AI på begge sider av kampen: angriperne er målbart dyktigere, AI-skrevet kode sendes ut raskere enn noen rekker å gjennomgå den, og AI-styringen henger fortsatt etter utrullingen. Tre tall som stakk seg ut:
1. Phishing spiser mer av teamets tid og budsjett
Håndtering av mulig phishing legger nå beslag på 36,5 % av et sikkerhetsteams arbeidstimer, opp fra 33,5 %, og koster 51 948 dollar per analytiker i året.
2. AI-drevne angripere ble raskt bedre
I Anthropics studie av 832 kontoer som ble utestengt for ondsinnet cyberaktivitet, økte andelen som ble vurdert som middels risiko eller høyere fra 33 % til 56 % på seks måneder, og 67,3 % brukte AI til å skrive skadevare.
3. AI-generert kode sendes ut raskere enn den gjennomgås
67 % av organisasjonene sier at AI-kodeassistenter nå er overalt, men 38 % gjennomgår fortsatt koden manuelt, og 29 % oppgir usikre mønstre som sin største nye risiko.
Større rapporter
The Security Maturity Benchmark Report (AlertMedia)
Tall på hva som skiller sikkerhetsteamene som ligger i forkant av truslene, fra dem som stadig spiller catch-up.
Du er trolig mindre forberedt enn du tror:
- 92 % av organisasjonene har opplevd konsekvenser knyttet til hull i sikkerhetsberedskapen.
- Bare 31 % driver et sentralisert, høyt automatisert sikkerhetsøkosystem.
- 47 % sier at de ikke ville reagert på en alvorlig sikkerhetshendelse så raskt som de burde.
AI-styring og -risiko
CISO Pulse Check Report: AI, the New Superpower and the New Super-Risk (Sprinto)
Mer enn en tredjedel av amerikanske organisasjoner har allerede håndtert en alvorlig AI-sikkerhetshendelse, og de fleste CISO-er sporer nå i det minste AI som en egen risikokategori.
Hendelsene skjer allerede:
- Mer enn 30 % av amerikanske organisasjoner rapporterer en alvorlig AI-relatert sikkerhetshendelse de siste 12 månedene.
- Nesten 70 % av amerikanske CISO-er og toppledere innen sikkerhet følger aktivt AI-relaterte regelverk eller standarder.
- Over halvparten av amerikanske CISO-er sporer AI som en egen risikokategori.
2026 AI Maturity Report (Ivanti)
Organisasjonene ruller ut AI bredt. Styring er en nedprioritert oppgave.
Fart foran styring:
- 56 % av organisasjonene ruller nå ut AI bredt på tvers av flere IT-arbeidsflyter eller i forretningskritisk skala.
- 68 % av IT-fagfolk har selv sett AI generere hallusinasjoner med mulig driftsmessig konsekvens.
- Bare 24 % sier at AI-retningslinjene følges svært konsekvent i det daglige arbeidet.
The State of Enterprise Agentic AI in 2026: Agentic Reality Check (ChapsVision)
AI-agenter høres flott ut, men nesten ingen har fått dem til å levere forretningsverdi i stor skala, og hypen tærer på tilliten.
Salgstalen stemmer ikke med produksjon:
- Bare 10 % av store virksomheter har flyttet autonome AI-agenter fra pilot til full produksjon.
- 88 % av lederne sier at «agent-washing» har svekket tilliten deres til AI generelt.
- 86 % oppgir pålitelighet, sikkerhet, personvern og nøyaktighet som de største hindrene for implementering.
The Data & AI Trust Gap (Veeam)
De fleste organisasjoner kan ikke se hva AI-systemene deres gjør, kan ikke pålitelig stanse en AI-agent på avveie, og er usikre på om de har full oversikt over AI-en sin.
Ingen vet hva de har:
- 88 % av organisasjonene bruker eller piloterer allerede AI-agenter.
- Bare 28 % er trygge på at de kan oppdage AI-systemer som opererer utenfor godkjente rammer.
- Bare 25 % av organisasjonene som kjører AI, kan innen minutter fastslå hvilke handlinger en AI har utført.
AI-trusler og agentsikkerhet
AI Risk Quadrant for Agent Security (Adversa AI)
De fleste påstander om AI-agentforsvar viser seg å være umulige å etterprøve.
Ikke stol på markedsføringen:
- 83 % av de påståtte AI-agentforsvarene er ikke offentlig etterprøvbare.
- 38 % av AI-agentene fullfører irreversible handlinger før noen overvåkingsmekanisme i det hele tatt rekker å utløses.
- Mer enn en tredjedel av agentene scorer godt på logging og observerbarhet, men dårlig på de fire forsvarskomponentene som reelt hindrer eller begrenser skade.
What We Learned Mapping a Year’s Worth of AI-Enabled Cyber Threats (Anthropic)
Anthropic analyserte 832 kontoer som ble utestengt for ondsinnet cyberaktivitet, og koblet angrepsteknikkene til MITRE ATT&CK-rammeverket.
Trusselaktørene ble bedre på seks måneder:
- 67,3 % av de utestengte kontoene brukte AI til å skrive skadevare.
- Andelen aktører vurdert som middels risiko eller høyere økte fra 33 % til 56 % på tvers av de to seksmånedersperiodene som ble studert.
- Bruken av AI til kontooppdagelse økte merkbart, mens AI-assistert phishing falt.
AI-generert kode
AI Coding Assistants and the New Security Challenge (Salt Security)
Nesten alle utviklingsteam bruker nå AI til å skrive kode, og sikkerhetsteamene er ikke begeistret.
Kodekvaliteten er tvilsom:
- 67 % av organisasjonene oppgir at AI-kodeassistenter nå er bredt tatt i bruk på tvers av utviklingsteamene.
- 38 % baserer seg fortsatt hovedsakelig på manuell gjennomgang av AI-generert kode.
- 29 % av sikkerhetslederne peker på usikre kodemønstre som den største risikoen AI-kodeassistenter introduserer.
What’s In America’s Code? (Booz Allen)
Enkelte kinesiske AI-modeller ser ut til å endre oppførsel avhengig av om du nevner at du jobber for amerikanske myndigheter.
Noen modeller kan ha en agenda:
- Tre av fire kinesiske LLM-er genererte skjulte sikkerhetssårbarheter når de ble bedt om kode med en amerikansk myndighetspersona.
- Alle de fire kinesiskbygde modellene nektet å generere kode for fiktive amerikanske myndighetsoppgaver Beijing ville motsette seg.
- Da én modell fikk vite at koden var for et amerikansk myndighetsorgan, produserte den vesentlig flere sårbarheter enn for samme oppgave uten den konteksten.
Phishing
The (Higher) Business Cost of Phishing (IRONSCALES)
Phishing legger beslag på mer av sikkerhetsteamenes tid enn noen gang, selv om de er blitt raskere til å håndtere det.
Jobber hardere for samme resultat:
- Phishing legger beslag på 36,5 % av sikkerhetsteamenes arbeidstimer, opp fra 33,5 % for tre år siden.
- Phishing koster 51 948 dollar per sikkerhetsanalytiker i året, en økning på 13,6 % fra 45 726 dollar i 2022.
- Teamene håndterer phishinghendelser 16 % raskere, men bruker 9 % mer av de årlige timene sine på håndteringen.
Virksomhetsperspektiv
The State of Physical Security Operations in 2026 (HiveWatch)
En målestokk for hvordan virksomheters fysiske sikkerhetsprogrammer presterer mot driftsvirkeligheten.
Mye av signalet er støy:
- Store virksomheter rapporterer falske alarmer som nærmer seg 44 %.
- Nesten 30 % av organisasjonene baserer seg på manuelle helsesjekker av enheter i stedet for fullautomatisert overvåking.
- 97 % av amerikanske fagfolk innen fysisk sikkerhetsdrift bruker eller vurderer aktivt AI.
The 2026 State of Digital Risk Report (Outtake)
En målestokk for hvordan virksomheter håndterer digital risiko, og hvor langt etter trusselbildet de fleste ligger.
De fleste ser det ikke komme:
- 84 % av organisasjonene opplevde vesentlige digitale risikohendelser det siste året.
- 44 % sier at AI-genererte angrep allerede er umulige å skille fra legitim aktivitet.
- Hos 53 % ble en leder eller ansatt utgitt for av andre i løpet av det siste året.
Bransjespesifikt
2026 State of Financial Services: The Dual Storm of Ransomware and Vendor Ecosystem Risk (Black Kite)
Direkte løsepengeangrep mot banker øker igjen, men det største problemet ligger i leverandørkjeden.
Truffet fra to kanter:
- Halvparten av alle leverandører i finanssektoren bærer på høyalvorlige CVE-er.
- Fra 2024 til 2025 økte antallet kritiske sårbarheter på tvers av leverandører som betjener finanssektoren med 387 %.
- Kritiske svikt i patchhåndtering var til stede hos 78 % av leverandørene med en kundebase som er betydelig konsentrert i finanssektoren.
