Cyberhotakt\u00f6rers anv\u00e4ndning av AI har g\u00e5tt fr\u00e5n experimentstadiet till mer systematisk anv\u00e4ndning, enligt den nya rapporten fr\u00e5n GTIG, som bygger p\u00e5 incidentutredningar fr\u00e5n Mandiant, analyser av Gemini-plattformen och egen hotforskning.<\/p>\n
AI anv\u00e4nds som expertst\u00f6d vid s\u00e5rbarhetsjakt<\/p>\n
GTIG beskriver hur hotakt\u00f6rer i \u00f6kande grad anv\u00e4nder AI-modeller f\u00f6r att analysera kod, fels\u00f6ka exploits och unders\u00f6ka s\u00e5rbarheter \u2013 \u00e4ven s\u00e5 kallade zero day-s\u00e5rbarheter. Enligt rapporten har akt\u00f6rer kopplade till Kina och Nordkorea instruerat AI-modeller att agera som seniora s\u00e4kerhetsgranskare och matat dem med stora m\u00e4ngder s\u00e5rbarhetsdata f\u00f6r att f\u00f6rb\u00e4ttra analysen.<\/p>\n
Den Nordkoreakopplade akt\u00f6ren APT45 ska exempelvis ha skickat tusentals prompts f\u00f6r att analysera CVE:er och validera proof-of-concept-exploits, n\u00e5got som enligt GTIG hade varit opraktiskt utan AI-st\u00f6d.<\/p>\n
Rapporten pekar ocks\u00e5 ut vad GTIG beskriver som det f\u00f6rsta identifierade fallet d\u00e4r en hotakt\u00f6r anv\u00e4nde ett zero day-exploit som sannolikt utvecklats med hj\u00e4lp av AI. S\u00e5rbarheten ska ha r\u00f6rt ett logikfel som kunde kringg\u00e5 tv\u00e5faktorsautentisering f\u00f6rutsatt att angriparen redan hade giltiga anv\u00e4ndaruppgifter. En planerad massexploatering tros ha kunnat f\u00f6rhindras genom proaktiv uppt\u00e4ckt av s\u00e5rbarheten.<\/p>\n
Malware blir mer sv\u00e5ruppt\u00e4ckt<\/p>\n
AI anv\u00e4nds ocks\u00e5 f\u00f6r att utveckla malware som blir sv\u00e5rare att uppt\u00e4cka, enligt rapporten. Det handlar bland annat om avancerad obfuskering, decoy-kod och mer autonom attackorkestrering.<\/p>\n
GTIG beskriver exempelvis hur den Kinakopplade akt\u00f6ren APT27 anv\u00e4nde Gemini f\u00f6r att snabba p\u00e5 utvecklingen av ett verktyg som sannolikt skulle st\u00f6dja ett s\u00e5 kallat Operational Relay Box-n\u00e4tverk, ORB, f\u00f6r att d\u00f6lja ursprunget till intr\u00e5ngsaktivitet. Samtidigt ska Rysslandskopplade operationer mot ukrainska organisationer ha anv\u00e4nt malware med LLM-genererad decoy-kod f\u00f6r att framst\u00e5 som mer legitim.<\/p>\n
Ett annat exempel \u00e4r Android-backdooren PROMPTSPY, som enligt GTIG kan anv\u00e4nda AI f\u00f6r att tolka en enhets anv\u00e4ndargr\u00e4nssnitt och simulera klick och svep genom instruktioner fr\u00e5n Gemini API. Google uppger att resurser kopplade till aktiviteten har inaktiverats.<\/p>\n
Mer tr\u00e4ffs\u00e4kra phishingangrepp<\/p>\n
Enligt GTIG anv\u00e4nds AI ocks\u00e5 f\u00f6r rekognosering och phishing, vilket g\u00f6r det l\u00e4ttare f\u00f6r angripare att snabbt kartl\u00e4gga organisationer och skapa mer trov\u00e4rdiga angrepp. Hotakt\u00f6rer anv\u00e4nder spr\u00e5kmodeller f\u00f6r att bygga organisationshierarkier och kartl\u00e4gga tredjepartsrelationer hos st\u00f6rre f\u00f6retag \u2013 s\u00e4rskilt inom finans, intern s\u00e4kerhet och HR. Informationen kan sedan anv\u00e4ndas f\u00f6r riktade phishingf\u00f6rs\u00f6k mot personer med h\u00f6g beh\u00f6righet eller tillg\u00e5ng till k\u00e4nslig information.<\/p>\n
Rapporten lyfter \u00e4ven informationsoperationer d\u00e4r misst\u00e4nkt AI-r\u00f6stkloning anv\u00e4nts f\u00f6r att imitera journalister i manipulerade videor kopplade till den pro-ryska kampanjen Operation Overload.<\/p>\n
AI blir ocks\u00e5 en ny attackyta<\/p>\n
Samtidigt som AI anv\u00e4nds som verktyg i cyberangrepp blir AI-milj\u00f6er sj\u00e4lva allt mer attraktiva m\u00e5l.<\/p>\n
Enligt GTIG \u00e4r de mest avancerade AI-modellerna fortfarande sv\u00e5ra att kompromettera direkt, men infrastrukturen runt dem \u2013 s\u00e5som open source-bibliotek, API-kopplingar och agentramverk \u2013 skapar nya angreppsytor. Rapporten n\u00e4mner bland annat skadliga Openclaw-paket som spreds som legitima AI-agentfunktioner men inneh\u00f6ll dold kod f\u00f6r att k\u00f6ra kommandon, ladda ned skadlig kod och exfiltrera data.<\/p>\n
GTIG pekar ocks\u00e5 p\u00e5 flera supply chain-attacker mot AI-relaterade utvecklingsmilj\u00f6er, d\u00e4r angripare ska ha komprometterat Github-repositorier och utvecklingsverktyg genom skadliga paket och pull requests f\u00f6r att stj\u00e4la molnnycklar och \u00e5tkomsttokens.<\/p>\n
AI st\u00e4rker ocks\u00e5 f\u00f6rsvaret<\/p>\n
Samtidigt framh\u00e5ller Google att AI \u00e4ven anv\u00e4nds f\u00f6r att st\u00e4rka cybers\u00e4kerheten. F\u00f6retaget beskriver hur AI-agenter anv\u00e4nds f\u00f6r att hitta s\u00e5rbarheter i mjukvara och hur experiment p\u00e5g\u00e5r med verktyg som automatiskt kan identifiera och \u00e5tg\u00e4rda kritiska kods\u00e5rbarheter.<\/p>\n
Rapporten fr\u00e5n GTIG publicerades i maj 2026 och beskriver ett hotlandskap d\u00e4r AI inte l\u00e4ngre ses som ett framtida st\u00f6d f\u00f6r angripare \u2013 utan som ett verktyg som redan p\u00e5verkar hur cyberoperationer genomf\u00f6rs.<\/p>\n","protected":false},"excerpt":{"rendered":"Cyberhotakt\u00f6rers anv\u00e4ndning av AI har g\u00e5tt fr\u00e5n experimentstadiet till mer systematisk anv\u00e4ndning, enligt den nya rapporten fr\u00e5n GTIG,…\n","protected":false},"author":2,"featured_media":135850,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[66],"tags":[3018,18603,18604,713,670,80,78,79,34,31,33,32,30,81,84,83,82],"class_list":["post-244074","post","type-post","status-publish","format-standard","has-post-thumbnail","category-vetenskap-och-teknik","tag-cybersakerhet","tag-github","tag-zerotrust","tag-ai","tag-google","tag-science","tag-science-and-technology","tag-scienceandtechnology","tag-se","tag-svenska","tag-sverige","tag-sweden","tag-swedish","tag-technology","tag-teknik","tag-vetenskap","tag-vetenskapteknik"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@se\/116560405972091264","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/se\/wp-json\/wp\/v2\/posts\/244074","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/se\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/se\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/se\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/se\/wp-json\/wp\/v2\/comments?post=244074"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/se\/wp-json\/wp\/v2\/posts\/244074\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/se\/wp-json\/wp\/v2\/media\/135850"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/se\/wp-json\/wp\/v2\/media?parent=244074"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/se\/wp-json\/wp\/v2\/categories?post=244074"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/se\/wp-json\/wp\/v2\/tags?post=244074"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}