Kan AI-drevet sårbarhedsscanning ændre magtbalancen i cybersikkerhed – og hvem drager fordel af det?
Det politiske spørgsmål
Da en AI-model i 2024 fandt hundredvis af sikkerhedshuller i PHP – det programmeringssprog, der driver en stor del af verdens hjemmesider – aktiverede det det danske nationale cyberberedskab. Center for Cybersikkerhed (CFCS) skulle varsle og rådgive. Det skete ikke fordi truslen var ny i sin natur, men fordi hastigheden og skalaen var det.
Det politiske spørgsmål er enkelt at formulere, men svært at svare på: Når AI kan finde fejl i grundlæggende digital infrastruktur hurtigere og i større mængder end mennesker nogensinde har kunnet, hvem drager så fordel – angriberne eller forsvarerne?
Det spørgsmål er ikke længere hypotetisk. Det er allerede ved at blive besvaret i praksis, og svaret har direkte konsekvenser for offentlige myndigheder, virksomheder og millioner af private hjemmesider.
Det empiriske spørgsmål bag
Bag den politiske debat ligger et mere præcist teknisk spørgsmål: Hvad kan AI faktisk finde, og hvor hurtigt?
Traditionel sårbarhedsscanning bygger på kendte mønstre – databaser over tidligere opdagede fejl, som automatiserede værktøjer sammenligner ny kode imod. Det er effektivt mod kendte trusler, men blindt over for det ukendte.
Nyere AI-modeller, særligt dem der er trænet på store mængder kildekode, arbejder anderledes. De kan analysere kode for logiske fejl, hukommelseshåndtering og grænseflader mellem systemer – og de kan gøre det på tværs af millioner af kodelinjer på timer frem for måneder. Det er den kapacitet, der blev demonstreret med PHP, og som ifølge Ingeniøren aktiverede det nationale beredskab.
Hvad ved vi
✓✓ AI kan finde sikkerhedshuller i kode i hidtil uset skala og hastighed
Det er nu dokumenteret i praksis. Storskala-scanning af åben kildekode med AI-modeller har vist sig i stand til at opdage fejltyper, som traditionelle scanningsværktøjer overser. PHP-sagen er et konkret eksempel: Ikke én fejl, men mange fejl, fundet på kort tid i software, der allerede var gennemgået af menneskelige udviklere.
✓✓ PHP er kritisk infrastruktur for millioner af systemer
PHP bruges på en meget stor andel af verdens webservere – herunder mange offentlige hjemmesider og systemer i Danmark. En sårbarhed i PHP er ikke en lokal fejl i én applikation; det er en potentiel angrebsvej ind i systemer verden over.
✓ CFCS har en etableret rolle i at varsle om netop den slags trusler
Center for Cybersikkerhed fungerer som national it-sikkerhedsmyndighed og nationalt kompetencecenter på cybersikkerhedsområdet. CFCS' rolle indebærer oplysning, vejledning og rådgivning af danske myndigheder og virksomheder. Centeret arbejder bredspektret med at opdage, analysere og varsle om trusler og vedligeholde et nationalt situationsbillede. Det betyder, at der allerede findes en institutionel struktur til at håndtere netop den type hændelse, som PHP-sagen repræsenterer.
✓ Samme teknologi er tilgængelig for angribere
Det er en grundlæggende asymmetri i cybersikkerhed, at offensive og defensive aktører arbejder med de samme værktøjer. En AI-model, der kan finde en sårbarhed til brug for forsvar, kan i princippet bruges til at finde den samme sårbarhed til brug for angreb. Det gælder AI-drevet scanning som alle andre teknologier.
~ Hvem der aktuelt har fordelen – angribere eller forsvarere – er uklart
Her er den empiriske usikkerhed stor. Der er gode grunde til at tro, at store efterretningsorganisationer og statsstøttede hackergrupper allerede anvender AI i offensive operationer. Der er tilsvarende grunde til at tro, at åbne og kommercielle AI-modeller demokratiserer adgangen til defensiv scanning. Hvilken effekt der er størst, er ikke afgjort.
Hvad ved vi ikke
Der er betydelige huller i den offentligt tilgængelige viden:
Vi ved ikke, om angribere allerede bruger lignende AI-metoder systematisk. Det er sandsynligt, men det meste af evidensen er indirekte. Statslige angribere arbejder ikke i det åbne.
Vi ved ikke, om AI-drevet scanning skaber falsk tryghed. Hvis en scanning finder 300 fejl, men overser en kritisk 301., kan en overdreven tillid til teknologien være farligere end ingen scanning.
Vi ved ikke, om det juridiske og organisatoriske beredskab følger med. CFCS kan varsle, men varslingen skal efterfølges af handling hos den enkelte myndighed eller virksomhed. Hvor hurtigt og konsekvent det sker, er ikke dokumenteret offentligt.
Vi ved ikke præcis, hvilke typer fejl AI-modeller er bedst og dårligst til at finde. Forskningen er under hastig udvikling, og resultaterne varierer meget afhængigt af programmeringssprog, kodebase og model.
Hvad eksperter er uenige om
⚖ Bør AI-drevet sårbarhedsscanning reguleres?
Her er der en reel værdimæssig og politisk uenighed. Én position er, at jo flere der bruger kraftfuld scanningsteknologi – herunder sikkerhedsforskere, virksomheder og myndigheder – jo hurtigere bliver fejl fundet og rettet, til gavn for alle. En anden position er, at ukontrolleret adgang til samme teknologi øger risikoen for misbrug og giver ondsindede aktører et løft, de ikke ellers ville have haft.
Ingen af disse positioner er empirisk afgjort. Det er et spørgsmål om, hvad man vægter højest: åbenhed og innovation eller kontrol og risikoreduktion.
~ Er AI et fundamentalt skift eller en inkrementel forbedring?
Nogle sikkerhedsforskere beskriver AI-drevet scanning som en revolution, der ændrer cybersikkerhedens grundvilkår. Andre ser det som en kvantitativ forbedring af eksisterende metoder – bedre og hurtigere, men ikke kvalitativt anderledes end hvad avancerede organisationer allerede kunne.
PHP-sagen peger i retning af det første synspunkt, men én hændelse er ikke tilstrækkelig evidens for en generel konklusion.
~ Hvem bærer ansvaret for at rette fejl, når AI finder dem?
Når en AI-model identificerer hundredvis af sårbarheder på én gang, opstår et praktisk og politisk spørgsmål: Hvem er ansvarlig for at udbedre dem? I open source-projekter som PHP er det frivillige udviklere og et bredt community. I kommerciel software er det leverandøren. I offentlige systemer er det myndigheden. Koordineringen af den proces er ikke løst, og der er uenighed om, hvordan den bør se ud.
Konklusion
AI-drevet sårbarhedsscanning er ikke en fremtidig teknologi. Det er en nutidig realitet med konkrete konsekvenser, der allerede har aktiveret det danske nationale cyberberedskab.
Det vi ved med rimelig sikkerhed: AI kan finde sikkerhedshuller i grundlæggende infrastruktur i en skala og hastighed, der overgår traditionelle metoder. PHP-sagen er et dokumenteret eksempel. Center for Cybersikkerhed har en etableret rolle i at håndtere netop den slags trusler og varsle danske myndigheder og virksomheder.
Det vi ikke ved: Om angribere allerede anvender tilsvarende metoder systematisk. Om det organisatoriske og juridiske beredskab er tilstrækkeligt. Og om fordelen samlet set tilfalder forsvarerne eller angriberne.
Det der er til debat: Om teknologien bør reguleres, og hvem der bærer ansvaret for at omsætte maskinelt fundne sårbarheder til rettede systemer.
Det centrale politiske valg er ikke, om AI skal bruges i cybersikkerhed – det sker allerede. Valget er, om Danmark og resten af Europa aktivt former de institutioner, regler og kapaciteter, der afgør, hvem teknologien arbejder for.