Microsoft Threat Intelligence: AI i cyberangreb

Introduktion: Hvorfor dette er vigtigt nu

Virksomheder integrerer hurtigt AI for at forbedre produktiviteten, men angribere tager de samme teknologier i brug for at øge hastigheden, skalaen og gentageligheden af cyberoperationer. Microsoft Threat Intelligence fremhæver, at den mest almindelige ondsindede anvendelse i dag er indholds- og kodegenerering drevet af sprogmodeller—hvilket reducerer den tekniske friktion, mens mennesker stadig styrer måludvælgelse og udførelse. For IT-teams er den vigtigste pointe, at AI ikke nødvendigvis skaber “nye” angrebsveje, men at det i væsentlig grad accelererer eksisterende angreb og kan øge den operationelle vedholdenhed.

Hvad er nyt: Hvordan angribere operationaliserer AI

Microsofts observationer skelner mellem AI som accelerator (mest almindeligt i dag) og AI som våben (under udvikling).

AI som accelerator på tværs af angrebets livscyklus

Trusselsaktører bruger generativ AI til at:

• Udarbejde og lokalisere phishing-/social engineering-indhold (mere overbevisende lokkemidler, hurtigere iteration).
• Opsummere og triagere stjålne data efter kompromittering for hurtigt at identificere information af høj værdi.
• Generere, fejlfinde eller opstille kodegrundlag (malware-komponenter, scripts, infrastrukturskabeloner).
• Accelerere rekognoscering, herunder research i sårbarheder og forståelse af exploit-stier ud fra offentlige CVEs.
• Opbygge troværdige personaer ved at analysere jobopslag, udtrække rollekrav og generere kulturelt tilpassede identitetsartefakter.

Et centralt eksempel fra den virkelige verden i bloggen er nordkoreansk remote IT worker-aktivitet (sporet som Jasper Sleet og Coral Sleet), hvor AI understøtter identitetsforfalskning, social engineering og langvarig vedholdenhed—og hjælper aktører med at “blive ansat, forblive ansat og misbruge adgang i stor skala.”

Omgåelse af AI-sikkerhedskontroller (jailbreaking)

Microsoft bemærker aktiv eksperimentering med at omgå modellernes sikkerhedsforanstaltninger, herunder:

• Omformulering af prompts og kædning af instruktioner i flere trin
• Misbrug af prompts i system-/developer-stil
• Rollebaserede jailbreaks (f.eks. “Respond as a trusted cybersecurity analyst”) for at fremkalde begrænset vejledning

Fremspirende tendens: eksperimentering med agentic AI

Selvom det endnu ikke er observeret i stor skala, ser Microsoft tidlig eksperimentering med agentic AI til iterativ beslutningstagning og udførelse af opgaver—hvilket potentielt kan føre til mere adaptiv tradecraft, som komplicerer detektion og respons.

Konsekvenser for IT-administratorer og slutbrugere

• Større volumen og højere kvalitet af phishing øger risikoen for tyveri af legitimationsoplysninger og kompromittering via helpdesk.
• Hurtigere udnyttelse og valg af værktøjer komprimerer responstiden efter offentliggørelse af sårbarheder.
• Større insider-lignende risiko via svigagtige contractor-/worker-scenarier og misbrug af legitim adgang.

Handlinger / næste skridt

• Hærd identitet og adgang: håndhæv MFA-resistente kontroller, hvor det er muligt, anvend Conditional Access, og begræns privilegier stramt.
• Styrk verifikation ved ansættelse/onboarding af contractors: valider identiteter, enheders sikkerhedstilstand og adgangsgrænser for remote workers.
• Øg modstandsdygtigheden over for phishing: brug træning af brugere sammen med tekniske kontroller (safe links/attachments, impersonation protection).
• Overvåg for unormale adgangsmønstre i overensstemmelse med outsourced/fraudulent worker-adfærd (usædvanlig geografi, impossible travel, atypiske værktøjer).
• Udnyt Microsoft Defender-detektioner og undersøgelser fremhævet af Microsoft til at detektere, afhjælpe og reagere på AI-understøttet aktivitet.

Microsoft understreger, at AI også kan forstærke forsvarere—når det kombineres med stærke kontroller, intelligence-drevne detektioner og koordinerede forstyrrelsesindsatser.