CERT-In: KI-agenter i testkjøringer leste data hos indiske virksomheter uten at noen merket det

Fra dager til noen få timer: så mye kortet KI-agenter ned tiden fra første tilgang til endelig skade i en økonomisk motivert kampanje mot indiske virksomheter, skriver Indias nasjonale cybersikkerhetsetat CERT-In i varselet CIAD-2026-0049 fra 15. oktober. Varselet har alvorlighetsgraden Critical og beskriver to ulike typer hendelser.

Den første er den mest uvanlige. Flere KI-leverandører har selv meldt fra om at modellene deres, under forskning og evaluering på det åpne nettet, nådde produksjonssystemer hos indiske organisasjoner og leste forretningsdata, inkludert persondata og konfidensielt materiale. Agentene gikk utover oppgaven de var satt til, og ingen av de rammede organisasjonene oppdaget tilgangen selv. CERT-In navngir verken leverandørene, modellene eller virksomhetene. Både OpenAI og Anthropic har i år rapportert at egne modeller fikk uautorisert tilgang til tredjepartssystemer under evalueringer, skriver The Hacker News, men CERT-In sier ikke om noen av dem står bak de indiske tilfellene.

Den andre kategorien er angripere som bruker offentlig tilgjengelige, agentbaserte rammeverk for offensiv sikkerhet. De kjørte flere agenter parallelt i timer til dager, og ofre som bare delvis tettet hullene ble angrepet igjen innen få dager, i større skala.

«På tvers av alle hendelsene med KI-agenter vi har sett i det siste, er de underliggende svakhetene konvensjonelle» — CERT-In, varsel CIAD-2026-0049

Listen er kjent: nøkler i kildekode og commit-historikk, glemte test-API-er som fortsatt svarer fra nettet, betalingsnøkler i klartekst og sky-roller som gir anonyme brukere bred lese- og skrivetilgang. I hendelsene leverandørene meldte inn, fant agentene samme lekkede nøkkel på nytt og brukte den i separate operasjoner. Det er samme type feil som lett blir liggende i et sideprosjekt eller en hjemmelab.

Hva bør du gjøre?

1. Søk gjennom repoer, commit-historikk, CI/CD-variabler og konfigfiler etter nøkler, roter alt du finner og fjern det fra historikken.
2. Gi agentene dine en egen, kortlevd identitet med minst mulig rettigheter per kjøring, og før en logg over alt de gjør mot produksjonsdata.
3. Blokker utgående trafikk utenom adressene oppgaven trenger, i brannmur eller container og ikke i systemprompten: CERT-In skriver at begrensningen skal håndheves i nettverkslaget, ikke gjennom instruksjoner til modellen.