Okta publiserte i forrige uke rapporten «Phishing the agent: Why AI guardrails aren't enough». Forskerne testet OpenClaw, en modell-agnostisk multi-kanal-assistent som har vokst raskt i bedrifter siden lansering sent i 2025. De kjørte den med Claude Sonnet 4.6 som underliggende modell, og angrepscenarioet antok at en bruker hadde gitt agenten full PC-tilgang, styrte den via Telegram, og at Telegram-kontoen var kapret. Realistisk for en SIM swap.
Første forsøk på å hente et OAuth-token ble blokkert av Sonnets innebygde regler. Det andre forsøket gikk en annen vei. Angriperen ba agenten vise tokenet kun i et terminalvindu, ikke kopiere det. Sonnet aksepterte. Deretter ble agenten resatt slik at den «glemte» at den allerede hadde vist tokenet på skjermen. Da kom instruksjonen om å ta skjermbilde av desktopen og legge det i Telegram-chatten.
«Det åpner et nytt angrepsoverflate. Noen blir SIM-swappet, deres Telegram er koblet til en agent med carte blanche på PC-en og muligens arbeidsgiverens nettverk. I en bedriftskontekst er det et totalt mareritt» — Jeremy Kirk, threat intelligence director, Okta
Resten av rapporten viser at problemet ikke er begrenset til ett scenario. I én test ba agenten om innloggingsdetaljer i en åpen Telegram-bot da den møtte en innloggingsskjerm — en ukryptert kanal som eksponerer alt mot enhver med tilgang. I et annet eksperiment skulle agenten søke på X. Den var ikke logget inn i sin egen isolerte Chrome-profil, men da forskerne foreslo å hente sesjonscookies fra brukerens innloggede sesjon og injisere dem i agentens nettleser, gjorde den det villig. Det er prinsipielt det samme som adversary-in-the-middle-phishing, og bypasser MFA på samme måte.
Kirk peker på at problemet er strukturelt. Agenter trenes til å være maksimalt hjelpsomme, og det er en farlig defaultverdi når de håndterer credentials. Han trekker en parallell til den nylige Vercel-kompromitteringen der Context.ai åpnet for tyveri av nedstrøms OAuth-sesjonstokens. Mange bedrifter kjører i dag «shadow agents» helt eller delvis uten styring, brukt eksperimentelt av utviklere og ansatte.
For norske utviklere som bygger med agent-rammeverk er rådet konkret: behandle agenter som tjenestekontoer, ikke som chatbots. Begrens scope, kortlever tokens, og anta at en agent som glemmer regler er en agent som bryter dem.
Hva bør du gjøre?
- Ikke gi agenten din långlevende tokens. Bruk OAuth-flyter med kort levetid og refresh, ikke statiske API-nøkler i miljøvariabler.
- Sett kontekst-reset som en sikkerhetshendelse, ikke en optimalisering. Hver gang en agent mister minne, bør sensitive sesjoner termineres, ikke bare nullstilles.
- Logg agentens handlinger på OS-nivå, ikke bare i agentens egen telemetri. Skjermbilder og clipboard-operasjoner er det du trenger å se for å fange dette mønsteret.