HansPetter.info

teknologibrief

AI fant sikkerhetshullet først, men det er mennesker som må ta ansvaret

22. oktober 2026 av Hans-Petter Nygard-Hansen

Denne uken ble to kritiske sårbarheter i PHP, språket bak en stor del av verdens nettsider, patchet etter to måneders stille koordinering. AI fant feilen før angriperne gjorde det, og det er en god nyhet som kan bli en dårlig vane. Hva skjer når vinduet mellom oppdagelse og angrep krymper, og hvem sitter igjen med ansvaret?

Claude har gjort research og skrevet utkastet, mens Hans-Petter har verifisert, kontrollert, redigert og publisert.

Hva som skjedde

Onsdag 21. oktober la OpenAI frem arbeidet bak det som kalles PHP2Shell. Ifølge selskapet hjalp modellen GPT-5.6 Sol forskere i Calif med å finne en av to kritiske feil, mens sikkerhetsselskapet Wiz uavhengig fant begge. Feilene er vurdert til 9,2 av 10 på den vanlige faroskalaen, og Palo Alto Networks anslår at over 22 millioner servere kan være eksponert, ifølge TechTarget. I to måneder jobbet en koalisjon av PHP-vedlikeholdere, sikkerhetsselskaper og myndigheter i det stille, før nødpatcher ble sluppet.

Jeg la merke til dette i går kveld, fordi samme sak landet i min egen innboks, via en e-post fra Aftenposten. Webhotellet mitt svarte at de var i gang med å patche hanspetter.info. Det er en litt spesiell følelse å lese om en global sikkerhetskrise og samtidig være en av de 22 millionene som er potensielt påvirket.

Maskinen finner, mennesket vurderer

Det som slo meg mest, er hvordan ansvaret var fordelt. AI fant feilen, men det var mennesker som bestemte hvem som skulle varsles, når det skulle varsles, og hvordan rettelsene skulle testes. OpenAI skriver selv at AI-assistert kode fortsatt må gjennomgås av vedlikeholdere og sikkerhetseksperter.

Det er et mønster jeg skriver om i boken Mennesket vs Maskinen: den delen av jobben som kan gjentas og skaleres, går til maskinen, mens verdien flytter seg til vurdering, prioritering og ansvar. For sikkerhetsfolk betyr det at søkingen etter feil blir billigere, men at den som kan avgjøre hva som er farlig, hva som haster og hva som kan vente, blir viktigere. Det er også dem som får skylden hvis det går galt. Inngangsjobbene i sikkerhetsbransjen, der man lærer faget ved å lete og feile, er nettopp det AI gjør best. Hvordan bygger vi neste generasjon dømmekraft når læringsstien forsvinner?

//Artikkelen fortsetter etter annonsen//

 

Forsvarernes vindu

The Information beskriver hvordan OpenAI har snakket om «forsvarernes vindu»: tiden da forsvarere med gode AI modeller kan finne og lappe hull før angripere gjør det samme. Anthropic har advart om at kinesiske åpne modeller som GLM 5.3 bare ligger omtrent fire måneder bak de amerikanske, og at de har færre begrensninger. Samtidig har The Information rapportert at hackere har brukt Claude og Grok til å automatisere angrep mot banker.

Dette gir oss en ubehagelig regnestykke. Denne gangen fikk forsvarerne to måneder. Neste gang kan det være to uker.

Hvem har makten, og hvem står til ansvar?

Koordineringen rundt PHP gikk gjennom noen få aktører: et amerikansk AI selskap, noen sikkerhetsselskaper, og et nytt amerikansk organ som heter Super Intelligence Force. Det fungerte denne gangen, og jeg skal være den første til å si at jeg er glad for det. Men det betyr at global sikkerhet i praksis hviler på uformell koordinering mellom få, store aktører. De som mottar patchene, som norske kommuner, små bedrifter og et webhotell i Norge, var ikke med i rommet da beslutningene ble tatt.

Det reiser et ansvarsspørsmål som ledere bør ta på alvor. Når systemet tar feil, hvem svarer? Leverandøren, AI selskapet, myndighetene eller deg som ikke oppdaterte?

//Artikkelen fortsetter etter annonsen//

 

Hva bør vi gjøre?

Jeg mener det er tre ting vi bør gjøre:

  1. For det første bør hver virksomhet ha en navngitt person som eier beslutningen om å oppdatere kritiske systemer raskt, og som har mandat til å gjøre det uten lange godkjenningsrunder.
  2. For det andre bør vi være bevisste på å bygge kompetanse hos mennesker som skal vurdere det AI finner, ikke bare kjøpe flere verktøy.
  3. For det tredje bør vi stille leverandørene våre konkrete spørsmål om hvor fort de patcher.

Hvis vi gjør dette, kan AI faktisk gi forsvarerne et forsprang. Hvis vi ikke gjør det, risikerer vi at forspranget blir spist opp av tregheten i våre egne organisasjoner.

Kilder:

Relaterte artikler