Mens operatørerne sov, arbejdede angrebet videre. Et sted i Mexico kørte en flok AI-agenter natten igennem: nogle søgte internettet for oplysninger om nye ofre, andre læste svaghederne igennem, en tredje holdt styr på det hele. Om morgenen var der flere adgangskoder i databasen end dagen før. Ingen havde rørt et tastatur.
Sådan tegner sikkerhedsfirmaet Straiker billedet i en rapport fra 21. oktober, som The Information og Tom's Hardware har bragt. En kendt hackergruppe havde sat kommercielle AI-modeller til at automatisere indbrud i finanssektoren, og på få måneder nåede den over 400 mål. Det foruroligende er ikke, at den kunne. Det er, hvor lidt der skulle til.
Et hackerhold af modeller
Gruppen hedder CyberCartel og har plyndret banker i Latinamerika siden 2012. Det nye er håndværket. Banden har bygget et system, den kalder CARLIY0S, oven på den frit tilgængelige testplatform PentAGI, og det dirigeres fra en Claude-model i kodeværktøjet Cursor.
Rollefordelingen ligner et rigtigt indbrudshold, bare med sprogmodeller i stolene. Fem agenter på xAI's Grok var sendt ud for at samle oplysninger. Flere Claude-modeller vurderede, hvor et offer var svagt. En overordnet model holdt trådene. Og når en model nægtede at spille med, lå kinesiske Moonshots Kimi klar som reserve. Banden brugte frit den model, der var bedst til hver opgave, som var det tre vikarbureauer.
Da spærringerne sagde nej, skiftede de bare
Her bliver det for alvor ubehageligt. Modellerne har spærringer, der skal hindre dem i at hjælpe med angreb, og de faldt tre gange ud af tre.
Først fortalte banden simpelthen modellen, at det var et autoriseret sikkerhedstest. Den indpakning var nok. Sagde modellen alligevel fra, skiftede holdet bare til en anden. Og afviste den også, trak systemet en lokal fil frem med færdigskrevet kode, så modellen slet ikke behøvede at skrive noget. En models spærring er ikke en mur, men en dør, man kan gå udenom, når man har flere modeller og sin egen kode ved siden af. Vi har før skrevet om, at en kraftig model finder sikkerhedshuller hurtigere, end de kan lukkes.
Det sker ikke kun i Mexico
De 400 er mål, ikke bekræftede indbrud, og beretningen kommer fra ét firma. Men databasen, Straiker fik indblik i, rummede tusindvis af adgangskoder, kontonumre og API-nøgler, og sagen står ikke alene. Få uger før blev flere af Sydkoreas største banker ramt af det, efterforskerne kalder AI-drevne angreb, hvor omkring 25.000 af Shinhan Banks kunder fik deres låneoplysninger eksponeret.
Sikkerhedsorganisationen OWASP udgav i 2026 en rapport, der er fuld af virkelige hændelser med navn og nummer, hvor året før kun handlede om tænkte trusler. Den røde tråd hedder prompt injection: skadelige instrukser gemt i det indhold, en agent læser, så den adlyder en fremmed i stedet for sin ejer. Det er samme svaghed, der gør, at maskering af persondata ikke er nok, når en AI-agent er involveret.
Det er ikke magi, det er adgang
Faren ligger sjældent i science fiction, men i det kedelige: hvem har adgang til hvad. En agent får som regel flere rettigheder, end opgaven kræver, nøgler genbruges og skiftes sjældent, og den kan ikke selv kende forskel på din instruks og en tekst, den henter udefra. Et godt pejlemærke fra OWASP lyder, at en agent uden et menneske i loopet højst bør kunne to af tre ting: røre fortrolige data, læse indhold udefra og sende data ud af huset. Alle tre på én gang er præcis den cocktail, banden fik serveret.
For en virksomhed, der vil automatisere arbejdsgange med AI-agenter, er det ikke en grund til at lade være. Det er en grund til at behandle agenterne som medarbejdere med nøgler til rigtige systemer, der kan narres af den, der kender det rigtige kodeord.
Anthropic har lukket den adgang, banden brugte til Claude, og xAI undersøger stadig. Og det var helt almindelige kommercielle modeller, ikke angrebsværktøjer. Den egentlige nyhed er ikke, at en AI kan hacke, men at hastigheden har skiftet side. Et menneskeligt hold ville have brugt måneder på 400 mål. Her skete det, mens operatørerne sov. Spørgsmålet er ikke længere, om nogen kan bygge sådan et system. Det er bygget. Spørgsmålet er, hvem der vågner først i morgen.
Kilder: Tom's Hardware, Straiker, Help Net Security (OWASP)
