AI-agenterna tar över nätet – och skapar en ny säkerhetsfront

Cloudflare beskriver en brytpunkt för internet. Under en pressträff i Seoul uppgav bolagets ledning för Asien och Stillahavsområdet att trafiken från AI-agenter hade ökat med mer än 1 700 procent jämfört med året innan. Omkring 60 procent av all trafik i Cloudflares nätverk sades komma från AI-agenter. 6

Det innebär inte att 60 procent av all internettrafik globalt består av AI-agenter. Siffran gäller Cloudflares nätverk och speglar bolagets egen trafikmätning. Men enligt Cloudflare visar den ändå att internet håller på att gå från en miljö där människor främst läser och klickar till en där autonoma program utför uppgifter åt dem.

När program får möjlighet att agera

AI-agenter nöjer sig inte med att skriva ett svar. De kan surfa på webben, använda externa verktyg, hämta information från interna system och genomföra åtgärder utifrån instruktioner. Därmed blir riskbilden bredare än för vanliga chattjänster.

Bland hoten finns bland annat:

• Promptinjektioner och verktygsinjektioner: skadliga instruktioner kan gömmas i text eller i beskrivningen av ett verktyg och få agenten att göra något annat än användaren avsett.
• För långtgående åtgärder: en agent kan få större behörighet än vad uppgiften kräver och därmed ändra, radera eller dela information på fel sätt.
• Missbrukade inloggningsuppgifter: agenten kan använda åtkomst till företagssystem utan tillräcklig kontroll av identitet, syfte och omfattning.
• Dataexfiltrering: känsliga uppgifter kan skickas till en AI-tjänst eller ett verktyg utanför organisationens godkända miljö.

Skugg-AI och skugg-MCP

Med skugg-AI avses att medarbetare använder AI-tjänster som organisationen inte har godkänt eller granskat. Det kan till exempel innebära att företagshemligheter, personuppgifter eller annan känslig information hamnar i en extern tjänst. Cloudflare rekommenderar att företag först kartlägger vilka AI-tjänster som faktiskt används, i stället för att utgå från att den officiella policyn speglar verkligheten.

En liknande risk gäller skugg-MCP. MCP, Model Context Protocol, är ett protokoll som låter AI-modeller koppla upp sig mot verktyg och datakällor. Obehöriga MCP-anslutningar kan skapa vägar runt organisationens identitetskontroller, loggning och säkerhetsgranskning. Resultatet kan bli att en agent når ett verktyg eller en datakälla utan att anslutningen har godkänts.

Cloudflares föreslagna skydd

Cloudflares modell bygger på att organisationer ska kunna se och styra agenttrafiken i flera steg:

1. Upptäck användningen. Cloudflare Gateway kan identifiera MCP-trafik med hjälp av protokollbaserade signaler. Det gör det möjligt för säkerhetsteam att hitta skugg-MCP på hanterade nätverk. 11
2. Skydda promptar och data. DLP-regler, alltså regler för att förhindra dataförlust, kan användas för att upptäcka och blockera känslig information innan den skickas till AI-tjänster.
3. Styr åtkomsten. Godkända MCP-servrar bör endast nås via en kontrollerad portal. Åtkomsten ska vara identitetsbaserad, begränsad till minsta nödvändiga behörighet och utformad enligt nolltillitsprincipen. Direkta anslutningar till servrarna från hanterade nätverksvägar bör blockeras. 11

Poängen är att behandla en AI-agent som en aktör med egen åtkomst – inte som ett passivt program som automatiskt kan lita på allt den gör.

Q Day och kampen mot framtidens kvantdatorer

En annan del av Cloudflares strategi gäller Q Day. Begreppet syftar på den dag då tillräckligt kraftfulla kvantdatorer kan knäcka den asymmetriska kryptografi som fortfarande skyddar många internetanslutningar.

Hotet gäller även information som inte kan dekrypteras i dag. Angripare kan samla in krypterad trafik nu och försöka dekryptera den senare, i en så kallad ”harvest now, decrypt later”-attack.

Cloudflare siktar på att hela produktportföljen ska vara postkvantsäker senast 2029. Bolaget har dessutom börjat stödja postkvantsäker autentisering för anslutningar till kundernas ursprungsservrar genom Authenticated Origin Pulls och Custom Origin Trust Store. Det beskrivs som ett första steg mot postkvantsäker autentisering i hela produktutbudet.

I den regionala diskussionen framställdes risken som något som kan bli akut omkring 2030. Budskapet till organisationer är därför att börja migrera innan ett exakt datum för Q Day är känt.

Kitesurf: en webbläsare för program, inte människor

Cloudflares nya Kitesurf passar in i samma större utveckling. Det är en webbläsare som är byggd för AI-agenter och körs helt ovanpå Cloudflare Workers. Den är tillgänglig utan kostnad under betaperioden i tjänsten Browser Run. 12

Till skillnad från en vanlig Chromium-webbläsare behöver Kitesurf inte prioritera funktioner som flikar, tillägg, avancerad visuell rendering eller mjuk rullning för mänskliga användare. I stället är den optimerad för uppgifter som skärmdumpar och extraktion av HTML-innehåll.

Cloudflare uppger att Kitesurf använder tre till sju gånger mindre CPU och minne än Chromium för vanliga agentbaserade arbetsflöden. 2 Eftersom webbläsaren körs i Workers och V8-isolat blir det lättare att skala många samtidiga sessioner och koppla automatiseringen till Cloudflares befintliga funktioner för säkerhet, identitet, nätverkspolicy och övervakning. 812

En infrastruktur för den agentstyrda webben

Cloudflare försöker alltså göra mer än att försvara sig mot den snabbt växande AI-trafiken. Bolaget bygger också verktyg för att AI-agenter ska kunna använda webben effektivt.

Den dubbla strategin är tydlig: Kitesurf ska göra maskinell webbautomation billigare och mer skalbar, medan upptäckt, dataskydd, nolltillitsåtkomst och postkvantsäker kryptografi ska begränsa vad agenterna får göra. När allt mer internetaktivitet utförs av program blir den centrala säkerhetsfrågan inte bara vem som klickade – utan vilken agent som agerar, med vilken behörighet och under vems kontroll.