En diskusjonstråd på Lobsters som startet i det stille for noen dager siden har fått uvanlig mye trafikk for et forum som vanligvis holder seg ganske rolig. Temaet: hva gjør du konkret for å beskytte deg mot et scenario der LLM-er begynner å finne zero-days i industriell skala?
Og nei, dette er ikke spekulativ sci-fi lenger.
Tallene som sirkulerer i tråden er verdt å ta på alvor. CrowdStrike meldte nylig om 89 prosent økning i AI-aktiverte angrep år over år, og den gjennomsnittlige tiden fra et system er kompromittert til angriperen beveger seg lateralt i nettverket er nå nede i 29 minutter. Den raskeste observerte breakout-tiden? 27 sekunder. Det er knapt tid til å reagere.
Det som gjør Lobsters-tråden spesielt interessant er at den ikke er full av doomer-retorikk. Den er teknisk, pragmatisk og litt skremmende nettopp fordi folk der vet hva de snakker om. Noen trekker fram air-gapping som eneste reelle forsvar — den klassiske "maskinen som aldri har vært på nett"-strategien. Andre peker på at dette ikke hjelper for infrastruktur vi faktisk er avhengige av.
Konteksten er viktig her: AI CVE-er (altså dokumenterte sårbarheter knyttet til AI-systemer) surget til over 2 100 bare i 2025, en økning på nesten 35 prosent. Av disse har over 1 500 høy eller kritisk alvorlighetsgrad. Det betyr at angrepsflaten vokser raskere enn forsvarskapasiteten.
Det virkelig bekymringsfulle scenariet som diskuteres i tråden er ikke at AI angriper systemer direkte — det er at en liten gruppe mennesker med tilgang til kraftige LLM-er kan finne og utnytte sårbarheter som tar år å patche, eller som ikke kan patches i det hele tatt fordi de sitter dypt i hardware eller protokoller.
Google Project Zero har allerede vist at AI kan øke sårbarhetsdetektion med opp til 20 ganger på standardbenchmarks. Det er et tveegget sverd av dimensjoner.
Hvorfor bør du følge med på dette nå? Fordi mainstream sikkerhetsmedia fortsatt behandler dette som et fremtidsscenario. Det er det ikke lenger. Lobsters-tråden er et early signal om at folk som jobber hands-on med sikkerhet begynner å ta dette på alvor på et helt annet nivå enn for seks måneder siden.
OBS: Dette er basert på community-diskusjoner og aggregerte bransjetall — ikke verifisert gjennom uavhengige primærkilder. Early signal, ikke fasit.