La oss se tilbake på de siste fem ukene.

Natten mellom 11. og 12. oktober fikk angripere tilgang via internett til kjølestyringen i hundrevis av franske supermarkeder. De endret temperaturene og ødela matvarer for millioner av euro.

Den 2. november skjedde noe lignende i supermarkeder i andre europeiske land. I Estland ble en fryser funnet innstilt på 50 grader.

Den 10. november tilskrev Frankrike angrepene i oktober en kyberenhet knyttet til den iranske revolusjonsgarden. Hvem som sto bak de senere angrepene, er ikke like avklart.

Men mellom disse to episodene skjedde det noe enda mer interessant.

Den 21. oktober begynte myndigheter og selskaper i ulike land å ta ned nettsider som et føre-var-tiltak.

Det var oppdaget to kritiske sårbarheter i PHP, en teknologi som brukes av 68,3 % av nettsidene der W3Techs kan identifisere programmeringsspråket på serversiden. Feilene, kjent som PHP2Shell, kunne gjøre det mulig å kjøre kode på sårbare servere uten å kjenne noe passord.

Offentlige organer og selskaper i Tyskland, Frankrike, Nederland og Storbritannia stengte tjenester midlertidig. Grunnen var enkel: De kunne ikke garantere sikkerheten mens de forberedte rettingene.

Det oppsiktsvekkende var at kunstig intelligens hadde deltatt direkte i å oppdage og eksperimentelt utnytte sårbarheter som hadde ligget i programvaren i årevis. Calif, sammen med Ryan Austin, og Wiz undersøkte dem uavhengig av hverandre.

Den 5. november presenterte OpenAI GPT-6 Cyber. Forskerne hadde brukt modellen til å finne 81 hittil ukjente alvorlige sårbarheter i Firefox og utvikle 948 fungerende exploits for lokal rettighetseskalering i Linux. GPT-5.6 Sol hadde funnet og utnyttet 166 sårbarheter i en tidligere skanning med det samme forskningssystemet, på en annen utviklingsversjon av kjernen.

Mer enn fem ganger så mange.

Den 12. november gikk Microsoft 365 ned. Outlook, Teams og andre tjenester sluttet å fungere som de skulle i en rekke land, enkelte i mer enn et døgn.

Dagen etter stanset USA alle flyavganger i hele landet i rundt fem timer på grunn av problemer med kommunikasjonssystemene i flykontrollen.

De offisielle forklaringene på disse siste driftsavbruddene peker på tekniske feil, uten kjente tegn til cyberangrep.

Det kan være en tilfeldighet.

Men jeg tror vi ser noe viktigere enn en rekke hendelser.

Beskyttelsen vi aldri visste at vi hadde

I flere tiår krevde det spesialister, mye tid og ressurser å finne alvorlige sårbarheter i et komplekst program.

Det hadde en konsekvens vi kanskje aldri satte tilstrekkelig pris på: Millioner av feil forble skjult, ikke fordi systemene var sikre, men fordi det var for vanskelig å finne dem.

Kompleksiteten fungerte som en utilsiktet beskyttelse.

Kunstig intelligens er i ferd med å rive ned den barrieren.

Feilene som ble oppdaget i Firefox eller PHP, oppsto ikke i høst. De var der allerede.

Det som har endret seg, er evnen vår til å finne dem og vise hvordan de kan utnyttes.

Og dette endrer balansen mellom angripere og forsvarere radikalt.

Angriperen trenger å oppdage én sårbarhet som kan utnyttes. Forsvareren må finne den, rette den, kontrollere at rettingen virker og forsikre seg om at den ikke ødelegger resten av systemet.

PHP2Shell illustrerer problemet perfekt.

PHP Foundation erkjente at de første tegnene til ett av problemene hadde dukket opp i 2024. Det var komplisert å rette det. Det var problemer med kompatibilitet, ressurser og organisering. Siden 2024 hadde det forblitt uløst.

Det holdt ikke å vite at noe kunne være galt. Man måtte finne en løsning som ikke ødela andre ting. Det var det vanskelige. Og den vanskeligheten forsvant ikke da kunstig intelligens kom.

Det KI gjorde, var å vise hvor alvorlig problemet var. Forskere som brukte disse verktøyene, klarte å vise hvordan det kunne utnyttes. Da begynte et internasjonalt kappløp for å installere sikkerhetsoppdateringer. Noen offentlige organer og selskaper foretrakk å stenge tjenester fremfor å risikere et angrep.

KI bidro til å forårsake tjenesteavbrudd uten å måtte angripe tjenestene. Det holdt å oppdage at de kunne angripes.

Kappløpet mot klokken

Her begynner spekulasjonen min.

Vi har gammel infrastruktur. Systemer som ikke kan byttes ut over natten. Og nå har vi verktøy som kan finne sårbarheter på få dager.

Reaksjonen virker opplagt: Skynde seg. Installere sikkerhetsoppdateringer. Endre konfigurasjonen. Bytte ut det som ikke lenger regnes som sikkert. Gjøre så raskt som mulig det som frem til i går kunne vente.

Men infrastruktur kan ikke moderniseres like raskt som en KI oppdager sårbarheter. Hver oppdatering innebærer risiko. Hver endring krever at man kontrollerer at systemet fortsatt fungerer. Og hastverk fjerner ingen av disse behovene.

Hos Microsoft viste feilen seg etter en nylig endring knyttet til en tidligere utvidelse av nettverksinfrastrukturen.

Ifølge CBS omfattet en oppdatering av kommunikasjonssystemene sikkerhetsoppdateringer. Det gamle utstyret ble overbelastet, ifølge den offisielle forklaringen fra det amerikanske transportdepartementet.

Vi vet ikke om disse endringene var et svar på sårbarhetene som er beskrevet, eller om de ble fremskyndet på grunn av en trussel. Den tekniske undersøkelsen av driftsavbruddet i luftfarten pågikk fortsatt.

Hypotesen min er nettopp dette kappløpet. Gamle systemer som trenger endringer. Verktøy som finner grunner til å endre dem stadig raskere. Og mennesker som må avgjøre hvor mye tid de kan ta seg til å gjøre det uten å ødelegge dem.

I et slikt scenario trengs det ikke engang en angriper. Det holder at frykten for et angrep tvinger frem raske endringer i systemer som må endres langsomt.

For å undersøke dette måtte vi kjenne begrunnelsene for oppdateringene hos Microsoft og FAA, og vite om et akutt forsvarsbehov lå bak. Deretter måtte vi følge med på om det blir flere hasteoppdateringer, og om tiden fra en sårbarhet oppdages til den utnyttes, blir kortere. Og undersøke om det også blir flere driftsavbrudd under oppdateringer.

Det bekymringsfulle er at jeg kan ta feil

La oss anta at det i morgen blir bevist at Microsoft og FAA ble rammet av to helt uavhengige uhell. Ingen angrep. Ingen hasteoppdatering av frykt for sårbarheter.

Ingen sammenheng.

Fullt mulig.

Men vi ville fortsatt stå igjen med tre fakta.

For det første: Noen klarte å forårsake fysisk skade i hundrevis av europeiske supermarkeder gjennom IT-systemene deres.

For det andre: Oppdagelsen av gamle sårbarheter ved hjelp av KI tvang myndigheter og selskaper til å stenge nettjenester som et føre-var-tiltak.

For det tredje: To tekniske feil avbrøt internasjonale IT-tjenester og flyavganger i hele USA med knapt et døgns mellomrom.

Og alt dette har skjedd samtidig som det kommer systemer som kan øke tempoet i oppdagelsen og utnyttelsen av sårbarheter dramatisk.

Kombinasjonen burde bekymre oss selv om hendelsene ikke henger sammen.

I flere tiår har vi bygget et samfunn som er avhengig av kompleks, sammenkoblet teknologisk infrastruktur som er vanskelig å modernisere.

Noen av sårbarhetene forble skjult fordi det var komplisert å finne dem.

Det blir stadig enklere.

Og evnen vår til å rette dem øker ikke nødvendigvis like raskt.

Jeg tror ikke noen har koordinert alle disse hendelsene.

Jeg er bekymret for at ingen trenger å koordinere dem.

For at vi er på vei inn i en tid der svakheter som har samlet seg opp gjennom flere tiår, kan oppdages raskere enn vi vet hvordan vi skal rette dem.

Og for at vi, når vi forsøker å skynde oss for å lukke disse dørene, ødelegger andre ting underveis.

For mye på for kort tid.

Kanskje er det en tilfeldighet.

Men det som endrer seg, er ikke evnen vår til å bygge sårbare systemer. Det har vi gjort i flere tiår.

Det som endrer seg, er evnen vår til å finne dem.

Og jeg mistenker at vi bare så vidt har begynt å forstå konsekvensene.

Hovedkilder

Meningsartikkel. Hypotesen om en felles strukturell årsak og mulige fremskyndede defensive oppdateringer er forfatterens spekulasjon. Det er ikke påvist noen årsakssammenheng mellom hendelsene som er beskrevet.

Tekst av Roberto Ortega, bearbeidet med redaksjonell KI-støtte. Den norske og engelske versjonen er redaksjonelle tilpasninger av den spanske originalteksten.