Lad os være ærlige. AI‑agenter, MCP‑servere og LLM‑apps kommer ind i kodebaser, før nogen når at registrere dem. MarkTechPost gennemgår Mend.io’s nye guide, som gør det håndgribeligt at få greb om det her: start med synlighed, prioriter fix efter effekt, og sæt driftssikring på. Samtidig rapporterer VentureBeat om Qwen3.8‑Max med stærke, men leverandørpublicerede benchmarks. Tag dem som pejlemærker, ikke facit, indtil uafhængige målinger er på plads.
Guiden rammer et hul, mange kan mærke i maven: agentiske integrationer er virkelige, men governance halter. Ifølge MarkTechPost ledsages rammen af genbrugelige artefakter, som gør kontrollerne operationelle i hverdagen. Det korte budskab fra os: synlighed først, så kontrol. Og så holde rytmen i drift, selv når modeller og prompts skifter fra uge til uge.
Hvorfor klassisk AppSec knirker
AppSec antager, at kode styrer adfærd. Agentisk AI gør det mere flydende. MarkTechPost refererer, at agenters output formes af flere ting på én gang: model, systemprompt, hentet kontekst, brugerinput og værktøjer. Derfor kan to identiske deploys opføre sig forskelligt i praksis. Det er ikke teoretisk – det er hverdagsfriktion.
Konsekvensen er et blindfelt. Klassiske scanner‑rapporter og CVE‑feeds fanger ikke en ændret systemprompt, en forgiftet tool‑beskrivelse på en MCP‑server eller en udfaset model, der stadig svarer. Risici flytter sig fra “kodefejl” til “kontekst og tilladelser”. Det kræver andre sensorer, andre gates.
De fejltilstande I ikke ser i CVE
MarkTechPost sammenfatter fire fejlklasser fra Mend.io: data‑båren prompt‑injection, over‑tilladte agenter, forældede modeller der stadig servicerer, og forgiftede tool‑descriptions på MCP‑servere. Ingen af dem dukker op i standard feeds. Alligevel kan de ændre adfærd markant – uden et eneste linjeskift i applikationskoden.
Små ændringer forstørres, når prompts, værktøjer og modelversioner skifter ofte. Det er derfor, synlighed over faktisk runtime‑adfærd, ikke bare repos, er nødvendig. Man kan ikke patche en prompt, man ikke ved eksisterer.
Angrebsfladen i fem lag – skåret ind til benet
Mend.io’s kort består af fem lag: Interaction, Agent, Integration, Model og Code. De tre vigtigste signaler at handle på, ifølge MarkTechPost’s gennemgang:
• Interaction: hold øje med prompt‑injection og dataeksfiltration via brugerinput og hentede dokumenter.
• Agent: tjek systemprompter, autonomi og værktøjsrettigheder – over‑tilladelser er hyppigste årsag til uønskede handlinger.
• Integration: MCP‑servere og tool‑descriptions kan forgiftes; credentials skal være klart afgrænsede. Model‑ og codelag følger med: EOL‑modeller og AI‑genereret kode kræver de samme forsigtigheder som anden supply chain og framework‑CVE’er.
Se hvad der faktisk kører
Start med opdagelse. MarkTechPost beskriver metoderne fra guiden: scan repositories for agentiske signaturer, overvåg netværks‑egress for kald til model‑API’er, og auditér servicekonti og API‑nøgler. Gør registrering let, så teams ikke sniger sig uden om. Automatiser, for punktmålinger bliver hurtigt forældede.
Målet er et opdateret inventar: hvilke agenter kører, hvilke MCP‑servere findes, hvilke modeller og endpoints bruges. Uden det overblik bliver resten gætteri – og gæt er en dårlig guardrail.
Fra fund til fix – uden at drukne i støj
Prioritér efter kontekst. Ifølge gennemgangen vægter rammen reachability og exploitability højest, derefter forretningskontekst og agentisk forstærkning. Det gør triage skarpere: det, der kan misbruges udefra eller rammer følsomme data, går først. Resten venter, eller automatiseres med bevisførelse.
Her er også et tradeoff. Strammere gates og to‑personers godkendelser kan give review‑overhead og release‑latency. Sæt dem der, hvor skaden er størst (høj‑impact værktøjskald, systemprompter i kritiske flows), og hold resten let men sporbart. Det er dyrere at rydde op efter en agent med for brede nøgler end at vente en time på et review – men alt skal ikke igennem samme tragt.
Beskyt i drift – ejerskab og løbende styring
I produktion handler det om guardrails, prompt‑hærdning, politik og overvågning. MarkTechPost gengiver også et simpelt governance‑krav, der virker: hver MCP‑server skal have en navngiven ejer, klart adgangsscope og regelmæssigt review. Det forhindrer skygge‑integrationer og “ingen ejer”‑risiko.
Hold modelversioner fastlåste med EOL‑monitorering, og læg LLM‑artefakter ind i jeres CI\/CD‑gates: systemprompter i version control, tool‑descriptions gennem review, høj‑impact værktøjskald kræver menneskelig godkendelse. Når hændelser opstår, skal logs vise prompts, værktøjsvalg og data‑reach – så support kan triagere på minutter, ikke dage.
Discovery og governance hænger sammen
Når netværket viser model‑kald fra ukendte tjenester, eller repo‑scans finder agentmønstre, bliver governance ikke teori. Registrer agenten, tildel ejer, afgræns nøgler, og planlæg næste review. Ifølge MarkTechPost kan artefakterne i rammen genbruges på tværs af teams, så man ikke starter forfra ved hver service.
Det lyder banalt, men det skaber tempo. Først synlighed, så små, konkrete kontroller. Gentag. Det fjerner den klassiske flaskehals, hvor sikkerhed venter på “den store omlægning”, som aldrig rigtig lander.
Kort om Qwen3.8‑Max
VentureBeat rapporterer, at Alibaba’s Qwen3.8‑Max – en 2,4‑billioners parameter MoE‑multimodalmodel – ifølge virksomhedens egne benchmarks scorer 86,1 på OSWorld‑Verified foran GPT‑5.6 Sol Max og Fable 5 og klarer sig stærkt på flere agentiske opgaver. Det er leverandørtal og bør verificeres uafhængigt, før de indgår i arkitektur‑ eller migreringsvalg.
For sikkerhedsarbejdet ændrer det ikke prioriteringen: uanset model kræver agentiske mønstre synlighed, styring og driftshærdning. Nye modeller gør bare discovery og EOL‑overvågning vigtigere.
Driftskonsekvenser uden pynt
Implementering betyder arbejde. CI\/CD‑gates for LLM‑artefakter og menneskelig godkendelse af høj‑impact værktøjskald koster tid. Planlæg kapacitet i release‑kalenderen, ellers ender gates som bypassede formaliteter. Logning af prompts og data‑reach skaber også compliance‑værdi, men kræver rydelig datahåndtering og adgangsstyring.
Det er også fair at sige, at udbredelsen af skygge‑agenter og forgiftede tool‑descriptions ikke er kvantificeret bredt. Kilderne beskriver praktikernes observationer, ikke populationsmålinger. En vej videre er anonymiseret telemetri, brancheundersøgelser og deling af indikatorer i faglige netværk – så prioriteringerne hviler på data, ikke rygter.
Sådan kommer I videre de næste 90 dage
30 dage: kør repo‑scans for agentiske signaturer, sæt simple netværksalarmer for model‑API‑egress, og lav en let registrering, så teams kan melde agenter og MCP‑servere ind. Start AI‑BOM’en med basale felter: identitet, modelafhængighed, værktøjstilladelser, credential‑scope, MCP‑endpoints og placering af systemprompt.
60 dage: gennemfør en nøgle‑ og servicekonto‑audit, indfør ejer og adgangsscope for hver MCP‑server, og læg systemprompter i version control. Gør høj‑impact værktøjskald afhængige af menneskelig godkendelse. Pin modelversioner og sæt EOL‑monitorering.
90 dage: flyt LLM‑artefakter ind bag CI\/CD‑gates med review. Automatiser ugentlige discovery‑kørsler og skaler triage med regler for reachability og exploitability. Etabler et fast review‑interval for MCP‑servere. Juster gates, hvis latency bliver en hæmsko – men behold sporbarhed og ejerskab.
Hvad I skal huske
MarkTechPost’s gennemgang af Mend.io‑guiden giver et stramt forløb: få synlighed, prioriter efter reel risiko, og hold styringen i drift. Vendor‑benchmarks som Qwen3.8‑Max kan være en teaser, men de ændrer ikke sikkerhedens rækkefølge. Først se, så styre. Resten er implementering og disciplin – og ja, lidt tålmodighed ved releasegates.
