NISTs agentrapport er en oppsummering av innspill – ikke en ferdig sikkerhetsstandard
Rapporten samler svar fra en innspillsrunde
NIST publiserte NIST AI 800-5 den 18. mai 2026. Rapporten oppsummerer svar på en offentlig innspillsrunde fra CAISI om sikkerhet for KI-agenter. Det er viktig å lese dokumenttypen riktig. NIST gjengir og analyserer innspill. Rapporten fastsetter ikke alene en ferdig teknisk sikkerhetsstandard som en virksomhet kan krysse av mot.
Respondentene var bredt enige om to forhold. KI-agenter fører med seg nye sikkerhetstrusler. Samtidig er grunnleggende prinsipper for cybersikkerhet fortsatt relevante, men de må tilpasses systemer som kan bruke data, verktøy og tjenester på vegne av andre. Enighet om retningen er nyttig, men den sier likevel ikke at alle detaljene i løsningene er avklart.
Truslene handler også om agentens handlinger
Den opprinnelige innspillsrunden nevnte indirekte promptinjeksjon og dataforgiftede modeller. Indirekte promptinjeksjon kan oppstå når en agent møter innhold som prøver å endre hvordan den oppfører seg. Dataforgiftning retter seg mot grunnlaget systemet lærer eller arbeider fra. Begge deler kan påvirke en agent uten at den vanlige brukeren ser problemet med en gang.
Innspillsrunden tok også opp handlinger som kan skade sikkerheten uten et klassisk angrep. En agent kan for eksempel få for brede fullmakter eller bruke riktig verktøy i feil sammenheng. Da er ikke spørsmålet bare om en angriper kom inn. Virksomheten må også kontrollere hva agenten kan gjøre, hvilke data den kan lese, og hvilke beslutninger som må stoppes for menneskelig vurdering.
Klassiske kontroller må tilpasses en ny aktør
Identitet, tilgangsstyring, logging og minste nødvendige rettigheter er kjente sikkerhetsprinsipper. KI-agenten gjør dem vanskeligere å praktisere. Det må være mulig å se hvem agenten opptrer på vegne av, hvilke fullmakter den fikk, og hvilket verktøy som utførte handlingen. En generell tjenestekonto gir et svakere revisjonsspor enn en avgrenset identitet med et forståelig formål.
Logging må vise mer enn at et API ble kalt. Den bør gjøre hendelsesforløpet mulig å rekonstruere. Hvilket innhold påvirket agenten? Hvilken regel åpnet handlingen? Når grep et menneske inn? Rapporten gir ikke ett ferdig format for alle slike logger. Den viser hvorfor virksomheter trenger svarene før en agent får utføre oppgaver med høy konsekvens.
Hva virksomheten kan gjøre før standarden er ferdig
En virksomhet kan starte med en oversikt over agenter, eiere, identiteter, datatilgang og verktøy. Deretter kan den avgrense fullmakter og legge inn menneskelig godkjenning for handlinger som ikke enkelt kan reverseres. Den kan teste indirekte promptinjeksjon med kontrollerte eksempler. Den kan også kontrollere at en agent mister tilgang når oppgaven eller eieren endres.
Testen bør omfatte uønsket bruk, ikke bare normal flyt. Gi agenten innhold som forsøker å flytte den utenfor oppgaven. Prøv en handling identiteten ikke skal få utføre. Kontroller at avvisningen blir logget og forståelig. Disse tiltakene beviser ikke full sikkerhet, men de gjør risikoen mer synlig mens standardiseringsarbeidet fortsetter.
Det som fortsatt må utvikles
NIST AI 800-5 avgjør ikke hvordan alle kontroller skal måles, eller hvilke terskler som passer i alle bransjer. Den avgjør heller ikke hvordan leverandører og kunder skal dele ansvar i hvert system. Slike spørsmål krever videre teknisk arbeid og tydeligere standarder. Rapporten bør derfor brukes som et kart over problemene, ikke som et sertifikat.
Den mest presise konklusjonen er todelt. Virksomheter trenger ikke vente med grunnleggende kontroll av identitet, fullmakt og logging. De må samtidig være åpne om at metodene fortsatt utvikles. En innspillsrunde kan vise bred enighet og viktige uenigheter. Den kan ikke gjøre et uferdig sikkerhetsfelt ferdig ved publisering.
Kilder og videre lesning
- nist.gov: summary analysis responses request information regarding security considerations ai
- nist.gov: caisi issues request information about securing ai agent systems
En kontrollert pilot må kunne stoppes
En agentpilot bør ha et tydelig stoppunkt. Virksomheten må vite hvem som kan trekke fullmakten, hvordan pågående handlinger avbrytes, og hvilke data som må kontrolleres etterpå. Prøv dette før ordinær drift. Hvis agenten fortsetter å bruke et verktøy etter at identiteten er sperret, har testen avdekket et viktig problem. Stoppfunksjonen er ikke et tillegg til sikkerhetsarbeidet; den viser om tilgangsstyringen faktisk virker.
