De flesta AI-agenter i företagsmiljö har bredare åtkomst till system och data än uppgiften kräver. Enligt Opsin Labs rapport State of Agentic Adoption, publicerad den 5 augusti 2026, fick 60 procent av de agenter som konfigurerats bortom standardläget full åtkomst i stället för en behörighet skalad efter uppgiften. Felet sitter sällan i modellen. Det sitter i vad någon kryssade i vid uppsättningen.
Hur snabbt växer agenterna inne i företagen?
Snabbare än behörighetsarbetet hinner med. Opsin Labs granskade produktionsmiljöer i åtta branscher mellan mars 2025 och juni 2026. Antalet interaktioner mellan medarbetare och agenter växte fjortonfaldigt bara under första halvåret 2026. I samma material finns i genomsnitt en agent per anställd, antingen i drift eller som utkast.
Rapporten pekar också ut vem som bygger dem. 67 procent av agenterna sätts upp av medarbetare utan ingenjörsbakgrund, ofta i sälj, kundtjänst och drift. De personerna vet vad agenten ska göra. De har sällan tränats i att skala ner behörigheter, och verktygen frågar dem inte.
Vad är det egentligen som går fel?
Behörigheten sätts en gång, brett, och granskas sedan aldrig. Gravitees rapport State of AI Agent Security 2026, publicerad i februari 2026 och baserad på över 900 svar från chefer och tekniker, visar samma mönster från andra hållet. Bara 22 procent av teamen behandlar agenter som egna identiteter. 45,6 procent använder delade API-nycklar när agenter ska tala med varandra.
Konsekvensen är att spåret försvinner. När tio agenter delar samma nyckel går det inte att svara på vem som läste vad. Enligt samma rapport är knappt hälften, 47,1 procent, av företagens agenter övervakade eller säkrade över huvud taget.
Samtidigt uppger 82 procent av cheferna i Gravitees underlag att de känner sig trygga med att befintliga policyer skyddar mot obehöriga agentåtgärder. Det är den siffran att stanna vid. Avståndet mellan upplevd kontroll och faktisk kontroll är själva risken.
Vad betyder full åtkomst i praktiken?
Att agenten ser allt den som byggde den ser. En agent som kopplas mot dokumentarkivet eller affärssystemet med en bred behörighet ärver hela den ytan, inte den del som uppgiften rör. En agent byggd av någon på ekonomi för att sammanställa fakturor kan därmed nå allt annat den personen har tillgång till.
Nästa steg är det som gör det till en säkerhetsfråga. När agenten sedan öppnas för fler i organisationen följer den ärvda åtkomsten med. Den som ställer en fråga till agenten behöver inte ha rätt till underlaget för att få svaret. Behörighetsspärren finns i systemet, men agenten står på fel sida om den.
Opsin Labs beskriver fyra vanliga angreppsvägar i sitt material, och samtliga utgår från samma två förutsättningar. Agenten har mer åtkomst än uppgiften kräver, och det saknas mänskliga kontrollpunkter innan den agerar.
Vad säger svensk lag om agenters åtkomst?
Cybersäkerhetslagen (2025:1506) trädde i kraft den 15 januari 2026 och räknar upp åtkomstkontroll som en av de säkerhetsåtgärder som ska finnas på plats. Lagen är Sveriges genomförande av NIS2 och gäller väsentliga och viktiga verksamhetsutövare i utpekade sektorer, bland annat energi, transport, vård, digital infrastruktur och offentlig förvaltning.
Lagen nämner inte AI-agenter. Den behöver inte göra det. En agent som läser i ett verksamhetssystem är ett åtkomstärende, precis som en anställd eller en integration. Kraven på riskanalys, behörighetsstyrning, loggning och incidentrapportering gäller oavsett vad som sitter i andra änden av inloggningen.
För den som omfattas finns ett datum kvar i år. Anmälan till Myndigheten för civilt försvar ska vara gjord senast den 30 september 2026. Anmälningsportalen öppnade den 2 februari 2026. Incidenter rapporteras till Nationellt cybersäkerhetscenter, med CERT-SE som mottagare.
Många mindre svenska bolag omfattas inte direkt. De möter kraven ändå. Säkerhet i leveranskedjan är en av de uppräknade åtgärderna, vilket betyder att den som levererar system eller drift till en omfattad verksamhet får frågorna via avtalet i stället för via lagen. Frågan om vad era agenter kommer åt kommer alltså från kunden, inte från en myndighet.
Vad ska ni bestämma innan agenten släpps in?
Fem saker, och alla fem hör hemma före bygget, inte efter pilotens första vecka.
- Skriv ner exakt vilka tabeller, poster och fält agenten ska läsa, och vilka den får ändra. Går listan inte att skriva ner är uppgiften inte tillräckligt definierad.
- Ge agenten en egen identitet. Delad nyckel betyder att loggen inte kan användas som bevis.
- Skilj läsning från skrivning. De flesta agenter som ger nytta i drift behöver bara läsa.
- Logga varje anrop mot verksamhetsdata, med tidpunkt, identitet och träffad post.
- Sätt en mänsklig kontrollpunkt före åtgärder som inte går att backa, som utskick, betalningar och statusändringar mot kund.
James Pham, vd på Opsin, pekar ut uppsättningen som den avgörande punkten. Att leta efter avvikande beteende när agenten redan är i drift är enligt honom ett steg för sent.
Varför blir gränsen tydligare i ett eget system?
För att gränsen redan finns. När en agent arbetar genom en intern webbapplikation som ligger ovanpå affärssystemet ärver den applikationens roller och regler på radnivå. Den får ett fönster, inte en huvudnyckel till källsystemet.
Skillnaden märks i tre lägen. Vid revision ligger loggen på ett ställe. Vid personalbyte tas behörigheten bort i samma vy som för människor. Vid incident går det att svara på vad agenten faktiskt kom åt, vilket är den fråga en tillsynsmyndighet ställer först.
Vi har skrivit tidigare om varför agentprojekt fastnar i pilot och om vad EU-baserad data innebär i praktiken. Behörighetsfrågan hör ihop med båda.
Åtkomsten bestäms före bygget
En agent utan definierad behörighet är inte en snabbare medarbetare. Den är en oidentifierad inloggning i era system. Börja med listan i punkt ett ovan, för den agent ni redan har igång.
Vi arbetar så att åtkomsten skrivs ner som en del av kravbilden innan första raden kod, och applikationen byggs med de gränserna på plats. Hur vi hanterar data och drift står på Trust.