Bortom det du inte kan se på hemsidan du surfar till ligger gömda funktioner och filer som man kan hitta bara man vet namnet. Och det är precis vad angriparen letar efter. I det här avsnittet av IT-säkerhetspodden pratar Erik och Mattias om forced browsing och vad det innebär, hur det fungerar och hur det kan påverka oss som användare.  Utanför den tydligt utstakade vägen finns sårbarheterna som ger tillgång till hemliga delar och okända funktioner. Hur nyttjar angriparna Forced Browsing och hur kan man försvara sig?

Lyssna och få en djupare förståelse för fenomenet, varför det är viktigt att uppmärksamma detta angreppssätt som varit populärt i över tjugo år.

Inspelat: 2026-10-11 (publicerat 2026-10-12)
Deltagare: Mattias Jadesköld och Erik Zalitis.
Texten skrevs och sammanställdes av Erik Zalitis.

Medan du lyssnar – Vad innebär ”Forced browsing” ?

Svaret är att det är att gå till delar av en hemsida utan att klicka på länkar eller knappar. Alltså att gå dit inga vägar leder, men där det finns dolda sidor, tjänster och funktioner som svarar. Och detta är exakt vad en typisk attackerare letar efter.

Det är svårt att definiera begreppet ”Forced browsing”, tycker jag. Hur man än talar om det, kommer man vidare till var det leder och vad man kan göra med det. Så jag tror det är bra att se det som en ”inkörsport” eller ett första steg för att kunna komma vidare in i ett system man pentestar. Och för en utvecklare är det en utmaning att inte råka ladda upp känsliga filer med information och lösenord samt att hela tiden hålla ner på antalet endpoints och dokumentera deras funktion.

Här är transkriptionen av avsnittet

Mattias Jadesköld (00:00.000)
[bakgrundsmusik] Webbsidor ska ju vara enkla att skydda, kan man tycka. Se bara till att hålla koden säker, uppdatera alla komponenter och kontrollera att ingen kan logga in med då det är lösenord.

Erik Zalitis (00:18.160)
Men attackeraren bryter sig sällan in via den skyddade frontdörren, utan letar efter det som gömts eller glömts.

Mattias Jadesköld (00:26.540)
Okej, så idag ska vi tala om det som man kanske inte riktigt tror kan hittas eller inte ens vet att den finns där. Forced browsing står på agendan i IT-säkerhetspodden och jag är i vanlig ordning Mattias Jadesköld och han som har skrivit manus idag, Erik Zalitis.

Vi börjar med att konstatera att man skriver för andra, inte för sig själv

Erik Zalitis (00:40.800)
Så är det. Ja, jag menar, jag börjar bli bra på att skriva saker. Det går till och med att läsa. Sen om någon förstår det, det är en mer, det är en svårare fråga.

Mattias Jadesköld (00:49.240)
Ja, men att skriva är en dialog, Erik.

Erik Zalitis (00:53.660)
Det är en dialog med en själv, eller vad då? Nu försöker du gå lite djupt här.

Mattias Jadesköld (00:56.440)
Nej, det är en, det är en dialog med läsaren. Det tänker man inte alltid på. Man tänker ju såhär när man skriver sina stora epos att man tänker så att det är en slags monolog, att man sitter där och beskriver sina egna tankar. Men när man skriver saker så har man ju alltid en läsare som man riktas till egentligen, eller hur? Så det är en slags dialog.

Erik Zalitis (01:13.740)
Jag tycker det är konstigt att du säger det för jag har aldrig tänkt på någonting annat än att vem är det som läser och kom de förstår? Jag försöker sätta mig in i den som, som faktiskt ska läsa grejerna. Det har alltid varit så. Det, det är väldigt… Annars blir det som Knausgård. Det är ingen som förstår vad han skriver.

Mattias Jadesköld (01:27.720)
Nej men då är det ju… Ja, precis. Om du tänker så, då tänker du ju rätt. Då är det någon form av dialog kan man ju säga. Att du har liksom mottagaren eller läsaren i, i ditt,

Mattias Jadesköld (01:37.460)
i din tanke när du skriver.

Erik Zalitis (01:39.200)
[skratt] Ja, eller någonting. Ja, men absolut. Jag tror det. Men jag tror att både du och jag är lite skadade av att vi skriver till användare, till chefer, vi skriver till utvecklare, vi skriver till konsulter. Folk ska förstå vad vi skriver. Det, det-

Mattias Jadesköld (01:54.980)
Men så är det väl alltid när man skriver. När, när skriv– Ja i och för sig om man kanske antecknar någonting, så kanske man för sitt eget minne så skriver man kanske till sig själv eller, eller man kanske har någon dagbok eller någonting. Men oftast så är det att man skriver till en .

Erik Zalitis (02:07.760)
Men du, du vet hur det är med en del böcker. En del författare som kan ju skriva bara för att kolla vad smart jag är [skratt]. Det liksom, det handlar om deras favoritteorier som ska beskrivas i sida upp och sida ner som förklaras av någon av karaktärerna som bara magiskt råkar ha exakt samma åsikt som författaren och måste berätta det ungefär som det är en, en lecture, vad heter det, en föreläsning. Vem pratar så i verkligheten?

Mattias Jadesköld (02:34.480)
Ja, det är ju lite dåligt. Men det tycker jag också, om, om vi tar lite mer närmare vårt eget yrke och såna här saker. Jag tycker många oftast när man ska skriva instruktioner eller göra presentation eller beskriva tekniska komplexa saker, att man oftast glömmer bort vem som är,

Mattias Jadesköld (02:49.260)
eh, mottagaren helt enkelt. Det är bland det viktigaste. Det vill säga att om du ska skriva någonting, ja men vem är det som ska läsa det här? Och så får man ju försöka anpassa sin, den beskrivningen till det. För det viktigaste är ju att den, den på andra sidan förstår.

Erik Zalitis (03:00.960)
Ja, men det är lite floskeltoppen där. Jag, jag, jag håller med dig i sak. Jag bara tänker såhär, när jag läser, nej, inte men, men när jag läser vad andra skriver så tänker jag varför har de inte förstått att det här är det första man undrar? Jag försöker tänka sådär när jag skriver själv. Vad är det första de kommer vilja fråga? Vad är den första frågan som kommer? Skriver du inte svaret på den i första paragrafen, ja [skratt], då hjälper du inte till.

Mattias Jadesköld (03:25.840)
Nej, precis som våra lyssnare nu så tänker, skulle de inte prata om forced browsing när man har-

Erik Zalitis (03:29.540)
Nja, forced listening.

Mattias Jadesköld (03:31.180)
[skratt] Ja, precis. Men hur är läget annars då, Erik?

Erik Zalitis (03:35.860)
Jo, det är jättebra. Jag håller på och gör klart tusen andra saker, så det är lite stressigt sådär. Men jobbet imorgon och sådär. Hur är det själv?

Mattias Jadesköld (03:43.240)
Mm. Trabajo en mañana. Jobba imorgon.

Erik Zalitis (03:47.280)
Ja, precis. Mañana, mañana.

Mattias Jadesköld (03:49.620)
Ja, nej men jag har tagit det lugnt idag. Har varit och tränat lite på Friskis och sen kört,

Mattias Jadesköld (03:58.980)
eh,

Mattias Jadesköld (04:00.540)
en lugn dag hemma. Eh, men däremot så håller jag på att pilla lite med ett sånt där kortspel som jag, som jag leker lite med tanken med.

Erik Zalitis (04:07.440)
Ja, ja precis. Där ska man hacka varandra, eller hur? Du attackerar och försvarar och använder kort. Det är som Magic the Gathering eller kanske Hacking the Gathering då.

Mattias Jadesköld (04:16.800)
[skratt] Jag vet inte riktigt. Vi får se. Jag håller på med själva, eh, den här, vad ska man kalla det för, spellogiken. Och det är faktiskt mycket svårare än vad man tror att det ska bli logiskt.

Mattias Jadesköld (04:27.800)
Det som man tror är en bra idé är oftast inte det när man prov-provar en prototyp. Hur som helst, vad är forced browsing, Erik?

Erik Zalitis (04:35.680)
Ja, det är en jättebra fråga. Alltså, det handlar om att-

Mattias Jadesköld (04:38.760)
Tack.

Erik Zalitis (04:39.140)
[skratt] Tack ska du ha. Nej men alltså du går till en hemsida. Så finns det ju saker de vill att du ska göra. Logga in, skriva ett liksom meddelande eller klicka på en länk, läsa någonting. Så det finns länkar och knappar och massor med hjälp som

Erik Zalitis (04:54.420)
talar om för dig den korrekta vägen att göra det.

Mattias Jadesköld (04:57.680)
Mm, hittills är jag med dig. Mm.

Vi måste starta med att diskutera begreppet

Erik Zalitis (04:59.160)
Ja, forced browsing händer när du börjar att göra saker som sidan inte förklarar för att du faktiskt kan.

Mattias Jadesköld (05:07.200)
Mhm.

Erik Zalitis (05:07.760)
Det är såhär, ja men okej, vi säger att det finns, att du loggar in så ser en hackare. Ja men då kommer du åt en adminsida om du är administratör. Så den stora frågan är, vad händer om jag går till den här adminsidan när jag inte är administratör eller inte ens inloggad? Vad händer då?

Erik Zalitis (05:23.200)
Det är forced browsing. Du gör saker ur sekvens, du gör någonting i fel ordning bara för att se vad händer? Kan den hantera det?

Mattias Jadesköld (05:31.100)
Mm.

Mattias Jadesköld (05:32.540)
Det känns som ett ganska

Mattias Jadesköld (05:35.340)
vanligt problem om man bygger en stor komplex webbsida, att det är logikproblem på något sätt då liksom. Att den, den här typen av användare ska inte nå sådana här saker och den här, sådana här användare ska inte få göra det och sådana här saker, eller?

Erik Zalitis (05:46.780)
Nej, det är det som är problemet och det kallas också, det är lite grann vidare i diskussionen och så kallas för business logic tampering.

Erik Zalitis (05:56.820)
Det mest vanliga exemplet som de alltid tar, det är lite grann som forced browsing det här också. Det är att du… Du ska köpa en grej. Så du säger, jag tar den här för tusen spänn och så kommer svaret tillbaka. Ja, då var– Du, här är produkten för tusen spänn. Då när du svarar, jag vill ta två av den här. Då säger du, men jag vill beta– bara betala en spänn. Eh, och om produkten, om den här webbapplikationen är dåligt skriven och förväntar sig att den kan lita på svaret från användaren, ja, då kommer den att ändra priset va.

Mattias Jadesköld (06:28.468)
Okej.

Erik Zalitis (06:29.028)
Du gör saker och ting. Där ändrar du ju svaret på ett sätt som kanske hemsidan inte tillåter. Du fryser anropet, skriver om det och gör någonting annat. Eller talar om, nej men jag har redan betalat. Skicka mig till utcheckningen. Eller vad heter det? Leveransdata. Och om applikationen förväntar sig att en viss ordning, ja den kanske inte fattar det. Och så helt plötsligt slipper du betala.

Mattias Jadesköld (06:52.068)
Okej.

OWASP top 10 – en bibel för utvecklarna

Mattias Jadesköld (06:54.148)
Ja, och det här känns ju så att om man bygger, om man bygger såna här stora komplexa system måste man ju testa det helt enkelt. Men nu skulle vi säga, vi landar fortfarande i, i forced browsing här. Det– OWASP, OWASP topp tio är den här på också, eller hur? Det är så pass vanligt.

Erik Zalitis (07:07.888)
Ja, OWASP topp tio är ju en lista på de vanligaste typer av attacker, attacker som man kan göra mot en webbapplikation. Och den här har hållit sig kvar i, i liksom hö-högsta positionerna, både i 2025 som jag har för mig är den senaste och 2021 som är den innan.

Mattias Jadesköld (07:26.548)
Mm.

Erik Zalitis (07:27.228)
Det finns ju en del s-sårbarheter som är längre– Ingen längre attackerar, de försvinner från listan och det finns andra som smälter ihop. Så att man inser att det här är en väldigt allvarlig attack.

Mattias Jadesköld (07:37.508)
Ja, det här– Då handlar det också om, det är på OWASP språk kallas för broken access control, det vill säga liksom att logiken då i själva autentiseringen och auktoriseringen då är fel på sätt.

Erik Zalitis (07:48.088)
Ja, logiken förväntar sig vissa saker. Eh, om jag kan bypassa den igenom att gå direkt till någon del i flödet där jag ännu inte borde vara.

Mattias Jadesköld (07:58.528)
Mm.

Erik Zalitis (07:59.268)
Till exempel en sån här grej att jag ska logga ur. Ja, bra. Kan jag tala om för den här logout-grejen, logga ut alla användare som är inloggade. Klarar– Om jag går förbi det här som ska kolla till bara jag, kan jag gå förbi?

Erik Zalitis (08:12.508)
Förstår.

Forced browsing är angriparens inkörsport

Mattias Jadesköld (08:13.628)
Jag misstänker, utan att ha något liksom belägg för det, jag tror nog att ju mer folk kan, kan nu skriva snabba webbapplikationer med hjälp av AI, man kan få snabbt upp prototyper som fungerar, så kommer man nog stöta på ännu mer vanligt sådana här typ av logikproblem.

Erik Zalitis (08:30.768)
Ja, precis. Och jag, jag tänker den, den typen av logikproblem är en bit. Forced browsing egentligen är som en inkörsport till en massa attacker. För det jag har beskrivit här, inte exakt forced browsing, utan det är var forced browsing leder. Att du kan gå vidare och göra business logic tampering och allting. Det, det är liksom– Till mångt och mycket så är forced browsing möjligheten att direkt anropa olika saker utan att gå via hemsidelogiken. Det, det är där det där gör ont.

Mattias Jadesköld (09:01.268)
Mm. En–

Mattias Jadesköld (09:03.628)
Ja, men om, om organisationer och företag har skapat webbsidor i vad då, tjugo plus sidor då? Varför har inte det här, varför är inte det här problemet löst? Varför är det här fortfarande toppen av topplistan, OWASPs topplista? [skratt]

Erik Zalitis (09:19.368)
Jo, jag skulle huvudsakligen säga att det beror på att det för– Det är väldigt svårt att förutsäga. Kan du förutsäga att om jag ska göra A, B, C, D, i det– den ordningen. Vad händer om jag kastar om den? Har du som utvecklare tänkt på alla möjligheter? Har du tänkt på att varje steg måste kontrollera att du kommer från det föregående steget? Eller tar den emot och förutsätter, ja men du kan ju inte hitta hit till den här sidan som liksom, liksom avslutar transaktionen innan du har gått till de första sidorna. Men hackarna kan det och det är exakt det de gör.

Mattias Jadesköld (09:54.108)
Men när du gör, när du gör pentester, provar du sådana här typ av saker då?

Erik Zalitis (09:58.848)
Givetvis, det är väldigt viktigt.

Verktygen som leder dig rätt – det är enklare än du tror

Mattias Jadesköld (10:00.248)
Hur gör man det? Hur gör man det? Är det bara rent kreativt att klicka runt på alla undersajter och så vidare, eller?

Erik Zalitis (10:05.808)
När det gäller forced browsing, den, det enklaste sättet att börja där är att använda verktyg som försöker mappa upp delar av verktygen, ja av sidan som du inte kan se. Det finns verktyg som till exempel DirBuster. Det finns– Burp har en del inbyggda grejer. Så det är första grejen, bara för att mappa upp, finns det gömda filer? Vi, vi kommer till det sen. När det gäller att börja göra tampering, att man går vidare där, då gäller det att titta i, i ditt verktyg. Du kan till och med trycka F12 på din webbläsare och titta på vilka sidor laddas. Om jag klickar på inloggningen, vart skickas jag sen? Och sen mappar du upp det hela. Och sen kan du göra en del logiska slutledningar. Om det finns ett API som har en metod som heter till exempel modify,

Erik Zalitis (10:51.728)
eller om du har ett, att du använder kommandot put för att ändra någonting. Ja, vad händer om jag skickar delete? Det finns inte angivet att det går att göra. Kan jag radera mina egna grejer? Kan jag radera andra personers grejer? Du testar saker som inte din, den här webbsidan har en funktion för, men du antar, den borde finnas där.

Mattias Jadesköld (11:12.288)
Mm.

Mattias Jadesköld (11:15.208)
Eh, just det. Och om man tittar på hur typiska sajter ser ut, ehm,

Mattias Jadesköld (11:20.728)
så brukar det finnas liksom slash admin, slash wp-admin och så vidare. PHP, MyAdmin, Tomcat har ju sin manager, HTML.

Mattias Jadesköld (11:31.088)
Ehm,

Mattias Jadesköld (11:32.868)
hur kan liksom en angripare nyttja sådana

Mattias Jadesköld (11:36.448)
sajter?

Erik Zalitis (11:37.668)
Alltså, när det gäller wp-admin, alltså det är ju WordPress då. Då förutsätter du att den finns där. Det ser ut lite grann som en WordPress-sajt. Så du skriver in slash wp bindestreck admin. Och är det en WordPress-sajt och de inte har låst ner den, ja då svarar den. Eh, och du med forced browsing så har du en lång kedja, en lista med saker. PHP MyAdmin är en väldigt vanlig administrativskonsol för, för, för databasadministratörer. Den– Du testar, finns den där? Säger den nej, jag har inte den. Ja, då går du vidare till nästa. Så den här kortlistan på de vanligaste sakerna som är gömda är väldigt, väldigt, väldigt avslöjande.

Varför letar angriparen efter kända programvaror?

Mattias Jadesköld (12:16.092)
Mm, och vad kan– Ja men vad kan en angripare, säg att de kommer till PHPMyAdmin då? Ja men då möts de väl av en inloggningsprompt liksom?

Erik Zalitis (12:25.292)
Ja, den första frågan är, My– PHPMyAdmin är en väldigt känd produkt. Den är supporterad, men den har haft väldigt mycket allvarliga sårbarheter igenom tiderna, vilket de flesta produkter har. Det innebär att de kanske inte har patchat dem. Så det du gör som attackerare, du går igenom CVE:er. Du går igenom, ja, PHP MyAdmin. Ja men då har jag alla de här allvarliga sårbarheterna. Testa om de funkar. Nu har du använt forced browsing för att hitta själva undersajten. Ja nu flyger du på den med de här rimliga attacken och ser vad händer? Kommer jag in? Får jag någonting tillbaka? Du kan även fassa, men det här är lite grann att då börjar du testa igen punkter och skickar in skräpdata. Får du tillbaka att nej, sorry, du kan inte logga in eller får du felmeddelanden? Det är så du börjar göra. Det här, forced browsing är inte en attack. Det är ett sätt att mappa upp grejerna innan man faktiskt attackerar eller laddar ner eller läcker data.

Mattias Jadesköld (13:20.812)
Men vad om jag har till exempel en WordPress-sida som har WP Admin, är det värt att byta namn på själva den sajten då? Är inte det lite security by obscurity?

Erik Zalitis (13:29.852)
Ja, vi ska komma till det. Och personen tycker jag, i sig, om det är det enda skydd du tar så är det inte bra. Däremot som ett komplementerande skydd till någonting som du inte skulle göra jätteont om de faktiskt hittar ändå, tycker jag det är okej. Men just när det gäller adminsidor så har jag en bättre idé. Använd IP-filter och VPN så att administratörerna måste använda ett VPN för att komma åt de administrativa delarna.

Mattias Jadesköld (13:56.432)
Just det.

Erik Zalitis (13:57.252)
Och då har du, då har du ju ett helt annan nivå av skydd. Då kan de hålla på och flyga på WP-admin, du kommer aldrig in. Du kommer inte ens dit.

Mattias Jadesköld (14:04.012)
Det, det är bra

Mattias Jadesköld (14:06.052)
rekommendation.

Mattias Jadesköld (14:08.532)
Ehm, då ska vi se här. Eh, rester från utveckling och driftsättning kan ni finna också?

Alla älskar git – särskilt hackaren

Erik Zalitis (14:16.152)
Ja, det, det vanligaste är ju att man använder någon form av versionshantering för att annars kan du inte hålla koll på vad du har gjort för uppdateringar. Och den vanligaste, det är faktiskt den som Linux skaparen, Linus Torvalds har skapat. Den heter Git.

… Sen skapade han ju något som hetter Linux också. Tydligen rätt populärt det också.

Mattias Jadesköld (14:30.812)
Mhm, han har skapat det?

Erik Zalitis (14:32.372)
Han har skapat det, inte själv naturligtvis, men han har tagit fram den. Det är en av de produkter han är känd för.

Erik Zalitis (14:38.572)
Och Git är känd. Många tänker på GitHub, men det är ju bara en tjänst som använder Git, en, en, en gratistjänst från Microsoft eller vad man ska säga.

Mattias Jadesköld (14:47.672)
Mm.

Erik Zalitis (14:49.032)
Men grejen är det, om jag går till någons hemsida och så säger vi säger att hemsidan heter abc.se. Nu hoppas jag inte att jag hänger ut någon riktig sida här. Men om du går till abc.se och så skriver du snedstreck punkt git. Vad händer då? Om– I de flesta fall så, nej den där finns inte. Men om den finns och den inte är nedlåst, då svarar den med data och då vet du att någon har av misstag laddat upp det som är själva versionshanteringsträdet. Och det är alltså i princip en massa data om vad som har gjorts för ändringar och kodrader kan det innehålla som kan innehålla hemlig information. Det kan till exempel vara så att någon av dina, eh, uppdateringar innehöll en nyckel, ett lösenord eller någonting. Ja, då är det lösenordet röjt. För du– En attackerare som hittar den här på Git, han kör diverse verktyg för att läsa igenom, för det är ett strukturerat format. Så du kan ju läsa ut. Om du hittar Git-katalogen, då kan du ju bara sitta och ladda ner allt data och hämta hem det. Och sen har du en strukturerad väg, se hur sidan är byggd. Du kan hitta delar av koden, du kan hitta hemliga nycklar, du kan hitta kommentarer som kanske avslöjar hur man arbetar. Det är otroligt farligt.

Mattias Jadesköld (16:06.012)
Är det här fortfarande inom forced browsing?

Erik Zalitis (16:08.472)
Det här är exakt forced browsing. Vi har varit lite grann utanför och nämnt andra attacker, men det här är ju verkligen kärnan av vad forced browsing är.

Mattias Jadesköld (16:16.252)
Just det. Så här kan ju då en angripare lägga pusslet då till exempel att aha, den har WP Admin, då vet jag att det är en WordPress. Man kanske ser en sån här Git-katalog, då kan man se versionshantering och dokumentation därifrån till exempel.

.env – gratis lösenord!

Erik Zalitis (16:28.332)
Ja, precis, det är otroligt farligt. Och det finns även de här punkt env-filerna. De är ju riktigt läskiga.

Mattias Jadesköld (16:35.092)
Mhm.

Erik Zalitis (16:36.072)
Det står för environment och där innehåller man variabler som ett skript till exempel behöver för att kunna köra. Och den vanligaste variabeln som ett skript behöver, som verkligen brukar kunna ligga, är att det är lösenord eller passfraser eller annan information som skriptet behöver för att kunna koppla upp.

Mattias Jadesköld (16:55.292)
Mm.

Erik Zalitis (16:55.912)
Normalt så sparar man env-filerna borta utanför, eh, själva webbkatalogen. De är inte publicerade på webben. Men ibland på grund av hur folk jobbar, de trycker upp en hel fil rakt upp, alltså en zip-fil och packar upp den eller använder några SSH-skript eller någonting. Så tar de allting i utvecklingskatalogen, inklusive lösenord, allting och bara trycker rakt ut.

Mattias Jadesköld (17:18.032)
Mm, ja det är inte bra.

Erik Zalitis (17:20.012)
Eh, nej, [skratt] det är ett sätt att se det på. Det är, det är riktigt illa, men det är väldigt, väldigt kraftfull attack.

Mattias Jadesköld (17:27.392)
Ja.

Mattias Jadesköld (17:29.312)
Man kan jobba också med förutsägbara sökvägar, till exempel, liksom slash uploads och så till– Så kanske man kan browsa igenom hela det katalogen och kanske hitta folk som har laddat upp fakturor eller bilder eller vad det kan vara för någonting och allt möjligt ju.

Erik Zalitis (17:42.892)
Ja, du skulle vara förvånad hur mycket sånt där skräp man hittar.

Erik Zalitis (17:47.212)
Forced browsing egentligen handlar om att hitta saker som inte finns refererade någonstans. Det finns inga länkar, det finns ing-ing-ingenting som pekar på dem. Och det innebär i princip att stora ordlistor är magin.

Mattias Jadesköld (18:00.872)
Jaha.

Mattias Jadesköld (18:03.472)
Hur då?

SecLists hjälper dig hitta saker du inte trodde fanns

Erik Zalitis (18:04.252)
Ja, ordlistor innehåller inte nödvändigtvis ord från en ordbok, utan som jag sa förut här, liksom de kändaste applikationerna som en sajt kan ha. De här som alla-

Mattias Jadesköld (18:14.032)
Just det. Mm.

Mattias Jadesköld (18:17.192)
Ja, eh, [harklar sig] men det här är ju då liksom,

Mattias Jadesköld (18:21.692)
eh, det här är

Mattias Jadesköld (18:25.252)
hur man kan kartlägga utan att veta någonting om en sajt, hur man kan kartlägga vad det är för någonting och kanske få mer information. Men hur går det här till i verkligheten då?

Erik Zalitis (18:36.312)
Ja, alltså man använder ju, som jag sa då, ordlistor. Det blir SecList, det är en ganska känd sådan. Eh, det kan man googla på. Sen finns det en del verktygen som Burp Suite, ZAP. ZAP är ju en grat-gratisprodukt som liknar, det är OWASPs variant av Burp Suite. Den är väldigt kraftfull, men den är inte… Burp Suite är ju en kommersiell grej ja. Så det finns ett antal. De jag har hittat här är Feroxbuster, Gobuster, Dirbuster, den är gammal. Och sen en som heter… Ja, precis. Det finns ett antal där. Eh, och de här-

Mattias Jadesköld (19:11.092)
Vänta, men den här SecList, alltså den är för angripare egentligen?

Erik Zalitis (19:15.052)
Ja, eller försvarare. Funkar för försvarare också. Om du vill-

Mattias Jadesköld (19:18.912)
Ska du rekommendera någon som jobbar med säkerhet och lite, eller kanske pen tester och sådär, att man ska ladda ner den och titta på den eller?

Erik Zalitis (19:25.472)
Ja, det tycker jag. Det– Absolut. Skapa din egen. Utgå från då om du behöver ha olika för olika syften. Det här handlar om att veta någonting. Om du vet att det här är en sida som st– som har JS och den kör ASPX, så är det ingen idé att leta efter PHP-skript. De kommer nog inte att finnas där. Så man får vara lite smart.

Mattias Jadesköld (19:46.172)
Ja, det är bra att vara smart.

Erik Zalitis (19:48.452)
Det är bra att vara smart.

Mattias Jadesköld (19:50.172)
Ja.

Robots.txt kan ibland säga lite för mycket

Mattias Jadesköld (19:51.412)
Ehm, sen finns det också källor som är gratis, till exempel robots.txt. Vad är det för någonting?

Erik Zalitis (19:57.452)
Ja,

Erik Zalitis (19:58.972)
robots.txt är ju en fil. Man kan hitta den där genom att köra slash robots.txt på, på domänen. Och den talar om vad finns det för regler för crawlers? Alltså typ Google, Bing och även AI-bottar. Vad får de läsa? Och då kan man säga liksom att ja, ni får läsa allt utom det som ligger här. Det får ni absolut inte läsa. Och den instruktionen är till, [skrattar] till Google. Och det kan vara saker som en streamingtjänst. Min radiostation förbjuder Goo-Google att koppla upp mot stationens stream för den kan inte läsa den. Det är bara en massa ettor och nollor som fortsätter i all evighet. Det är helt legitimt. Men däremot kan det vara disallow kolon och sen någonting admin eller backup eller någonting. Då börjar hackaren tycka det här är intressant.

Mattias Jadesköld (20:45.712)
Just det.

Erik Zalitis (20:46.132)
Vad finns det där som vi kan titta på? Den avslöjar det [skrattar] som man försöker hålla gömt.

Mattias Jadesköld (20:51.812)
Finns ingenting att se här. [skrattar]

Erik Zalitis (20:53.732)
Nej, titta inte på den där grejen. Absolut inte. Jättefarligt.

Mattias Jadesköld (20:58.412)
Ja, tryck inte på den här röda knappen. [skratt] Eh, precis. Ja men det finns ju en hel del då egentligen. Och så kan man ju läsa svaren också i sin webbläsare. Klassikern typ hundratvå eller trehundratvå, att den omdirigerar sidan. Vad kan man göra då liksom i det, i det här fallet som en angripare?

Erik Zalitis (21:16.192)
Det finns ju mycket du kan göra. Till exempel om du omdirigeras, kan du styra omdirigeringen. Om jag talar om för den här, du förväntas, du talar om var, vart kom jag ifrån? Ja, då ska du gå och åka hit. Och i vissa lägen kanske man kan injicera vart du ska. Eller helt enkelt att den inte kontrollerar domänen, vilka domäner det är tillåten att redigera till, dirigera till.

Erik Zalitis (21:38.872)
Och då kan du använda lite forced browsing för att räkna ut genom att prova mata in saker. Vart hamnar jag? Då kanske du kan bygga någonting som redirigerar någonstans dit du inte ska. Du kan använda det för att lura användare ut på äventyr eller läcka information och sånt där. Eh, så det är lite grann man får vara kreativ där.

Mattias Jadesköld (21:59.832)
Just det.

F12-konsolen – din webbläsares inbyggda analysverktyg

Erik Zalitis (22:00.332)
Det billigaste verktyget är din webbläsares F12-konsol. Den innehåller en massa väldigt användbara verktyg.

Mattias Jadesköld (22:07.792)
Ja.

Erik Zalitis (22:08.412)
Den ingår. Alla Chrome och Firefox har en sån.

Mattias Jadesköld (22:13.092)
Precis. Så att när man gör det och håller på att titta runt på sådana här saker, kan man säga att det är såhär som en attackerare skulle gjort ungefär?

Erik Zalitis (22:19.432)
Det, det kan man säga. En attackerare har förmodligen lite mer avancerade verktyg. För att om du tittar på hur en, en, de här F12-konsolen är byggd, så är den ju bety– byggd för utvecklare och de ska felsöka. Det innebär att kunna skriva om frågor och sånt där. Det är inte riktigt rätt verktyg för det. Då vill du ha någonting annat och som sagt, vill du ha något som är gratis, prova ZAP, OWASP ZAP, Zed Attack Proxy eller Burp Suite, gratisversionen.

Mattias Jadesköld (22:46.272)
Men du, jag tycker såhär, forced browsing, det är ju en fin gränsdragning mot det liksom närliggande begreppet sårbarhet. Men det är inte riktigt sårbarheter det här, eller?

Erik Zalitis (22:55.792)
Det behöver inte vara det. Forced browsing hittar en massa saker. Det kan vara att du har filer som heter passwords.old. Och det är såhär, ja, old, ofta när någon, när du byter ut någonting så byter du namn från, från punkt, säger vi ASPX eller punkt POP till punkt old, så du har kvar en gammal backupkopia. Och den kan du ju då läsa i klartext för den kommer inte att köra eftersom punkt old är inte en tillåten till extension, vad heter det, ändelse. Och där kanske det finns lite lösenord, lite information och sånt. Så att leta efter det, punkt old, punkt bak, punkt någonting. Eh, punkt text är inte dåligt alls.

Mattias Jadesköld (23:36.812)
Nej.

Business logic tampering – steget efter ”forced browsing”

Mattias Jadesköld (23:39.712)
Men det är inte, som sagt, oftast inte sårbarheter, utan det vanligaste är väl på något sätt logikproblem kopplat till det här, eller?

Erik Zalitis (23:46.792)
Grejen är, logikproblem är en bit av. Jag skulle säga att forced browsing som det är, är ett sätt att hitta möjliga logikproblem. Logikproblemen, att använda dem, det kallas ofta för business logic tampering. Det är någonting annat. Det är därför det låter som jag åker ut i sidan hela tiden. Men det är mer att, som jag sa då, forced browsing är inkörsporten för att kunna göra andra saker liksom. Den ger i sig själv inte en väg in. Den bara ger dig någonting du kan jobba vidare med.

Mattias Jadesköld (24:15.152)
Den– Det börjar med forced browsing, sen leder det till tyngre grejer. [skratt]

Erik Zalitis (24:20.032)
Eller hur? [skratt] Friends don’t let friends do forced browsing. [skratt]

Mattias Jadesköld (24:26.544)
[skratt] Ja, det börjar ju med lite forced browsing och sen slutar det med ransomware. [skratt] Ja, men okej, men varför händer det här egentligen då? Eh, typ när behörigheten sitter i gränssnittet då liksom, så kanske man gör så att man döljer typ en viss knapp eller sådär, men, men endpointen svarar ändå.

Mattias Jadesköld (24:45.044)
Hur funkar det liksom?

Erik Zalitis (24:48.024)
Ja, nej men endpointen är ju normalt sett ett API. Det är alltså i princip när du trycker på knappen så skickar den någonting till ett API som talar om, ja men den här personen har just begärt att du ska radera den här posten. API:et svarar då på, ja men är du inloggad? Och så kollar den, ja men här fick jag till exempel ett JWE-token, J-W-E, som är, ja men det är användarens inloggningsuppgifter eller vad man ska säga, inloggningssession kodat på ett krypterat sätt. Och den svarar då, ja jag har raderat den.

Mattias Jadesköld (25:18.044)
Mm.

Erik Zalitis (25:18.484)
En ga– Med forced browsing så går du förbi det här. Du pratar direkt med API:et och säger hej, vad kan jag få göra hos dig?

Mattias Jadesköld (25:26.764)
Just det.

Ibland är det bara att läsa dokumentationen

Erik Zalitis (25:27.424)
Och ganska vanligt att säga ett öppet API är dokumenterat. Det betyder att du kan gå till det och bara läsa dokumentationen. Det här är vad du får göra, det här är vad du ska göra. De här möjliga metoderna finns för att göra olika saker. Det är liksom, det är gefundenes Fressen för, för hackaren som får allting på ett, på ett bord liksom. [skratt]

Mattias Jadesköld (25:50.104)
Ja, ja precis. Eh, men alltså…

Mattias Jadesköld (25:54.364)
Hu-hur– Om man bygger en webbsida, då måste man ju tänka på allt det här liksom. Eh, typ att den här delete-knappen som deletar en post som du var inne på, den, den måste vara skyddad bakom en viss behörighetsstruktur.

Erik Zalitis (26:06.924)
Ja.

Mattias Jadesköld (26:07.604)
Det är väldigt lätt att man– Det känns, det känns som att det är lätt att man missar sådana saker. Alltså jag tänker, jag tänker att man har en webbapplikation med en massa olika sidor och då olika roller och beroende på var man är så får man tillgång till olika saker. Det är inte bara, det är inte bara att en hel admin-sida till exempel är dold, men det kan vara just sådana här saker som du säger, att en delete-knapp där eller en edit-knapp eller vad det kan vara för någonting.

Erik Zalitis (26:27.664)
Ja, och det är väldigt lätt att missa. Men det här är egentligen en diskussion som går vidare. Vad händer sen? Men låt oss ta den. Lateral förflyttning. Lateral betyder sidledes. Det betyder-

Mattias Jadesköld (26:38.704)
Just det.

Erik Zalitis (26:39.764)
Det är som du säger. Ja, jag har, jag är inloggad. Jag har rätt att radera mina grejer. Sen vet jag att Mattias, du har ju ett annat ID. Det har jag sett på skärmen när du jobbar. Du har användar-ID 13. Så jag säger att ja men jag är användare 13 och så raderar jag dina filer. Får jag göra det? En dåligt skrivet API som inte kollar, utan bara, ja men du är ju inloggad. Den gör inte koll, så du gör en lateral förflyttning på det sättet. Alltså du i princip gör– Du går förbi själva, du bypassar själva, eh,

Erik Zalitis (27:13.624)
behörighetskontrollerna va.

Mattias Jadesköld (27:15.304)
Just det. Och det är för att man oftast då kanske när man har byggt webbapplikationen att man kanske inte har satt en behörighetskontroll där det ska vara en.

Erik Zalitis (27:23.704)
Ja, eller så är behörighetskontrollen bara på nivån vad får du göra? Inte vem får du göra det för?

Mattias Jadesköld (27:31.804)
Nej, just det. Eller vad får inte göra?

Erik Zalitis (27:33.904)
Ja, det är också en sån där grej. Jag menar, om jag får, om jag får göra det här, betyder det också implicit att jag får göra det här? Det här är ju, det här skenar ju i antalet möjliga kombinationer. Det är därför det är väldigt svårt att kontrollera. Därför folk gör kreativa saker.

Mattias Jadesköld (27:49.684)
Har du sett någonting med det här själv, eller?

Erik berättar när han själv blev lurad

Erik Zalitis (27:51.764)
Ja, det är antal gånger, men en av de mer kreativa grejerna är ju faktiskt en, en, ett skolexempel på det här. Jag hade byggt en aut-autentiseringslösning och sen hade jag sagt att det finns vissa användarnamn när du liksom skapar ett nytt konto, du får inte kalla dig det. En del fula ord förstås, men även admin. Du får inte kalla dig admin rätt uppenbart. Du kan lura någon. Ja, då var det någon som försökte med det. Gick inte. Då kallade han sig själv för adminer. Det gick ju naturligtvis. Därefter när han kom in och jag hade godkänt honom, jag var väldigt tveksam. Jag tänkte okej, jag hoppas ingenting värre kommer här. Då bytte han namn till admin, för jag hade inte tänkt på att kontrollera varje gång du byter namn, bara när du skapar det. [skratt]

Mattias Jadesköld (28:35.604)
Varför ville han heta admin då liksom?

Erik Zalitis (28:37.764)
Grejen är, det är någon– Jag tror att den här snubben tyckte jag skulle pen-testa för att få pengar. [skratt] Så han ville kolla om, om han kunde kalla sig själv för admin. En vanlig attackera som gör det är ju för att lura någon. Om du kommer ihåg Michael Kelsey, M-mafia Boy. Ja, han berättar att han gjorde ju det med något som heter AOL Hell, där han fick en flagga. Han– Det var ett program som utnyttjade en sårbarhet på America Online. Så då kunde man se ut som man hade den här administratörsflaggan. Så då trodde folk som fick meddelande från honom, ja han är en, han jobbar på AOL.

Mattias Jadesköld (29:11.784)
Mm.

Erik Zalitis (29:12.624)
Och det är därför-

Mattias Jadesköld (29:13.244)
Det var lite enklare på den tiden på 90-talet när han-

Erik Zalitis (29:15.104)
Ja, men om du kan kalla dig för admin eller kanske administratörens namn eller företagets namn, då kan du säga ja men jag kommer från företaget, jag är ju admin.

Mattias Jadesköld (29:25.284)
Typ om du försöker registrera ett Gmail-konto som heter admin då.

Erik Zalitis (29:28.484)
Nej, jag tror inte… [skratt] Du tror du är den första som har försökt det. [skratt]

Mattias Jadesköld (29:33.684)
Nej, jag tror inte det. [skratt] Nej, jag tror

Mattias Jadesköld (29:37.904)
inte det. Ja men hur ska man försvara sig mot det här då? Eh,

Mattias Jadesköld (29:42.044)
ett, ett sätt att börja är kanske man ska kolla på behörighetsstrukturen, antar jag.

Rensa, rensa och rensa. Ta bort attackytan en fil i taget

Erik Zalitis (29:45.964)
Det finns massor med saker att göra. Det första du ska tänka på är måste allting finnas tillgängligt? Rensa ur allt med punkt git, leta efter alla de här grejerna. Jag gör ju så att jag tittar på alla 404 och alla de här anropen i mina serverloggar och så kollar jag vad är det de försöker anropa? Och så funderar jag på har jag ens det där?

Erik Zalitis (30:09.524)
Det, det är så bara gå igenom allting och det är det första. Eh, sen är det liksom om du använder,

Erik Zalitis (30:17.084)
eh, om du bygger din egen logik med API:er så är det stenhårt viktigt att flödet måste vara kontrollerat. Du kan, du ska inte kunna gå direkt en endpoint och säga ja, men jag får för någon anledning. Du måste verkligen validera hela kedjan steg för steg.

Mattias Jadesköld (30:34.824)
Mm.

Erik Zalitis (30:37.064)
Sen är det ju också deny by default. Alltså allt nekas som inte en regel uttryckligen tillåter det.

Mattias Jadesköld (30:43.644)
Ja, där kommer ju det liksom att man, att man inte– Då blir det mycket lättare att sätta behörighetsstrukturen från början.

Erik Zalitis (30:50.944)
Mm.

Mattias Jadesköld (30:51.744)
Men det är här jag menar, tror jag liksom, när folk bygger prototyper med hjälp av AI och man vibe kodar supersnyggt liksom. Du kan bygga färdiga produkter och såna här saker.

Mattias Jadesköld (31:01.724)
Hela behörighetsstrukturen.

Erik Zalitis (31:03.804)
Du, du har ingen koll på den. Du vet inte vad den har byggt. Vad nu tyckte Claude eller ChatGPT Codex tyckte var bra.

Att vibe-koda en behörighetsstruktur och sedan inte veta hur den fungerar

Mattias Jadesköld (31:10.144)
Jag är helt övertygad om att de kan bygga en behörighetsstruktur, men du måste ju då prompta att den ska göra det.

Erik Zalitis (31:14.504)
Ja, den kommer hitta på någonting. Och då, då grejen är om du inte vet saker, vad är RBAC? Rollbaserad skydd– kontroll. Vad är DAC? Vad är MAC? Inte Apple.

Erik Zalitis (31:25.204)
Om du inte vet det så har du ingen anledning att vibe koda en autentiseringsstruktur. Det är jättedålig idé.

Mattias Jadesköld (31:31.544)
Och det här är ju typiskt en sån här sak som, eh, som…

Mattias Jadesköld (31:37.904)
Jag har tittat, jag har gått igenom, gått igenom, eh, utbildningar både med Anthropic, OpenAI, Google, Microsoft. Alla säger tydligt liksom när du jobbar, när du kodar tillsammans med

Mattias Jadesköld (31:49.684)
ett AI så måste du veta dess begränsningar, vad du själv ska göra och vad, vad, vad AI:t ska göra helt enkelt. Och här är ju väldigt, väldigt tydligt att,

Mattias Jadesköld (31:59.924)
att du måste ju sätta arkitekturen i början, eh, liksom övergripande idén. Och då är typiskt en sån här saker som, som behörighetskontrollen är ju en del av det då. Visst, du behöver inte vara ner på detaljnivå, men man ska ha en idé om att en användare ska kunna göra det här, en annan användare ska kunna göra det här och så. Eh, sen kan man låta AI förstås bygga en skitsnygg front supersnabbt, men, eh, den kommer inte bygga en sån här typ av saker om man inte säger till den att göra det.

Erik Zalitis (32:27.724)
Nej, precis. Och det är det som är det stora problemet. AI:t har ju någon form av horisont över vad den faktiskt kan komma på. Stämmer överens med vad du har beskrivit. Sådan, sådan prompt, sådant svar på något vis.

Mattias Jadesköld (32:40.484)
Mm.

Erik Zalitis (32:41.724)
När jag, när jag-

Mattias Jadesköld (32:43.004)
”Som man promptar får man surfa”, brukar jag säga.

Erik Zalitis (32:45.464)
[skratt] Ja, ”som man promptar får man läcka data”.

Mattias Jadesköld (32:48.164)
[skratt] Ja, som man hackar får man…

Erik Zalitis (32:51.524)
Sova. Nej, jag vet inte nu där.

Att inventera är att veta

Mattias Jadesköld (32:52.884)
Ja, nu blir det för flummigt. Ehm, ja, vad ska man mer göra? Ska man inventera sin endpoint? Det låter ju en väldigt kul grej att göra. Kanske redan på måndag morgon.

Erik Zalitis (33:02.364)
Ja, men det är väldigt viktigt att ha. Därför att inventeringen innebär dels att dokumentera det, men det betyder också att du kan kontrollera, den där följer inte de här nya reglerna vi har satt upp. Då stänger man av den om det inte absolut måste vara i gång. Det är såhär klassiskt, du går över från att du har inte krävt autentisering, men nu har du byggt en användarstruktur, nu gör du det. Vilka endpoint-punkter är kvar som inte kräver autentisering?

Mattias Jadesköld (33:29.644)
Mm.

Erik Zalitis (33:31.004)
Eh, du är mitt emellan en migrering mellan ett sätt att göra det och ett annat. Ja, en del av ändpunkterna är ute i regnet så att säga. De är, de är inte flyttade än. Genom att du dokumenterar dem och versionshanterar dem. Jag har ju testat hos kunder där de har såhär V1, V2, V3. Så alla ändpunkter heter någonting under en katalog som heter version ett, två, tre. Och sen jobbar man vidare på dem och då har man koll på det hela.

Erik Zalitis (33:56.464)
Sen finns det ju verktyg. En open API-specifikation, det är en så kallad YAML-fil. Eh, den innehåller maskinläsbar, eh, specificering.

Erik Zalitis (34:08.704)
Och den är ju väldigt viktig att hålla uppdaterad och korrekt för den talar om vad som finns. Och är det så att du har endpointer som inte är dokumenterade, då kan någon force browsea dem. De letar efter dem igenom att hitta någonting och så kan de prata med någonting du inte längre vet att du faktiskt har kvar.

Mattias Jadesköld (34:25.984)
Just det.

Mattias Jadesköld (34:28.044)
Så det här, det här är ett bra sätt om man har ett API att, att använda det verktyget för att kunna se vilken punkt vi har.

Erik Zalitis (34:33.844)
Ja, open API-specifikationen är ju egentligen textformat.

Mattias Jadesköld (34:37.544)
Mm.

Erik Zalitis (34:37.884)
Den beskriver såhär förklarar du maskinläsbart. Då kan en programvara eller ett AI läsa den och direkt förstå vad finns där. De här grejerna är otroligt viktiga och din inventering handlar om att det som finns i dokumentationen finns i verkligheten. Om det inte stämmer, om du har en impedans mismatch med att du har fler endpoint än vad du faktiskt beskriver, då har du ett problem.

Mattias Jadesköld (35:00.684)
Mm, då vill man gärna veta vad de här extra ändpunkterna är för någonting då.

En kodgranskning hittar problemen

Erik Zalitis (35:04.584)
Ja, och det kräver code reviews, till exempel, alltså kodgenomgångar, kodgranskning. Du kan även gå igenom med diverse skript och leta efter de här ändpunkterna brukar kunna hittas igenom att till exempel scanna av koden och sånt. Och då får du upp det här är ju vad vi har och då kan man tycka, oj, det där ska nog inte vara kvar.

Mattias Jadesköld (35:23.604)
Nej.

Erik Zalitis (35:24.604)
Det är väldigt viktigt för att säkerhet dör i tystnad. Säkerhet dör i komplexitet.

Mattias Jadesköld (35:32.404)
Sorligt.

Erik Zalitis (35:33.724)
Ja.

Mattias Jadesköld (35:36.264)
Hur kan man upptäcka sådana här attacker tänkte jag att vi skulle snacka om nu då?

Erik Zalitis (35:39.684)
Ja, eller hur? Det är ju ett enormt bakgrundsbrus.

Mattias Jadesköld (35:43.464)
Vad menas med det? Att det är mycket snack ute på nätet?

Erik Zalitis (35:47.164)
Nej, det är mer, det här är mer en fråga om att du tittar i dina loggar. Så har du 404, 404. Så de här, jag hittar inte det här, eh, entrerna. Det är ju någon som scannar och kollar, finns det här verktyget? Finns det här verktyget? Finns inte det här verktyget? Och då får du hela tiden, eh, helt enkelt en lista på vad folk faktiskt letar efter.

Mattias Jadesköld (36:07.284)
Ja.

Erik Zalitis (36:08.144)
Och jag har ju gjort en del skript som analyserar de där och jag kan bara konstatera att det är så mycket skräp. Det är såhär, den förutsätter att det är WordPress. Om du inte har det, det struntar den och den försöker. Den letar efter de här punkt env, punkt git, punkt ena, punkt det andra, punkt bak. Den letar efter kända verktyg med enorma sårbarheter som har varit i, liksom historiskt.

Mattias Jadesköld (36:30.204)
Just det.

Blockera farliga filer – en extra säkerhet när olyckan slår till

Erik Zalitis (36:31.344)
Eh, så det enda du kan göra där… Jag har gjort lite lo-logik som att i min, på min webbserver hemma, om du försöker gå till någonting som börjar med en punkt så är det automatiskt deny. Så det behöver inte ens finnas där. Den kommer inte tillåta dig. Så skulle jag av misstag lägga upp en punkt env med ett lösenord eller en punkt git- Den kommer inte kunna läcka ut.

Mattias Jadesköld (36:51.104)
Okej, men om du jobbar med Git då och vill ha din versionshantering, skapar det inte automatiskt en sån Git-bibliotek, .git-bibliotek? Behöver man inte ha ett sånt?

Erik Zalitis (36:59.444)
Jo, men du ska inte ladda upp det på sidan. Du ska ha det på din egen utvecklingsmiljö.

Mattias Jadesköld (37:05.844)
Ja, just det.

Erik Zalitis (37:06.564)
Alltså i din, i din, din dator eller i vad, var du nu är. I produktion ska absolut inga Git-filer finnas.

Mattias Jadesköld (37:14.444)
Nej, det är nog lätt att det, att det kommer.

Erik Zalitis (37:19.044)
Det är väldigt lätt att göra misstag. Särskilt om du trycker upp allting i en docker container eller nåt sånt där. Så gör du ingen kontroll på vad du faktiskt skickar in. Det, det är inte svårt. Du kan nästan sätta filer som såhär gitignore finns en fil som talar om att det här är– ska du inte hålla på och versionshantera.

Mattias Jadesköld (37:38.204)
Just det. Den här Claude MD-filen som många använder när man kör Claude Code.

Erik Zalitis (37:43.664)
Ja, Markdown, ja.

Mattias Jadesköld (37:44.764)
Ja, den kan– Skulle du let– Skulle du vilja vara intresserad av den om du var en angripare?

Claude.md är nog en alldeles för bra dokumentation

Erik Zalitis (37:50.464)
Ja, det tror jag. Det är liksom gratis dokumentation. Och dessutom de som har lagt ner tid på att låta Claude [skrattar] kompakta den ett par gånger. Den är väldigt strukturerad. Den är väldigt kort i sammanfattningen och berättar allt du behöver veta. [skratt] Det är lite jättebra.

Mattias Jadesköld (38:07.244)
Den ska man också ta bort i produktionsmiljön i så fall.

Erik Zalitis (38:11.024)
I alla fall på, på– Den ska inte ha på så att någon kan komma åt den utifrån. Den ska inte finnas på någon webbserver. Den blir– Den ska ligga kvar i vad, var du nu utvecklar din lösning liksom.

Mattias Jadesköld (38:22.684)
Mm.

Mattias Jadesköld (38:25.004)
Ja, precis. Ehm, man kan jobba med web application firewall, alltså själva applikationsbrandväggar. Det är bra.

Erik Zalitis (38:33.284)
Mm. Och det är egentligen samma sak. Där kan du instruera den att förbjuda uppenbara attackmönster. Den kommer inte ens fram till webbservern, utan den känner av, äh det där ska du inte ens testa. Och då, då gör det ingenting eller gör ingenting, men det är inte farligt längre på samma sätt om, om det råkar ligga grejer där.

Mattias Jadesköld (38:53.084)
Mm.

Mattias Jadesköld (38:55.504)
Sen kommer vi till det här begreppet som vi nämnde lite i början, security by obscurity, som handlar om det här

Mattias Jadesköld (39:00.524)
lite märkliga sätt att tänka på säkerhet. Att själva

Skydda nyckeln – inte låset

Mattias Jadesköld (39:04.484)
[harklar sig] att säkerheten i själv, att man gör den på nåt sätt hemligt. Att det enda skyddet man har till, till sin, till sin dörr, till exempel, det är att man inte säger vad det är för, för lås egentligen. Det är inte låset i sig som är det skyddande liksom. Jag vet inte.

Erik Zalitis (39:18.844)
Nej, det är en bra analogi. För frågan är, ska man skydda en kryptometod eller ett typ av lås eller någonting? Och svaret är nej, det ska du inte. Där-därför att hur en mekanism funkar måste vara ute i ljuset. Därför då kan folk felsöka den och säga: ”Du, det här låset är inte säkert.” Om du gömmer det så kan hackarna hitta det eller attackera den här låstjuvarna hittar det, men kanske inte låssmederna. Eh, så security by obscurity är egentligen begreppet när du an– En väldigt bärande del i ett skydd är att du inte hittar det sårbara delen. Det är en jättedålig säkerhet.

Mattias Jadesköld (39:56.224)
Just det. Men är alltid security by obscurity fel?

Erik Zalitis (40:00.504)
Nej, det är inte det. Alltså jag säger-

Mattias Jadesköld (40:02.424)
Men om det är den enda kontrollen, då är det fel.

Erik Zalitis (40:05.264)
Ja, egentligen, det är inte subscri– Att gömma någonting så att det inte är uppenbart att hitta är inte nödvändigtvis security by obscurity. Det beror på vad som händer om någon faktiskt skulle hitta det. Gör det ingenting, ja då är det inte security by obscurity. Det är bara ett bra sätt att, att inte göra det uppenbart.

Mattias Jadesköld (40:21.164)
Nej, men frågan är om det är security by obscurity för att man rensar bort .git-biblioteket eller, eller, eller dö– liksom låser bort wp.admin och allt vad det innebär. Det är väl en ganska– Det är väl inte security by obscurity. Det är väl snarare att det…

Mattias Jadesköld (40:37.844)
Vad ska man säga? Att man sanerar lite webbsajten.

Erik Zalitis (40:41.004)
Ja, nej men det håller jag helt med om. Om du däremot tyckte, ja men vi har lite Git-filer lite nu och då, men det är ingen som vet att de är där. Det är ett väldigt skolboksexempel på security by obscurity.

Mattias Jadesköld (40:50.724)
Mm.

Erik Zalitis (40:51.684)
Det, det, hittar de grejerna och det är jättejobbigt, då, då är det, då gör du inte rätt. Däremot, ja som sagt, att låsa ut admin interface, att inte exponera saker mot internet som faktiskt inte har anledning att vara där, det är smart säkerhetsdesign.

Mattias Jadesköld (41:08.124)
Om jag har till exempel en Microsoft 365-miljö eller typ Google Workplace, då kan man ju dela filer, en delad extern fil genom att liksom välja att alla som har den här länken kan, kan läsa eller editera den här filen. Är det upphov till forced browsing?

Erik Zalitis (41:26.144)
Ja, du kan använda forced browsing. Eh, fast nu får du tänka såhär att det är inte forced browsing per se, därför du kan inte gissa, du kan inte liksom gissa länken. Däremot får du tag i den, ja då är det öppet.

Mattias Jadesköld (41:39.284)
Mm.

Erik Zalitis (41:40.324)
Det gre– Det, det, det-

Tänk på vad du delar med världen

Mattias Jadesköld (41:41.724)
Men då är det egentligen… Man har ju delat en fil och sagt att alla som har länken får läsa filen liksom. Så att ja, då har de fått länken så får de läsa filen. Så jag vet inte riktigt.

Erik Zalitis (41:52.284)
Det är väl mer en fråga om, om du lägger upp länken som någonting sånt här enkelt som

Erik Zalitis (41:58.744)
nåt såhär index.old eller något sånt där, så är det någon som hittar den. Ja, då är det ju forced browsing. Men bara det faktum att den läcker och Kalle ger den till Lena som ger den till Agnes och jag fick den från Agnes. Jag menar, då, då har du per definition en, en, en, en läcka, men jag skulle inte kalla det forced browsing.

Mattias Jadesköld (42:19.624)
Nej, jag skulle nog

Mattias Jadesköld (42:23.824)
tänka på det, att man har en slags tidsangivelse eller, eller pekar ut de personer som man ska se den. Det, det är egentligen lite, lite sån detaljfråga det. Men en annan smart sak man kan jobba med, det är ju ehm,

Mattias Jadesköld (42:38.304)
automatiska testverktyg och då finns det ju två varianter här, DAST och SAST. DAST är ju dynamiska testverktyg och SAST är statisk. Och om man tittar på en utvecklingscykel så ska man ju använda-

Mattias Jadesköld (42:52.280)
De med lite olika skeende helt enkelt. Eh, för-för att ta de här begreppen då. SAST är oftast det som man gör innan man-man releasar kod, det vill säga att det är en statisk testning. Det kan vara att man testar till exempel källkoden eller, eller verktygen eller mjukvaru– ähm, mjukvaran efter sårbarheter.

Erik Zalitis (43:13.220)
Ja, just det.

Mattias Jadesköld (43:14.080)
Det är väl oftast såhär. Ja, den här är baserad på PHP åtta punkt bla bla bla. Den innehåller de här och de här sårbarheterna. Men DAST är ju det som i så fall skulle kunna upptäcka mer av de här forced browsing tror jag. För det är det man gör när den är publicerad på webbsidan, att den testar olika scenarion mot-

Erik Zalitis (43:30.180)
Ja, just det.

Mattias Jadesköld (43:30.720)
Mot liksom logik eller vad man ska säga i, äh,

Mattias Jadesköld (43:36.580)
mot den, mot den körande applikationen kan man säga.

Erik Zalitis (43:39.520)
Ja, just det, precis. Ja.

En titt på Burp suites nya AI-funktioner

Erik Zalitis (43:42.840)
Apropå det förresten, jag har lekt lite grann med Burps nya AI test suit.

Mattias Jadesköld (43:48.120)
Jaha.

Erik Zalitis (43:48.640)
Den har ju en AI pen-testare. Så jag tycker det var intressant. Jag lät den testa saker jag har byggt bara för att se vad den kunde komma på för någonting. De här verktygen är både väldigt begränsade och väldigt kraftfulla liksom.

Mattias Jadesköld (44:02.840)
Hittar du någonting intressant då?

Erik Zalitis (44:04.760)
Nej, det var nå– det var ett ställe jag hade byggt på som man faktiskt kunde logga ut utan att vara inloggad. Det är inte för att det hände någonting, men man ska normalt sett säga, äh, det får du inte göra. Det är, det är inte osäkert, det är bara dålig programmering. Så det hittade den.

Mattias Jadesköld (44:21.200)
Men det blir lite skomakarens barn då, Erik. Liksom såhär, har, har du tillräckligt när du bygger egna system? Har du tänkt på alla de här, äh, forced browsing själv då kan man undra?

Erik Zalitis (44:32.480)
Jag försöker, men, men det är återigen skomakarens barn. Ja, det är, det är, det är en otroligt svårt grej att skydda sig mot för komplexiteten är så överväldigande.

Mattias Jadesköld (44:42.420)
Ja, och jag kan bara tänka mig såna här stora projekt där man sitter många utvecklare och man har olika, många olika delar och komponenter, ähm, i en jättestor applikation. Jag tror att det är väldigt

Mattias Jadesköld (44:57.120)
lätt att man, att man har någon sån här typ av fel.

Erik Zalitis (45:01.120)
Ja, det kan jag tro. Det kan jag absolut tro. Ja, och det blir ju, det blir värre med tiden. Därför att ju mer du bygger på grejer, desto mer glöms kvar.

Mattias Jadesköld (45:10.860)
Ja, verkligen. Men det här tycker jag är intressant också, det här som vi började lite med, som vi avslutar också med på något sätt, att den här har varit

Är ”Forced browsing” även morgondagens attack?

Mattias Jadesköld (45:19.800)
på toppen av, äh, attack-attackerna mot webbapplikationer i över tjugo års tid och är det fortfarande och kommer vara framöver också tror vi. Eller hur?

Erik Zalitis (45:30.320)
Det är svårt att säga om vi har hjärninterface där vi styr våra webbapplikationer med tanken. Då, då kanske det finns andra sårbarheter att fundera på. Äh, men, men jag tror att över en överskådlig framtid tror du var allvarlig. Äh, så tror jag att det där är en mycket allvarlig attack därför att den är liksom otroligt mycket en inkörsport för så mycket mer. När du väl hittar mekanismer att komma åt saker direkt eller saker som är gömda eller saker, ja, då är det bara din fantasi som sätter begränsningarna på hur långt du kan gå med det.

Mattias Jadesköld (46:03.580)
Mm.

Mattias Jadesköld (46:06.600)
Äh, bra. Vi kan ta med oss lite såna här saker som, beroende på vilken roll man har. Är man utvecklare, då ska man nog,

Mattias Jadesköld (46:13.380)
ähm, titta på endpointsen, äh, i koden. Äh, vem framropar mig? Och inte bara i gränssnittet utan även i API:t.

Erik Zalitis (46:23.760)
Mm.

Mattias Jadesköld (46:26.880)
Ähm, och jobbar man med drift av en sida eller operationsdelen ska man kanske tita på vad, vad är det för delar av sajten som svarar helt enkelt? Som ger kod tvåhundra.

Erik Zalitis (46:37.460)
Ja, eller hur? Precis. Äh, och även andra koder kan vara intressanta. Jag menar, K200 betyder ja, du– här har du sidan.

Mattias Jadesköld (46:45.780)
Mm.

Vilka är våra favorit HTTP-koder?

Mattias Jadesköld (46:47.460)
302, minst sant, redirect.

Erik Zalitis (46:49.620)
Ja, 500 – du kraschade servern.

Mattias Jadesköld (46:52.440)
Klassiker, 500. Vi behöver inte räkna upp alla, men jag tänkte bara ta en till roll här. Till exempel om man jobbar med SOC också. Kan det vara bra att man för att försöka sätta upp larm, till exempel, att om det finns speciella sök– känsliga sökvägar på en webbsajt så kan man ju faktiskt, äh, kolla larm där. Är det någon som går mot VP admin eller så vidare eller slash git och såna här saker, eller hur?

Erik Zalitis (47:13.720)
Ja, eller hur? Jo, men det kan du ju göra. Men grejen är, du ska inte larma för att de försöker. Du ska larma för att de lyckas. Det är en jättestor skillnad. Försöker gör de hela tiden. Alla, alla som försöker på en git, du kan inte larma på det. Då vadar du i larm.

Mattias Jadesköld (47:29.720)
Ja.

Mattias Jadesköld (47:31.940)
Och det här som vi varit inne på, bygger du en webbsajt, tänk på arkitekturen från början, alltså behörighetsstrukturen.

Erik Zalitis (47:38.420)
Ja. Och, och kom ihåg det att du ska bara ha rättigheter till det du har rättigheter till. Förutsätt inte annat än att du måste kontrollera att du äger dina egna resurser, inte alla andras. Bara för att du är inloggad så ska du inte vara inne och kunna bara göra vad du vill liksom.

Mattias Jadesköld (47:56.220)
Nej, man ska säga nej. Deny by default.

Erik Zalitis (47:59.360)
Ja, precis. Om jag inte vet vad det är, säg stopp.

Mattias Jadesköld (48:02.660)
Ja.

Sykofantisk programvara? Nej, det är nog ingen bra idé

”Yes man” från Fallout New Vegas. En robot som håller med lite för mycket ibland.

Mattias Jadesköld (48:05.600)
Som ”Yes Man”, fast tvärtom då.

Erik Zalitis (48:07.540)
[skratt] Eller hur? Som pyskofantisk programvara. Ja, men jag tycker du har helt rätt. Självklart så skulle vi programmera på det här sättet.

Vi kanske har lärt oss något idag, eller?

Mattias Jadesköld (48:17.100)
Ja, men bra då Erik. Då har vi nått vägs ände här med forced browsing. Har vi lärt oss något i dag?

Erik Zalitis (48:25.480)
Nej, ingen aning.

Mattias Jadesköld (48:26.660)
Nej, jo, det tror jag. Du har kanske inte lärt dig så mycket. Det här var ju känt för dig, men för mig var det,

Mattias Jadesköld (48:31.420)
äh, värdefull information och kanske för några lyssnare. Vem vet?

Erik Zalitis (48:34.500)
Ja, ja, jag hoppas det. Nej, men skämt åsido, man lär sig alltid någonting. Men jag– vad jag menar är, ja, det är, det är en intressant och underskattad attack.

Mattias Jadesköld (48:43.420)
Ja.

Erik Zalitis (48:44.280)
Ja, det här har väl varit vårt avsnitt. 54 minuter klockar den in på.

Erik Zalitis (48:50.140)
Fast jag tror i verkligheten är det mindre för att, ja, det är när vi spelar in.

Mattias Jadesköld (48:54.560)
Ja. Hej då, Erik. Ha det bra! [outromusik]

(Denna transkription är automatiskt genererad och kan innehålla felhörningar)

Länkar – Forced browsing

• OWASPs definition av ”Forced browsing”
• Vad betyder begreppet förklarat på sajten Medium
• Vårt tidigare podavsnitt ”Angripare tar till Vibe hacking”
• SecLists på Github
• OWASP förklarar begreppet på sin Top 10-lista
• Burp suite

Felaktigheter

Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #340 – Forced browsing: gömt är inte skyddat dök först upp på IT-säkerhetspodden.

Vad händer när det privata inte längre är privat?

EU kommer om några veckor fatta beslut om Chat Control 2.0 som är ett regelverk som kan förändra hur vi kommunicerar på internet, hur kryptering fungerar och hur våra privata meddelanden får kontrolleras. Mattias Jadesköld och Erik Zalitis tar sig en titt på det senaste inom ämnet.

Syftet är svårt att argumentera emot: att skydda barn från sexuella övergrepp på nätet men vägen dit väcker betydligt större frågor. Ska privata meddelanden kunna skannas även när ingen är misstänkt? Vad händer med end-to-end-kryptering? Och hur mycket av vår personliga integritet är vi beredda att offra för ett tryggare internet?

IT-säkerhetspodden tar tempen på Chat Control 2.0 och vad som har hänt hittills och vad som kommer om några dagar och varför frågan är så omstridd.

Inspelat: 2026-10-04 (publicerat 2026-10-05)
Deltagare: Mattias Jadesköld och Erik Zalitis.
Texten skrevs och sammanställdes av Erik Zalitis.

Medan du lyssnar – Chat control

Jag kan inte låta bli att undra varför Chat control-lagarna blivit något av ett egensyfte för Europeiska unionen. Varje gång de röstats ner, drar EU om processen på nytt och det känns som om man vill försöka tills det lyckas. Och är det verkligen inte något som lagstiftarna förstått, att negativa reaktioner eller inte, så är det folkets vilja. Söker man på Internet, är det svårt att hitta någon som faktiskt ställer sig helt bakom förslaget, men de som är negativa är desto fler. Jag och Mattias håller varsin ”Slutplädering”, där vi var för sig får tycka till. Och vi har varsin syn på det hela, men förstår varandras ståndpunkter ganska väl ändå.

Vad som är viktigt att veta är att Chat control 1 redan är en aktiv lag som tillämpas och det just nu är sannolikt att Chat control 2.0 kommer gå igenom i närtid. Skillnaden är att CC 1 inte blir tvingande för chatt-tjänster som WhatsApp och Signal, som använder ”end-to-end encryption”. alltså att konversationen bara kan läsas av de som är med i chatten. CC 2.0 däremot kommer att göra att ALLA chattar kan övervakas. Och går den lagen igenom, lär CC 1 inte längre behövas efter 2028 när den slutar gälla.

Sen vill jag påpeka att vi har gjort ett misstag, där vi blandade ihop övervakning av namngivna personer med leverantörernas nya rättigheter. Det riktiga är att frivilligheten ligger i att leverantörerna själva får skanna. Jag har listat detta längst ner i diskussionen. Men det betyder att vi faktiskt lyckats få det att låta mindre allvarligt än det faktiskt är. Och det är intressant i sig.

Här är transkriptionen av avsnittet

Mattias Jadesköld (00:09.454)
Diskussionen om privatliv tog fart efter 9-11 2001. Även internet har visat sig vara en farlig plats och det finns de som gärna vill offra rätten till privatliv för att lite trygghet.

Erik Zalitis (00:22.126)
”Må vi leva i intressanta tider” Ja, det är citat som faktiskt inte är kinesiskt men passar väl här ändå. Vi talar om ett EU i förändring där ett avgörande steg nyligen tagits och nästa kommer om några veckor.

Mattias Jadesköld (00:38.446)
Det är ju bara några veckor kvar tills Chat control 2 med största sannolikhet kommer gå igenom och idag ska vi, Mattias Jadesköld och Erik Zalitis från IT-säkerhetspodden, bena ut den här fisken och ge dig vad du behöver.

Erik Zalitis (00:53.166)
”Veta”, till och med. Ja, det saknas ett ord där.

Knappast kinesiskt, dock känns uttrycket som om det vore det

Mattias Jadesköld (00:55.342)
Jag behöver veta.

Ja, men vad menar du kinesiskt uttryck då?

Erik Zalitis (01:01.678)
Det sägs ju att det där uttrycket, ”Må vi leva i intressanta tider” är kinesiskt från gammal tid med någon dynasti någonstans. Men det inte sant. Det är ett gammalt uttryck från 1900-talet någon gång. Men det har blivit ett bevingat uttryck som alla tror är kinesiskt. Men det är bra för det betyder kaos-tider, betyder någonting. Och egentligen kan det vara att man säger det till någon, lite elakt, ”må du leva i intressanta tider”. Ungefär som ”Må det gå åt skogen” för dig.

Mattias Jadesköld (01:29.294)
Jaha, men okej, 1900-talet. Är det fortfarande kinesiskt eller är det någon annan geografisk plats?

Erik Zalitis (01:35.342)
Jag tror att det är en geografisk plats som kallas Nordamerika.

Mattias Jadesköld (01:41.134)
Jag visste inte att de pratade svenska där.

Erik Zalitis (01:43.534)
Nej, de gör ju inte det. Men de kan man kan översätta. finns en liten Google Translate. Lite oklart på hur man kunde översätta innan Internet.

Mattias Jadesköld (01:50.734)
Men Google Translate

Erik Zalitis (01:53.39)
Nej jag vet, du gick inte över chatten heller. är magi, jag förstår inte det där.

Mattias Jadesköld (01:58.542)
Ajdå… Mörk magi!

Erik Zalitis (02:00.686)
Hur kunde vi tänka innan AI?

Mattias Jadesköld (02:03.31)
Ja, vi lever i intressanta tider. Ja, hur är det du? Hur är läget med det då?

Det där med att inte använda AI för att ta fram fakta

Erik Zalitis (02:05.806)
Läget är bra här. Jag har just lärt mig att inte använda AI igen. Jag ska helt ärligt säga att jag använder inte AI för att ta fram show notes eller sånt där. Därför det är jättedåligt. Men jag provade att låta Claude idag. ”Kan du ta fram alla milstolpar i chat-control-diskussionen ?”. Jag ville bara se vad jag fick ut av det. Och jag kan säga att den är bra på att hallucinera även om man använder Opus 5.5. Den fick för sig att chat-controll 1-lagen gick igenom idag. Så jag kastade ut allt det där.

Men det är min upplevelse. Vad har du hittat?

Mattias Jadesköld (02:41.838)
Jag har inte suttit med det där så mycket, det där tycker jag såhär… Personligen. Jag gillar att skriva. Det är en del av min process, framför allt jobbet, om jag ska lära mig någonting eller komma framåt i ett projekt eller driva igen någonting. Då vill jag sitta och skriva och såna här saker. För mig funkar det då inte om jag ber AI ta fram och skriver texten åt mig. Det är en process där jag på en sätt är ett lärande. Då är skrivandet min…

som jag gör för att kontroll på det. Med det sagt så använder man fortfarande AI för att samla information och göra research åt den men själva skrivandet där känner jag att för att få kontroll på det så vill jag skriva själv. Det är del av mitt egna lärande och utveckling.

Erik Zalitis (03:31.598)
Jag håller helt med dig. tänker exakt likadant. Som du säger, processen där. Man skriver något. Man vill kunna stå för det. Och framförallt, det ser så amatörmässigt ut för AI tenderar att skriva på så att alla känner igen det. Du måste ju lämna din egen ”signal” på något vis.

Mattias Jadesköld (03:47.918)
Exakt, men annars är det väl sådär då. Jag har ju haft en sån här förkylning som har kommit och gått fram och tillbaka. Det många som har det nu för tiden. Som gör att under tre veckor har jag haft det sådär. Som gör att man känner sig slö, lite ont i huvudet och grejer. Så vips man frisk igen och sen kommer det tillbaka och sådär. är flera som jag har snackat med som har samma symptom. Jag tror att det är någon slags ny variant av den här Covid. När vi ändå var inne på kinesiska grejer liksom.

Är det kontroversiellt att namnge virus efter geografiska positioner?

Erik Zalitis (04:13.198)
Ja, eller hur? Det var inte riktigt populärt när Trump sa att det där var Kina-viruset. Det sågs rasistiskt. Men vi ska inte gå den vägen. bara konstaterar att…

Mattias Jadesköld (04:25.134)
Men är det inte konstaterat att Covid…

Erik Zalitis (04:29.422)
Kinesiskt? Ja. Eller? Ja visst. Och hantaviruset är afrikanskt, det kommer från hantafloden. Vi har asiaten som var en sjukdom, jag heter den, en influensa som var väldigt vanlig på 50- och 60-talet liksom. Spanien. Spanska sjuka, är faktiskt jätteorättvist för den kommer inte från Spanien. Den kommer från USA.

Mattias Jadesköld (04:43.502)
Just det. Och den svenska flugan.

Mattias Jadesköld (04:53.55)
Jaha, då passar det.

Erik Zalitis (04:54.798)
Ja, då passar det. Nej, men du vet att Spanska sjukan fick sitt namn på grund av att de första publicerade fallen kom från Spanien. Men de kom från USA, för det var alltså när här militärerna, när soldaterna kom från USA i de här skeppen så var de redan sjuka.

Mattias Jadesköld (05:16.398)
Ja, just det. Det känns som vi verkligen kommer framåt i dagens avsnitt.

Tycker folk på Flashback att vi är tröga?

Erik Zalitis (05:20.59)
Det var någon som sa att vi var jättetröga, var det inte det? Någon på Flashback som sa att, jag är inte säkert på den men jag så tröga.

Mattias Jadesköld (05:27.726)
Ja, jag gillar det. Det gick ju hårt mot mig i alla fall. Jag gillar det. ”Känd från Flashback”. Något avtryck ska man i göra.

Erik Zalitis (05:35.662)
De flesta som blir kända på Flashback brukar inte bli kända för saker som de riktigt vill prata om.

Så vad är dessa lagar då?

Mattias Jadesköld (05:41.486)
Nej det sant. Hellre det att man är lite trög i… Men för att inte skapa en storm på Flashback då så sätter vi igång nu Erik. Vad är chat controll 1 och 2 då? Kan vi ta och resa? Då börjar vi kanske i kronologisk ordning, det vill säga med ettan.

Erik Zalitis (05:58.35)
Ja, precis. Det har hållit på ett tag. Den första ChatControl 1.0-genomgången vi hade gick igenom slutet av 2025. Det var en tillfällig regel och den gick ut i april 2026. Sen tog man in den igen i juli 2026 och den är förlängd fram till april 2028. Så ChatControl 1.0, den gäller här och den gäller nu.

Mattias Jadesköld (06:27.854)
Jamen, vad Är det för någonting då?

Erik Zalitis (06:29.198)
Vill du att jag svarar på det, nu?

Mattias Jadesköld (06:31.214)
Det kanske vore bra istället för att prata om när den kommer, utan säga istället vad det är för någonting.

Erik Zalitis (06:35.438)
Okej, allright, ska vi ha det det sättet. Ja, allright, fine. Jag vi måste börja tala om det. som är intressant att veta, den är alltså igång nu. Ja, det handlar alltså i princip om frivillig avsökning. Det betyder att en del plattformar som till exempel Instagram, Direct Messages, Discord om du använder det, Snapchat, Skype, Teams som vi kör.

Och vnliga epost kan frivilligt läsas av. Och frivilligt betyder i princip att det inte är frivilligt för den som äger chatten. Utan det är för företaget att släppa in EU. den är frivillig för att det är inte alla personer utan utvalda personer med brottsmistanke är de man först kommer att titta på. Men det finns ingen egentligt hinder mot att expandera.

Mattias Jadesköld (07:22.382)
Om det någon som upptäcker ett brott då kan EU kontakta till exempel Instagram och kolla i den här personen vill vi titta i deras DM till exempel.

Erik Zalitis (07:32.43)
Precis. den exkluderar uttryckligen att så kallade end-to-end krypterade chattar och det talar om WhatsApp och signal. Och ”end-to-end” betyder att det är krypterat, oläsligt mellan de två personerna eller flera personer som chatar. Så om du och jag chatar över Signal så är krypterat så att ingen på vägen kan läsa det. Och det kommer alltså inte påverkas av Chat control 1.0.

Mattias Jadesköld (07:59.918)
Det är här som blir så komplicerat. Det blir snabbt teknisk definition. Du kan chatta i alla olika system nu. De flesta stora IT-plattformar i dag finns nån form av meddelandetjänst. Man kanske kopplar ihop sig med Teams eller vad man gör. Man kan oftast skriva meddelande till varandra. Var går gränsen nånstans?

Erik Zalitis (08:25.966)
Ja det är ju en väldigt bra fråga. tror att det en… Då får du nog läsa lagen. Det har jag haft möjlighet att göra. jag menar lagtexten är förmodligen att du behöver en advokat för att förstå exakt. Det är det som är problemet. Vi vanliga dödliga. får liksom i princip hoppas att inte definitionerna är så pass lösa. Att helt plötsligt kan vad som helst vara en chat.

Mattias Jadesköld (08:47.854)
Ja, sen kanske det är så att om man vill komma åt Skurkar så kanske inte är så att Skurkar sitter och skriver medlande in i Sharepoint intranät-sajt direkt. Du förstår vad jag menar liksom.

Erik Zalitis (08:58.958)
Det är ”evil.org” och de har en chat.

Lagen som återuppstår gång efter gång

Mattias Jadesköld (09:04.91)
Vad hände med den där och Chatkontroll 1? Det var ett väldans liv kring det.

Erik Zalitis (09:10.414)
Ja, det som du bråkades om, det slogs ju ner förut. Nu har blivit genomdraget gång på gång. Problemet, det som är så kontroversiellt mer, ju det faktum att det dödar det som kallas oskulds-pressumtionen. Det vill säga att du är oskyldig tills du har blivit bevisad skyldig i en domstol.

Det innebär att företaget har väldigt svårt för polisen att säga att det måste finnas en konkret brottsmistanke för att kunna avlysa några telefoner. Som Chat control 1.0 är utformat så är väldigt lätt att få tillstånd att spionera på chatar utan egentligen alltför mycket jobb.

Mattias Jadesköld (09:53.806)
Det här är som att EU skulle behöva kontakta leverantören för att få ut information. Det lite jobb. Men det slogs ner och då började man vässa på en ny variant som heter Chat control 2.0.

Erik Zalitis (10:11.982)
Nej, alltså den har gått igenom. Chatkontroll 1.0 har inte slagits ner. gick igång, eller den aktuella direktivetest, den godkändes och blev lag i juli år 2026.

Mattias Jadesköld (10:23.566)
Okej, så det är du inledde med att är tillfällig. Den ska då ersättas helt enkelt av någonting.

Så det som är ”hett” just nu – diskussionen om Chat control 2.0

Erik Zalitis (10:30.638)
och det ”någonting” är Chat control 2.0.

Mattias Jadesköld (10:35.374)
Och vad är det för någonting då?

Erik Zalitis (10:36.686)
Det kallas för den Permanenta CSA-förordningen och CSA står för ”Child Sexual Abuse Regulation”. Det kallas ibland för CSR. Det är alltså skydd för barn mot olika saker, hemskheter som vi inte vill prata om. Den skriver förslagen permanent som reglering. Men som det står just nu är det den fjärde

oktober 2026 när vi spelar in det här, har det ännu inte godkänts. Däremot kommer det med största sannolikhet gå igenom. Det är väldigt få som sätter emot. Det ett land, nu ska vi se, Polen som säger nej till det. Jag ska se om jag kan hitta mina… Jo här. Nej, förlåt inte Polen, nu gör vi om det. Ett land, Italien är emot Chat control 2.0.

3 är splittrade frågan och övriga stöder, Sverige stöder frågan och är positiva till att ChatControl 2.0 går igenom.

Mattias Jadesköld (11:40.494)
Men det var ju för ett år sedan så var det ett jäkla liv med det här och det slutade med att man la ner, men var inte det så att Chat controll 2.0 som man la ner då eller?

Erik Zalitis (11:49.038)
Om jag minns rätt så backade man nu. Det gick aldrig igenom. Så det här är nästa ”take” på det hela.

Mattias Jadesköld (11:57.646)
Så det är liksom 2.0 av ChatControl 2.0 kan man säga? Eller en slags nytagning av den helt enkelt.

Erik Zalitis (12:04.974)
Ja, jag förstår vad menar. Någonting sånt, va? som sagt, Chat controll 1.0 fick vi i november 2025 och åter igen i juli. Om några veckor då? Då är det Chat control 2.0. Så det är det där.

Mattias Jadesköld (12:20.974)
Och skillnaden mot ”ettan” då är att den här blir permanent då på något sätt och inte tillfällig. Men är det något innehållsmässigt rent tekniskt som man tittar på skillnader eller?

Erik Zalitis (12:32.302)
Ja, finns en väldigt fundamental skillnad. Chat control 1 sätter ju begränsningar. Om du har en chat-tjänst som krypterar en endpoint, då kommer inte den att kunna avlyssnas. Med Chatc ontrol 2.0 så kommer det att bli krav. Det vill säga att kan du inte använda Signal på ett säkert sätt längre. Och du kan inte använda Whatsapp eller någon annan utan att det kan avlyssnas. Inte behöver men kan.

Det fundamentalt betyder att man kan behöva installera en programvara på din dator om de misstänker någonting. Eller i framtiden i värsta fall om de tycker att vi vill övervaka den här gruppen av personer på din dator. installerar den och den läcker ut allt du chatar med.

Blir vi alla snart avlyssnade?

Mattias Jadesköld (13:19.95)
Så man ska inte räkna med att från och med att när den här trädde i kraft så kan man räkna med att man vill avlystnad under alla meddelanden man skriver egentligen.

Erik Zalitis (13:29.774)
Det har jag väldigt svårt att Vi måste vara realistiska om det här. Det en del som säger domedagen. Jag kommer att säga en del i slutet när jag mina åsikter om det. Men jag säger så här, till att börja med så kommer det nog bara vara en begränsad uppsättning personer som övervakas. Sen har man ju alltid det som kallas för ”slippery slope”-argumentet. Kommer det bli mer och mer övervakning till sist övervakas alla ungefär som man kan tänka sig att det görs i Kina.

Det är väldigt svårt att säga med den risken finns. Det måste man vara medveten om.

Mattias Jadesköld (14:02.734)
Precis. Jaha, okej, då kommer det kanske för mycket träda kraft och helt enkelt. Men de går utgå i helåt helt enkelt från ”child sexual abuse”. det bara det eller tänker man också att kunna slå hål på stora kriminella nätverk och alla möjliga olika olagligheter eller?

Erik Zalitis (14:21.71)
Som jag har läst det och läst på om det så är det CSA i första hand. Jag känner inte till att de har expanderat det ”scope-et”. Det är det de alltid säger men om det finns någonting i själva lagtexten som ger det mer expansion det vet inte jag. Jag tror inte det utan jag tror att det är huvudsakligen så är det för att skydda barn mot folk som chattar med dem på chatter och möjligen spridande av…

barnporr och sådana grejer kan jag tro. Men det är en fråga, det är där vi är idag, frågan är hur de kommer att definiera det i morgon.

Mattias Jadesköld (15:00.366)
Om jag tänker mig på den argumenterande sidan så borde det också vara för exempel polisen eller andra myndigheter att kunna förebygga olika andra typer av brott eller hitta bevis för kriminella element i samhället och terrorbrott och allt vad kan vara.

När gränserna tänjs och mycket vill ha mer

Erik Zalitis (15:21.902)
Jag tror att sorterar något vi kallar för ”scope creep”. Det betyder i princip områdesutökning. Det betyder att börjar med att säga att vi ska skydda barnen. Det vill ju alla. Sen börjar du mer och mer lägga in att kanske också skulle skydda mot terrorister. Det blir mer och mer folk som grupperas in eller kan sorteras in. Det kanske är skadligt för barn, någonting som en terrorist gör. Då spionerar vi ner på dem också. Jag kan tro att det utökas på det sättet.

Jag kan inte förutsäga framtiden men det är väldigt mycket det folk pratar om som en möjlig utveckling.

Mattias Jadesköld (16:00.238)
Men om vi tittar rent tekniskt, vi borrar ner oss lite tekniskt bara för att man inte känner till kryptering. Om du och jag startar ett medelande i Whatsapp till exempel, men det kan ju vara en annans funktion. Vi tänker just end-to-end kryptering. Du och jag startar en sådan krypterad förbindelse mellan varandra. Då är det ju…

Då är det att vi har delat privata nycklar mellan varandra och ingen annan får se det. Hur ska en tredje part, här fallet då, liksom europeiska myndigheter, få tillgång till den?

Erik Zalitis (16:32.11)
Som jag läst på det genom att jag tittat lite grann på internet så är förslaget att de kommer få, som jag sa förut då, installera en programvara på din dator som läcker din information. För det enda sättet att det går förbi är om du inte ska försöka knäcka krypteringen och det kan du inte idag.

Mattias Jadesköld (16:49.262)
Ja okej, så i telefonen förstås då och allt möjligt. Då måste ju det bakas in på något sätt i operativsystemet nästan eller någonting. ju inte så att en skurk bara… Vad är det här för någon program? Vart som vill ladda ner liksom? Vad den lägger jag till till min telefon?

Hemlig dataavläsning – Sveriges egen variant där polisen kan lyssna på den misstänkta

Erik Zalitis (17:05.006)
Vi kan titta lite grann på hur funkar i Sverige med det som heter hemlig datavlysning. Området vi pratade om det för några år sedan. Ja. Avläsning, datavläsning. Jag får skriva i show notes exakt vad heter. Men det den lag vi har i Sverige och där har vi faktiskt att Säpo och de här underrättelsetjänsterna får installera en skadlig kod på din dator. Alltså ett program som du inte kan se som räcker ut vad du håller på med som en bit av sin bevisföring. Alltså för att samla bevis mot dig.

Så att det skulle ingå i operativsystemet, det tror jag inte. Utan de kommer att installera det. Men det är det börjar nu. Om någon börjar tycka att vi måste hålla koll på den här tjommen, då finns det ingen riktig brottsmistanke. Det finns en suddig känsla av att den här killen skulle kunna vara någonting. Det är inte för att… Man har inte fått avlysna förut, men det blir väldigt lätt nu med Chat control 2 att göra det i princip.

och minsta misstanke. Och vi vet hur det görs i Sverige och vi vet hur det kommer att funka i EU. Och det gör att det inte är mycket som krävs för att hamna på den listan tror jag. Nej, det lite spekulativt skulle jag säga.

Mattias Jadesköld (18:15.118)
Ja det blir det ju. Men vi vet ju också att EU har ju styrkan nog att kunna påverka de stora teckheterna. Tänk till exempel på andra saker som att iPhone har fått USB-C-uttag och sådana här saker. är en EU-standard och grejer. Om de skulle verkligen trycka på att vi måste få in den här bakdörren i senaste versionen av IOS eller nånting så kanske det är möjligt att de kan få det också.

Erik Zalitis (18:39.47)
Det högst spekulativt. skulle säga det. Men grejen är ju givet hur långt vi har kommit och hur vägen har varit hit, jag håller det som fullt möjligt, ja. Men jag vill inte säga att det är så för då blir vi lite väl alarmistiska och det inte vårt jobb.

Mattias Jadesköld (18:55.598)
Nej precis, det håller jag med om. Bra. Då vet vi, Chat controll 1 och 2 och de senaste turen kring just ”tvåan” att den slår igenom om några veckor. Hur är läget just nu då när vi skriver oktober 2026?

Tillbaka till nuet – oktober 2026

Erik Zalitis (19:15.214)
Ja. Hur tänker du då? Angående vadå?

Mattias Jadesköld (19:19.694)
Ja, jag tänker just i en tidslinje här.

Erik Zalitis (19:24.878)
Ja, det det vi ser. Okej, det har vi redan nämnt lite grand, men jag lägger till bara för att vara helt klar. Som det står nu med oktober så kommer vi inom några veckor se Chat control (2.0) klubbas igenom. Det har förutsägert sig. Som det ser ut nu, de flesta länderna är för, så det kommer att gå igenom. Jag skulle bli väldigt förvånad om Chat control 2 inte går igenom. För mig så står det klart att det är garanterat. Det man håller på med nu kallas för en trilog.

Mattias Jadesköld (19:47.118)
Mm.

Erik Zalitis (19:54.99)
Det är en EU-ämne som är vanligtvis ett informellt förhandlingsmöte i den europeiska kommissionen, Europaparlamentet eller Europeiska unionens råd. Det det som pågår. Det ett lagstiftningsförslag. Går det igenom så kommer det ta effekt. När det tar effekt det vet inte jag. Men det är förmodligen lite grann in i framtiden.

Mattias Jadesköld (20:18.734)
Ja, men Chat control 1, den tillfälliga, den pågår fortfarande hela vägen fram till 2028?

Erik Zalitis (20:26.254)
Oavsett vilket ja, precis. Helt riktigt. Sedan tänker att om Chat control 2 går igenom så tror jag inte de kommer att förlänga ettan. Det finns ingen anledning.

Mattias Jadesköld (20:35.95)
Nej precis.

En avstickare till en annan mycket viktig nyhet, ”Privacy shields”

Erik Zalitis (20:38.414)
Vi ska väl gå över och snacka lite grann om ”Privacy shields”, mycket intressant. Men jag tänkte bara säga att i slutet av den här avsnitten ska vi göra lite slutplädderingar, lite åsikter mer än bara fakta.

Mattias Jadesköld (20:50.478)
Det kan vi göra, för tycker att det här är lite intressant just det här som vi är inne på där med att EU har på något sätt en kraft att kunna påverka andra länder och så. Och jag tänkte just på det här med när jag läste ditt manus om Chat control. Jag vill också landa lite i Privacy Shield och den här resan. För den hör jag nästan dagligen sådär. Får vi lagras saker inom EU? I USA.

Får manlaga personuppgifter från EU till USA. är en klassisk fråga om man får använda molnet. Då ska jag bara lite snabbt ta turerna kring det här. Safe Harbor skapades av USA som ett lagverk för att skydda europeiska medborgare.

Den godkända EU år 2000. 2013-15 då kommer han att Max Schrems som alla har talats om i Schrems 2. Schrems 3. Sorry, Schrems 1-domen. Och då på något sätt lyckades han göra så att EU-domstolen ogiltigförklarade den.

Erik Zalitis (22:05.518)
En liten tanke bara, liten analys här om jag får. Vad det hela handlar om är att USA säger med Safe Harbor att det är helt okej att lagra ert data hos oss. kommer inte att… Vi kommer att respektera er rätt till privatliv. Det som kallas för ”privacy”. Max Schrems är en advokat som sa – ”nej, det här är inte förenligt med vad EU säger att det ställer för krav på privatliv, rätten till privatliv och säkerhet av data.”

Och det var därför hela förslaget slogs ner.

Mattias Jadesköld (22:37.998)
Exakt. Då började USA vässa på en ny lagstiftning om skydda europeiska personuppgifter. Den kallas för Privacy Shields. Den trädde kraft 2016. Då tyckte man att såg fin ut, men då kom också Schrems två-domen fyra år senare, så 2020.

Erik Zalitis (23:05.71)
Och det var helt enkelt Max Schrems som sa – ”nej, den där inte heller bra”.

Mattias Jadesköld (23:09.742)
Den är heller bra. Det vill säga att USA har inte tillräckligt bra skydd för att lagra europeiska personuppgifter. Men sen, tre år senare, 2023, det har inte varit så mycket snack om tycker jag, så det därför jag fortfarande hör den här. Då kom ju USA igen då med tredje gången helt kanske Data Privacy Framework. Och den klubbade EU igenom och sa att den här nya mekanismerna

Mattias Jadesköld (23:39.086)
–gör att är okej att vi gör överförningar med personuppgifter från EU till USA. Främst trea som man kan tänka sig den här advokaten i Österrike– –sitter och filar på just nu har inte poppat upp än. Men det som är på bordet just nu– Det är okej att lagra personuppgifter i amerikanska moln, till exempel. Men det måste ju fortfarande vara inom GDPRs gränser.

Det är ju fortfarande att man ska vara restriktiv med sina personuppgifter. Du ska ju fortfarande vara väldigt noggrann med om du använder känsliga eller extra skyddsvärda personuppgifter.

Erik Zalitis (24:20.878)
Ja, men jag tycker det här är intressant. Vad är det vi är rädda för? är att amerikanska regeringen kan säga att vi använder oss stöder oss av Patriot Act 1 eller 2 och säger att på grund av att vi tror att det är terrorism som pågår så får ni ge oss den här informationen som det europeiska företaget, säger vi då, sparar i våra datacenter och då måste de för att uppnå…

upprätthålla lagen där, då måste de gå med på det. Och det innebär att amerikanska regeringen kan plocka ut europeisk data. De kan säga att det här ska vi ha.

Mattias Jadesköld (24:56.366)
Ja, precis. Och det är ju lite likt på det sättet Chatt control kan man säga. Att myndigheterna går till en teknisk leverantör och säger att nu behöver vi göra det här. Sen vet jag i rymme med privacy… Sorry, med Chatt control om EU behöver kontakta WhatsApp och säga att här personen måste vi ta ut information ifrån eller om de bara har rätten att göra när de vill.

Erik Zalitis (25:24.526)
Det får vi se lite grann hur de kommer att rita upp det där. Jag har inte gått igenom det så mycket men jag kan naturligtvis skriva in det våra show notes om det någon som vill ha mer information. Ja, jag tror många måste göra det för det här är väldigt viktigt.

Mattias Jadesköld (25:38.926)
Ja, verkligen. Det var mitt lilla avstickande. Om du fortfarande går runt och ”fnular” på om man tvivlar på amerikanska mål– –så det senast Sagda. Det fortfarande GDPR som gäller. Det finns också andra tveksamheter kring USAs nyckfullhet de senaste åren.

Erik Zalitis (26:01.166)
Egentligen är det stora problemet är, man lita på en regering? Kan man lita på EU? Jag försöker inte bli politisk här, jag bara säger att risken finns alltid att en myndighet som bygger på en nation, den nationen kan förändras vad de har för idéer beroende på vem som styr och sådana saker.

Tilliten – något vi måste lära oss att ge utan att veta till vem

Mattias Jadesköld (26:21.23)
Kan man lita på det digitala samhället?

Erik Zalitis (26:24.334)
Det finns mycket tillit egentligen, viktigaste vi har på internet. För internet finns utanför din lägenhet. Allt det innebär att har ingen kontroll över någonting. Så du måste lita. Du måste göra det. Och då är frågan, kan du ställa krav på de du litar på?

Mattias Jadesköld (26:39.182)
Inte om man frågar min sambo, hon brukar starta om internet här hemma lite då.

Erik Zalitis (26:42.638)
Nej, jag förstår. Det därför det går ner över hela världen.. Eller kan det vara hennes router, kanske?

Mattias Jadesköld (26:47.15)
Ja det kanske var det. frågar då. Bryter Chat controll 2 mot mänskliga rättigheter enligt FN, tycker du?

Erik Zalitis (26:55.182)
Jag tycker inte … det är så. Förslaget bryter mot Europakonventionen. För det var helt exakt artikel 8 och artikel 10. Jag tänker inte prata om dem men det princip säger att människor har rätt till privatliv.

De här författarna till förslaget EU är öppna med att deras förslag är oförenligt med mänskliga rättigheter men de rättfärdigar det genom att säga att ingen av rättigheterna måste skyddas till varje pris utan det måste beaktas i förhållande till deras funktion i samhället vilket i princip översätts till ”ändamålen helgar medlen”.

Mattias Jadesköld (27:33.198)
Men också syftet, om jag är lite ”djävulens advokat”, här då.

Erik Zalitis (27:41.966)
Djävulens adokado!

Mattias Jadesköld (27:44.078)
Syftet med Chat control, det är att förhindra ”child sex abuse” och sådana saker. är också ett FN-deklaration då att inga barn ska…

Erik Zalitis (27:58.126)
Jag tror man har diskuterat att barnens rättigheter inte heller riktigt funkar med det där. Men jag plockade tyvärr inte ut den argumentationen. Jag har tittat på en del sajter, bland annat den här som heter FightChatControl.eu. De var ganska bra. Och jag har tittat även lite grann på mer officiella sajter så att jag inte ska bli alltför färgad i någon riktning. Men jag har ju något i såsikter.

Mattias Jadesköld (28:23.598)
Ja, ska vi ta dina eller mina åsikter?

Slutpläderingarna. Mattias och jag tycker till

Erik Zalitis (28:25.902)
Jag har skrivit pläderingar här. Fakta är viktigt, vad tycker vi egentligen om det hela? IT-säkerhetspodden… Jag tar om det där bara. Ja, jag har kallat det för pläderingar. Fakta är viktigt, men vad tycker vi egentligen om det hela? IT-säkerhetspodden ger dig magkänslan och tankarna om en viktig stor förändring. Mattias, varsågod. Det är din plädering.

Mattias plädering – försiktigt positiv men ser riskerna

Mattias Jadesköld (28:51.726)
Vi har samlats här idag. Är det bra eller dåligt med det här? Jag har ju kluven.

Syftet är bra. Men det finns också stora risker med det. EU är ju ett stort organ på något sätt med ganska många olika kulturer, vill säga att det är olika demokratier eller olika länder som förändras hela tiden. Så betyder också att såna här lagstiftningar kan förändras också. Det här kan ju påverka våra…

Vem som får insyn i det. Jag tycker det är svårt. Jag skulle nästan vilja säga att… Det talar kanske lite mot mig om jag ska vara en säkerhetsperson av nånting. Men jag är faktiskt lite för.

Erik Zalitis (29:54.894)
Du är mer för än du är emot?

Mattias Jadesköld (29:57.742)
Ja, Jag tittar på EU-regleringar sedan GDPR och jag tycker att det är väldigt vettiga saker man har gjort och det har verkligen vässat….

Allt från hur vi behandlar personuppgifter till hur vi höjer säkerheten. Jag tycker att EUs lagsregleringar, som många brukar skämta om, är bra grejer. Därför är min grund tilltro till EU är stark. Jag är försiktigk positiv till det Jag ser också riskerna.

Erik Zalitis (30:39.662)
Men du menar ju Chat control alltså? För vi pratade ju också om Schrems-grejerna.

Mattias Jadesköld (30:46.158)
Absolut, Chat controll. Jag är positiv… positiv redan.

Erik Zalitis (30:54.51)
Jag förstår. Och det var din plädering,

Mattias Jadesköld (30:59.502)
Sen, i och att du får plädera sist så blir det typ som att det är sista ordet. Det blir som sanning. Så jag kommer ju, vad heter det, komma med en motplädering om jag tycker att din plädering är ett fel…

Erik Zalitis (31:11.854)
Vi kan hålla på hela natten om du vill!

Eriks plädering – mycket negativ, men förstår att det finns goda avsikter

Erik Zalitis (31:17.71)
”Plaskedering”, det kan det. Jag tror inte vi håller med varandra, låt oss bara säga så. Okej. Personligen, jag tänkte inte prata om GDPR, kommer inte prata om Schrems-domarna. För den typen av grejer är jag väldigt positiv till. Nu talar vi Chat control. Och svaret är ”extremt negativ.”” Jag ska förklara mig, först och främst, en av de viktigaste bitarna inom vårt lagsystem är ju idén med ”oskulds-pressumtion”. Du är alltså oskyldig tills dömd i domstol.

Erik Zalitis (31:47.726)
Det är en av de viktigaste grejerna. Börjar du tumma på det så gör du skada på hela det civiliserade systemet om man får gå så långt. Mitt problem är chat control är ett antal. det första är oförenligt med flera saker som FNs deklarationer. Både deras barndeklarationer och förderas om privatliv och mänskliga rättigheter. Bara börja där. Det andra problemet är det faktum att det ger godtycke.

Det är väldigt lätt att det kommer bli mer och mer övervakning. Har du väl öppnat det hela, har du öppnat den porten så kommer du väldigt lätt bara gå rakt igenom. Vilket innebär att jag tror att vi är i en ”slippery slope”. Det blir mer och mer övervakning för det blir lättare och billigare och till sist är det ingen som bryr sig längre. Jag vet inte hur långt det kan gå. Jag är orolig för att det ger den kontroll vi har över EU.

att den blir svagare. är för att EU nu har enorma befogenheter som de inte hade förut. Man brukar skämtsamt säga att regeringen ska frukta sina medborgare. Medborgarna ska inte frukta regeringen. Och det här bryter mot det. Och dessutom, den har dragits igenom på ett väldigt, väldigt oärligt sätt. Chat control 1, som drogs igenom, som den drogs igenom nu i juli 2026, den gick igenom för att man inte fick

tillräckligt stor majoritet och det berodde på att väldigt få personer var där och röstade vilket gör att det känns väldigt illa satt och det känns som att någon har försökt dra igenom det där mer för att det är en principsak för dem. Det får kosta vad du vill de ger aldrig upp. Så det finns så mycket problem med det men fundamentalt så ger det EU en befogenhet som de är otroligt

sannolika att kunna missbruka. Vi kan inte säga att EU kommer aldrig att använda det här på fel sätt. För det vet vi inte. Har de tagit hit det eländet på det sättet de har, då har de ju bevisat att de är ganska ohederliga. Det är min åsikt.

Hur mycket av en brottsmisstanke krävs det?

Mattias Jadesköld (33:54.19)
Ja, men jag förstår. Jag delar ju det egentligen också. Jag ser ju risken, som man säger, men som sagt… Jag har en tilltro till de tidigare lagstiftningarna och jag tycker att det blivit bra med de andra regelverken. sen tänker jag också, poliser och myndigheter har ju fått övervaka brottsmistänkta tidigare. Alltså, i den ”köttsliga världen”.

Erik Zalitis (34:19.085)
Ja ja, men då har det alltid varit någonting att det finns en brottsmisstanke, du gör en utredning. Det här är väldigt hårt reglerat. Och det har hänt.

Mattias Jadesköld (34:27.085)
Och det är väl tanken med det här också? hur? Du ska inte bara säga, nej men jag vill bara kolla lite vad Mattias har skrivit i sin DM på Instagram. Det säger väl inte det här. Det kan leda till det, om det är väldigt oansvarligt.

Erik Zalitis (34:41.389)
Det ska inte kunna leda till att någon har en dålig dag. Det är stora problemet här. Därför om du tänker att det finns styr och regler. Du måste få ett dosalsbeslut och det svårt att måste kunna bygga upp ditt case för att det här ska gå igenom. Det väldigt svårt att missbruka. Ju lättare det blir med mindre medel att få det här att funka. Till sist blir det bara en knapptryckning och en formalitet. Någon som ”rubber stampar” som man säger. bara… …stämplar det och så är det godkänt och så bara går det vidare.

med lite spårning och det krävs väldigt lite för att börja bli misstänkt. kan börja med en enskild individ, sen blir det grupper och sen finns det ingenting som inte hindrar att det blir fler och större grupper. Att det skulle gå så långt så att alla blir övervakade, det vet inte jag. Men jag säger att det är illa nog. Vi har sett var åsiktsregistrering går, vi har sett vad den typen av övervakning kan göra och nu blir det såpass enkelt att göra det så att det blir skadligt.

Mattias Jadesköld (35:38.382)
Ja, vi får se. Tittade här lite snabbt. krävs ju faktiskt en myndighetsgodkännande för att börja skanna en…

Erik Zalitis (35:57.358)
Vad du menar är att staten ger sig själv rätten ge sig själv rätten att göra det de ville göra från början?

Mattias Jadesköld (36:01.262)
En domstol. Åklagare liksom. Precis som i dag i den köttsliga världen.

Erik Zalitis (36:07.118)
Men det är fortfarande en fråga om att det är väldigt lätt. Det sant att det aldrig varit möjligt att göra liknande saker men det är bredden och enkelheten i att göra det här. Det att det skalar upp på enorma nivåer. Plus att det bryter mot kryptering. Det total bryter mot privatliv.

Mattias Jadesköld (36:31.63)
Jo, Det är det som är lite styrkan och sårbarheten med det digitala samhället. Får man in en fot så kan man helt plötsligt övervaka alla som skriver i en plattform. Medan i den ”köttsliga världen” måste man en speciellt ganska kostsam insats och kanske titta på en person ungefär. Det är större insats för myndigheterna. Det blir lättare i en digital värld, absolut.

Mattias Jadesköld (36:57.07)
Men vi får väl se. Jag delar ju det som du säger, för det är ju kontroversiellt. Men vi får väl se. Jag är lite tillförsiktigt positivt ändå. Det har ju också varit de här stora… Att man har sprängt de här stora… …chattgrupperna och poliser har gjort det. ”Enchron-chat” och allt vad var för någonting.

EncroChat heter det!

Erik Zalitis (37:18.126)
Ja, just det. Den var ju intressant. Det är ju en supplyside-attack. Och den visar ganska mycket vägen för vad det här skulle kunna gå. Så jag menar, förstår ju också att det finns en försäljningsargument för det här som är att det faktiskt kan ge EU muskler att stoppa kriminella gäng. Det har jag full förståelse för. Det är liksom… Jag inte blind, liksom.

Mattias Jadesköld (37:42.19)
Encrochat var ju en chat som användes typ av enkronchat. Enkron. Enkron.

Erik Zalitis (37:48.686)
En EncroChatheter den. En EncroChat. EncroChat. En EncroChat. EncroChat. En EncroChat. EncroChat. EncroChat.

Mattias Jadesköld (37:56.334)
EncroChat används av organiserad brottslighet. Jag tror inte att alla skurkar kommer att smida sina planer på signal. Om det visar sig att signal har EUs ögon på sig och fått godkänt. Då kommer det bara att skapas upp ett nytt. Det blir en slags katt- råtta-lek med olika tekniska plattformar.

Erik Zalitis (38:20.238)
Det är ju det vi kommer tillbaka till ganska ofta som kallas för ko-evolution. Jag bygger bättre försvar och du bygger bättre attacker och så där håller vi på. Det är ett krig som pågår mellan dem som ska försvara och dem som ska utnyttja systemen.

Vänta, vad säger du?

Mattias Jadesköld (38:35.47)
Ja men det är bra att vi båda ser positivt på Chat control.

Erik Zalitis (38:40.59)
Näh, nu, nu får du ge dig. Om du fick den idén om mig, då…

Mattias Jadesköld (38:44.334)
Nej, men jag förstår Erik. Det är självklart vad man vill ha. Det som är privat ska hållas privat. Så vi får se hur det här… Vi har ju haft snack om det här förut. Och det är ju inte omöjligt att vi tar upp en tur kring det här igenom när det här har landat lite.

Och så avslutar vi för idag

Erik Zalitis (39:06.03)
Nej, jag tror det. Jag menar vi kommer åtminstone kunna göra någon form av snack om det när det går igenom för det kommer att göra. Tyvärr. Tyvärr, men… Right! Ja, vi hörs om en vecka igen. Får vi se om vi har någon cool intervju på gång? Det borde vi ha.

Mattias Jadesköld (39:17.134)
Ja, men tack då Erik!

(Denna transkription är automatiskt genererad och kan innehålla felhörningar)

Korrigeringar

Trots de bästa av intentioner, har det smugit in sig några felaktigheter i samtalet. Jag vill passar på att nämna dem i punktform.

• Hanta-viruset är uppkallat efter Hantaanfloden i Sydkorea, inte Afrika.
• Påpekande: CC1 antogs redan 2021 som en förordning. Vi nämnde inte detta, då avsnittet fokuserade på de senaste årens händelser. Egentligen inte ett fel, men oklart uttryckt.
• Angående frivillig avsökning. Vi beskrev det inte korrekt. Det som gäller är att varje leverantör själv väljer om de skannar, och skanningen sker utan individuell misstanke. Detta är faktiskt mer allvarligt än vad vi säger att det är.
• CC1 tillåter leverantörer att skanna frivilligt. Vad det gäller namngivna misstänkta, kan dessa hanteras genom vanliga polisära metoder.
• Information om vilka länder som stöder förslaget CC2 är gammal information. Det korrekta är att 9 länder är emot, en är villkorad och 14 stöder förslaget.
• Att CC2 klubbas igenom inom några veckor är spekulativt. Idag finns inget datum för nästa trilog. Men det räknas dock med att vi snart kommer se resultat. Och det ser mycket sannolikt ut att den faktiskt går igenom.

Länkar – Chat control

• Fight chat control
• Chatcontrol.se (Karl Emil Nikkas sajt om lagen)
• Wikipedia om Chat control
• ”Kritiserade förslaget” på SVT
• Fakta från ”Brussels record”
• Artikel i ”Security today”
• Vårt avsnitt om ”Hemlig dataavläsning”
• ”Må du leva i intressanta tider” är från Europa, inte USA.

Felaktigheter

Se rubriken ”Korrigeringar” ovan. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #339 – Vad du behöver veta om Chat Control hösten 2026 dök först upp på IT-säkerhetspodden.

Errol Norlum från Advania.

Nyligen lanserades en svensk AI-plattform som ger företag och offentlig sektor tillgång till ledande AI-modeller i en gemensam, säker och kontrollerad miljö.  Mannen bakom den är Errol Norlum, Chief Data & AI Officer (Advania) så IT-säkerhetspodden tog en titt på det hela.

Det finns en uppsjö olika AI-modeller – stora komersiella, små nischade och vissa open source. Till detta en nyfiken organisation som ”vill ha AI” och samtidigt oroar man sig för EU:s olika regelverk. Hur ska man ta sig igenom den här djungeln? Kan man behålla informationen i Sverige? Kan man få AI-suvuränitet?

Mattias Jadesköld och Erik Zalitis tar AI-diskussionen på en ny nivå tillsammans med Errol. Här finns nämligen möjlighet att göra riktigt smarta steg att ta i sin AI-resa. Och samtidigt efterfölja regelverken, erbjuda moderna saker till sina medarbetare och skapa nyttja på riktigt.

Detta avsnitt av IT-säkerhetspodden görs i samarbete med Advania.

Inspelat: 2026-09-23 (publicerat 2026-09-27)
Deltagare: Mattias Jadesköld, Erik Zalitis och Errol Norlum.
Texten skrevs och sammanställdes av Erik Zalitis.

Medan du lyssnar – AI-plattform

Vi har pratat om det ett antal gånger redan: att AI-genererad kod mångdubblas när mängder av programmerare har lärt sig hur lätt det är att skapa lösningar, applikationer och scripts. Visst fungerar det ofta, men kvalitén på koden varierar och säkerhetsproblemen får man inte underskatta. Sen har vi diskussionen om AI-suveränitet. Denna handlar om att alla stora datacenter för AI ligger utanför Europeisk jurisdiktion. Exakt var ett sådant datacenter ligger har ingen betydelse för EU, då det är det land där företaget har sitt huvudsäte som bestämmer om landet får läsa ut kundernas data. Och Advania har en intressant lösning som de erbjuder för att på ett säkert sätt se till att koden inte kan hamna där beställaren inte har full kontroll över den. Jag och Mattias åkte till Advanias kontor i Stockholm och hamnade i en webinarstudio, vilket gör att ljudet låter bättre än normalt när vi är ute och möter företag, organisationer och specialister. Errol och vi hade en informell och mycket trevlig diskussion där vi givetvis också kom in på mer filosofiska frågor om AI och naturligtvis hur vi måste balansera uppfinnandet med regleringarna för att få en framtid vi faktiskt kontrollerar.

Här är transkriptionen av avsnittet

Mattias Jadesköld (00:08.974)
AI-området växer så det knakar. Den fyller våra nyhetsflöden och används frekvent dagligen. Det kan vara svårt att hänga med i svängarna och risken finns att man tappar kontrollen.

Erik Zalitis (00:19.854)
Ja, och här kan ett alternativ vara att man tittar på vad som händer i Sverige. Kan vi uppnå AI-suveränitet eller åtminstone ha en större kontroll över skyddsvärd information?

Mattias Jadesköld (00:35.086)
Spännande. Det är funderingen och för vi tillsammans med Errol Norlum på Advania. Och vi som utgör duen bakom it-säkerhetspodden är ju vanligtvis, jag och Mattias Jadesköld och Erik Zalitis.

Erik Zalitis (00:46.83)
”Vanligtvis” ?, vi är konstanten i ekvationen.

Mattias Jadesköld (00:51.374)
Välkommen här.

Errol Norlum (00:52.526)
Tack så mycket.

Mattias Jadesköld (00:54.222)
Ja, vi sitter här i studion här hos Advania här i Stockholm. Känns ju bra.

Du men du till vardags så jobbar du som Chief Data AI Officer. Vad gör en sådan om dagen egentligen?

Errol Norlum (01:10.222)
inte lika mycket teknik som jag skulle vilja jobba med. Men mitt ansvar handlar ju väldigt mycket om att driva AI-satsningen hos Advania. det är högt och lågt. tror att det jag älskar att göra är att träffa kunder och lyssna på deras problem. Prata mycket om AI och sen säkerställa att våra team bygger de sakerna som våra kunder behöver.

Mattias Jadesköld (01:33.038)
Just det.

AI-assisterad utveckling – kan man få både kvalité och hastighet?

Erik Zalitis (01:33.646)
Det är intressant. finns mycket att diskutera. AI är alla pratar om just nu. Men hur överkommer man problem med AI när gäller programmering? Hur får man hastighet och kvalitet?

Errol Norlum (01:46.19)
Det är väl 10 miljoners frågan. Onekligen går utvecklingen väldigt snabbt. Vi har sett på de senaste åren hur kvaliteten på koden som kommer från AI har blivit bättre. Jag är ju en stark förespråkare att man ska använda AI. Däremot tycker jag man ska använda AI på rätt sätt. Vi äger fortfarande ansvaret för det som kommer ut från AI. Om vi som har jobbat som tekniker, programmerare inom it-industrin helt plötsligt delegerar allt ansvaret.

Vem äger risken? Vem äger kvalitetskontrollen? Vem äger allt det som AI:n genererar?

Erik Zalitis (02:22.35)
Jag har lekt lite grann med tanken att sätta upp Claude i VS Code, sätta den på Fable 5.1, skru upp den till Max, eller vad heter den här, Planning Mode, och så skriva någonting i ”Make something cool and don’t screw it up”. Jag vill se vad den tänker, vad den kommer att skapa.

Errol Norlum (02:40.302)
Då gör jag det första du ska visa det för.

Mattias Jadesköld (02:42.222)
Ja, det det.

Erik Zalitis (02:43.214)
Jag ska sätta ut det på internet, jag bara säger det.

Mattias Jadesköld (02:45.294)
Men Errol, du har jobbat med AI i några år egentligen. Hur tycker du om området har utvecklats de senaste tiden?

Errol Norlum (02:51.822)
Några år så kan vi vara med precis så 20 år. För 20 år sen så var jag fortfarande i skolan, var på väg att ta examen. Fick ett jobb på Nordea som ansvarig för att sätta upp det nya bedrägerisystemet. I början så var det egentligen bara regelbaserat, det kanske man inte kan säga är AI. Men ganska snabbt så insåg jag att.

Hur Errol började sin karriär – mannen som såg brottslingarnas mönster

Mattias Jadesköld (02:57.481)
Okej, hur började det då för 20 år?

Errol Norlum (03:16.206)
Det här går att göra bättre. Och som nyexad, jätteambitiös, så skrev jag min första prediktiva algoritm för att upptäcka bedrägerier. den överträffade förväntningarna kan man väl säga. Okej. Drog ner bedrägerierna med 30 procent över en natt.

Erik Zalitis (03:31.822)
Så hur förutsäger man bedrägerier? Vad är det som är det typiska mönstret här?

Errol Norlum (03:37.166)
Det typiska mönster på den tiden var en liten transaktion för att testa det fungerar och sen en stor direkt efter. Det är absolut lättast.

Erik Zalitis (03:46.094)
Det är fascinerande att mönstren är så uppenbara. När de börjar titta på prostitution på massageställen, då tittar de på en liten transaktion och sedan 3000 spänn direkt efter. är också sådana här mönster.

Errol Norlum (04:00.846)
Och samma sak i vissa länder så visste vi att vilka ställen det var som faktiskt lurade sina kunder. Vi kunde se att kortet drogs vid något tillfälle. Oftast så blev det rapporterat stulet och sen så kom jättestora transaktioner genom clearingen senare.

Erik Zalitis (04:16.366)
Ja just det, nämligen det är intressant.

AI fanns innan det ens var känt för folk

Mattias Jadesköld (04:18.414)
Jaha, så det var liksom begynnelsen för dig då med AI. Men det kallas ju inte riktigt för AI då, eller vad ska man säga?

Errol Norlum (04:24.782)
AI har funnits ganska länge som forskningsområde. Då pratade vi mer om analytics, predictive analytics och den typen av områden. Men det har utvecklats något enormt. Idag pratar väl alla om AI. Jag skulle säga att jag jobbade 20 år och sen så har mitt jobb förändrat sig väldigt mycket på de 20.

Mattias Jadesköld (04:42.766)
Ja, precis. Vi ska ta en titt på den här plattformen som du står bakom, den där kollegorna som kallar för allt till Advania, eller AI layerTechnology. Varför har ni skapat en sån?

Errol Norlum (04:57.006)
Bra fråga. Vi ska dra bakgrunden lite. Jag gillar att lösa problem. var därför jag blev data scientist redan 2014. Det var problemlösning. är samma sak med kodning. Vi löser problem. bygger saker. Jag startade ett bolag. Jag hade varit AI-chef på HM ett par år. Nu ska jag starta ett eget bolag. Jag startade ett bolag som hette The AI Framework. Vi var ute och byggde saker. Så började marknaden förändra sig. Vi träffade Advania.

Mattias Jadesköld (05:00.11)
Ja

Errol Norlum (05:25.87)
De köpte upp bolaget. Så sen första juli 2025 så är vi en del av Advania nu. Det första jag gjorde när jag kom in till Advania, och det här gillar jag verkligen med Advania, var: ”lyssna på kunderna”. Så jag åkte runt, jag och de som var i min team och träffade jättemycket kunder. Säkert 100 plus kunder och frågade, vad gör ni? Varför använder ni inte AI? Hur använder ni AI? Vad är problemen? Vad är riskerna?

Vi landade någon gång i början av året där vi insåg att AI har nått en nivå när det är väldigt bra. Företag ser produktivitetsvinster men det tar inte fart. Då var det så varför tar det inte fart? Jo, vi identifierade ett par stycken vad vi kallar felområden. Det ena var som vi säger på engelska, ”compliance paralysis”. Vi säger engelska för det låter bättre. Compliance paralysis.

Erik Zalitis (06:19.246)
Man blir paralyserad och försöker följa reglementen och regler, eller då?

EU och dess reglering mot USA och dess okontrollerade innovation

Errol Norlum (06:23.342)
Exakt! pratar ju ”USA innovates, China imitates, and European Union regulates”.

Erik Zalitis (06:29.934)
Det är ”imitates”-bitten hade jag inte hört.

Mattias Jadesköld (06:33.486)
Ja, det är klassiskt.

Errol Norlum (06:34.83)
Vi är i EU. Sverige har också en lång tradition med liksom, vi hade ju PUL innan GDPR, vi har väldigt hårda sekretesslagar, vi värnar om personuppgifter, men med EU och hela maskinen, det är komplext. Det inte bara att gasa och köra, för vi bryter mot mycket lagare regler. Så många av våra kunder, de sa ju, låter bra, men. Och sen så hände ingenting. Så det var en de här stora grejerna vi såg. Sen så såg vi ju

Mattias Jadesköld (07:00.878)
Man orkar liksom inte sätta sig in i regelverken och sådana saker, så då vill man heller att vi väntar eller… Ja, just det, precis.

Errol Norlum (07:05.582)
Vadå? ”Better safe than sorry”. finns många av våra kunder inom reglerad industri, offentlig sektor. De nosar lite på det. De kan skaffa Microsoft Copilot och göra några prompter men får absolut inte släppa upp någon form av känslig data. Så det tar stopp, det tar inte fart. Det är ju ett problem för konkurrenskraften i Sverige tycker jag. Vi måste göra det lätt att göra rätt.

Mattias Jadesköld (07:21.838)
Nej, det stort.

Suveränitet som tjänst, är det framtiden?

Erik Zalitis (07:29.23)
En tanke är att om du använder ett AI då skickar du faktiskt data till amerikanska datacenter mer garanterat än inte eller ännu mer intressant Kina i framtiden. Då tänker man så här EU är väldigt mycket för suveränitet. Det är lite det vi kommer till.

Errol Norlum (07:46.318)
Det är ju huvudet på spiken. Det det som ofta sätter den här gränsen. Oavsett om du skickar det inom Europa är det en amerikansk ägare. exempel alla stora hyperscalers och månleverantörer. ägs ju av amerikanska bolag och ägare och finns på börser. Då lyder de under Cloud Act. Där de kan gå in och plocka data om det finns en brottsmistanke. Även fast de har operations i Europa.

Mattias Jadesköld (08:09.55)
Sätt.

Errol Norlum (08:09.966)
Eller så skickar du direkt till Anthropic eller OpenAI eller någon annan leverantör som är utom europeisk. Det är där Compliance Paralysis oftast slår till. Så det är dels regelverket vad får jag göra men också risken som man är villig att acceptera som bolag.

Mattias Jadesköld (08:24.814)
Nej, det stort.

Erik Zalitis (08:25.71)
Skulle man kunna gissa, är det rimligt att tro att någon de här företagen skulle kunna sno din data?

Errol Norlum (08:32.654)
Det är jättesvårt att säga. Risken finns ju alltid där. Vi pratar ju om Kina till exempel. Det finns ju flera case där de varit inne och snott. Det bara för att vi inte har läst om det än så länge så det kanske händer. Vi sett saker om NSA, hur de lyssnar in på saker. Jag vet inte men risken finns där.

Erik Zalitis (08:51.886)
Ja, det är en bra fråga om hur farligt det är. För titta på hur Japan funkar efter att de blev fria från USA på 50-talet. Då åkte de till alla möjliga västländer och bara skulle göra lite efterforskningar. Sen kopierade de allt. Teleapparater, brödrostar, ”you name it”. Och de var jättedålig kvalitet.

Errol Norlum (09:09.806)
Vad händer om du skickar iväg alla dina ritningar till USA på känsliga saker eller alla dina bolagsiffror innan du har levererat din årsrapport eller dina interna styr och strategidokument och sen så sitter någon där och lyssnar. Risken finns men vi vet inte.

Erik Zalitis (09:24.654)
Och sen är problemet att Japan senare blev en av de bästa elektronikländerna i världen. kunde allt. Och idag är det väl så. Kina kan gå samma väg. Kina kan bli det nya islandet som tar över.

Errol Norlum (09:36.59)
Onetligen så det här med kontroll märkte vi viktigt compliance paralysis.

Mattias Jadesköld (09:40.59)
Ja, och hur stäviga man delar dem, ska säga.

Erik Zalitis (09:40.782)
Vad det

Errol Norlum (09:43.502)
Ja men jag kommer till det. Allt var ju första frågan. Det andra vi såg, var något vi kallade Shadow AI. Vi såg att i många av de bolagen som vi jobbade med, så anställda tyckte om AI. De fortsatte att använda verktyg, en fast de inte fick. Och det blev ju en stor säkerhetsrisk för företag. Laddar upp saker i chat-GPT för att du inte orkar läsa ett juridiskt dokument på en merger and acquisition på 400 sidor.

Det som att du ger bort den datan och inte har kontroll över den. Studier visar på att 30-40%, upp till 50 % i vissa bolag, Shadow AI.

Mattias Jadesköld (10:24.238)
Ja precis, så man har sin Claude eller ChatGPT på tv-sidan av.

Errol Norlum (10:29.038)
Så vi matade in saker där. Sen såg vi det här med förmågor. Att när vi bygger beroenden mot externa leverantörer och sen så händer någonting på den geopolitiska marknaden. Trump går in och säger nej, ingen i världen får använda Fable 5. Vad händer om det läggs på en skatt på de här sakerna? En tull på 100 % på digitala tjänster? Vad händer om vi bygger ett beroende på ett helt bolag? Vi måste ha tillgång till förmågor lokalt, vad många företag sa.

Måste vi lita på datacenter utanför Europa?

Erik Zalitis (10:57.294)
Jag tycker att kommer tillbaka till det ganska mycket just nu i hela EU. Det är bara AI, allting. Ska vi verkligen ha mejlen för europeiska myndigheter i USA eller Kina eller vilket land som helst utanför. Så det ligger i tiden på något sätt. Framförallt det lägger ju lite grann tryck på andelleverantörer. blir ju en form av konkurrens. Du forserar konkurrens och jag tror inte det är dåligt.

Errol Norlum (11:15.95)
Aa, exakt.

Konkurrens är ju bra. är så vi säkerställer att man konkurrenskraftig och levererar bra tjänster. Det var ju någonting vi såg också hos kunder. Och sen sista vi såg var att kostnaderna för de här sakerna började att skena. Och när vi pratar om skenade kostnader, de stora leverantörerna hade väldigt länge gjort rabatter.

När vi signade upp oss på ChatGPT eller Klod, var ganska billigt i början och vi gasade ju på. Och sen så blev det någon timeout för att de hade för mycket usage och sådana saker. Nu sakta men säkert så ser vi att de börjar slå på kostnaderna. De rabatterar inte längre vår konsumtion.

Erik Zalitis (11:58.926)
Det är väl för att de kan inte tjäna pengar på det sättet. hela är ju att investerarna pumpat in pengar vilket innebär du har fått någonting gratis som inte är värt det. Kort sidebar om jag får. Jag hittade ett sätt att skripta så jag kunde säga till Chet GPT att ta 800 radioinslag som jag gjort förr i tiden och transkribera dem. Det gjorde den gratis. Idag skulle inte det vara möjligt. Men jag har transkriberingarna kvar.

Errol Norlum (12:23.694)
Och eftersom det är på svenska så kan du göra egentligen till en väldigt låg kostnad. Vi har ju svenska modeller som gör exakt de sakerna. Till exempel Kungliga bibliotekets Whisper. Den slår OpenAI modeller i svensk transkribering. det finns ju förmågor. De är bara inte lika kända.

Erik Zalitis (12:41.774)
Nej det sant, jag tänkte att jag fick det gratis. Den fick stå och gå ungefär två dygn. Och sen hade jag 800 SRT-filer och då bara ja tack.

Errol Norlum (12:49.422)
Ja, det är ju perfekt. Det var ju så de huckade oss i början. Och nu helt plötsligt så sitter vi där och räkningen börjar komma.

Erik Zalitis (12:57.134)
tror att det här har en viktig grej för det är att vi har någon form av situation. Det är du säger, det huck down. Du blir liksom beroende av det. Jag ser det som om man säger ett engelskt ord, wind of opportunity. Nu kan vi bygga klart alla kodbaser och fixa grejerna. det blir dyrare så får vi försöka vara smartare med utvecklingen och inte bara ta vår tekniska skuld och beta av den.

”100 applikationer – ingen av dem fungerar”

Errol Norlum (13:18.638)
Ja, och jag skulle nästan vilja utmana dig där lite också. För när det är dyrt, då är man mer medveten om vad man gör. Och när det är billigt och inte kostar något, då slar vi. Ja, exakt. Du bara slänger in sakerna. Och det är väl lite det som vi såg. Vi var ute hos kunder och de byggde saker hejligt. Och sen som vi kom på posten, nu har vi byggt 100 applikationer här, vad gör vi nu?

Erik Zalitis (13:43.822)
100 applikationer, ingen av dem funkar.

Errol Norlum (13:46.286)
Ja, exakt. Och nu vill jag göra en feature, men han som byggde den här, han har slutat och vi ingen dokumentation, vi inga processer. Han visste inte vad Git var och… Vad gör ni med det? Nej, vad är det för någonting?

Mattias Jadesköld (13:59.982)
också vara positivt också i sociala medier så det är mycket sådana här skräv… …AI-genererade filmer och bilder och sånt. kanske bör minska med sånt också när det börjar kosta mer.

Errol Norlum (14:07.374)
Vi får väl hoppas.

Erik Zalitis (14:08.494)
ju muskelbyggande katter som springer runt, va? Nej, jag tror inte, det är inte mänsklighetens ”peak of something”.

Errol Norlum (14:17.71)
Jag gillar ändå alla AI-genererade poster på LinkedIn och sociala medier och häftiga historier. Det här vi vill skruva upp priset.

Advanias plattform – hur det hela började

Mattias Jadesköld (14:27.406)
Nu ska försöka förhålla oss till manuset så här lite. Den här svenska plattformen då. De här problemen som du diskuterade här med. Hur…

Errol Norlum (14:37.358)
Så vi satte oss ner och det var egentligen ganska enhälligt när vi satt i början av året. Alla som hade varit runt och träffat kunder och försökt hjälpa dem. Vi insåg att här är ett problem. Vi behöver säkerställa att vi bygger upp lokala förmågor. Vi behöver säkerställa att känslig data behandlas på rätt sätt. Vi behöver säkerställa att man får kontroll över kostnaderna. Men vi måste också säkerställa att man har tillgång till rätt AI-modell.

vid rätt arbetslast. Så vi byggde Advania Alt. Det lättaste sättet att beskriva Advania Alt är som att det är en säker router. Tänk en API Gateway där du kan analysera. Så när du skickar in en request till den här API routern, då går den igenom och scannar den så att vi har både deterministiska regler, men vi har också AI som är probabilistiska, som analyserar och tittar vad det här för arbetslast som kommer in. Sen kollas det mot en policy.

Företaget har en policy som säger att interna siffror får bara gå till de absolut dedikerade GPU-erna, känsliga laster. Då routar vi det dit. Är det så att det här är halvkänslig data som inte gör så mycket om vi delar med andra, då går det till delade kluster. Är det så att det är öppen publik data enligt policy som du får använda klod och liknande, då routas det dit. Och så lägger vi på ett säkerhetslager på hela den processen så att vi kan säkerställa

Att känslig data processeras på rätt ställe. är egentligen grundtanken med allt. En säker router. Nu gjorde jag det väldigt enkelt.

Mattias Jadesköld (16:14.03)
Precis, men det betyder då att man inte konkurrerar med Anthropix och sådana här saker utan lägger på ett extra lager på det kan man säga. Exakt.

Errol Norlum (16:23.086)
Vi ser flera olika användningsskall. Det ena är till exempel för företag som bara vill ha en pass-through genom en säker scanner. Kan vi skicka saker till Antropic? Absolut. Du kan använda allt för de sakerna. Men också ett sätt att behålla hela den här compliance-delen. Så vad vi gör är att vi loggar och dokumenterar och skapar audit logs på allting som faktiskt går igenom. Så att kunderna kan få en full observabilitet över allt som händer.

Sen säkerställer vi att vi kan allokera både kostnader och usage till individuella användare och till olika projekt.

Mattias Jadesköld (16:55.694)
Ja, okej. Men det här som du var inne på när du pratade med olika företag och många står liksom där att man inte vågar komma igång med AI idag.

Errol Norlum (17:05.806)
Vår devis, jag nämner det en gång till det, är lätt att göra rätt. Och mycket det här handlar dels om hur är mognadsgraden. Oftast brukar jag säga, men är ni så pass omogna som organisation att ni inte ens vågar använda AI? Ja, men då måste vi hjälpa kunderna att komma igång och utbilda. För det här är ju en utbildningsdel som jag ser det. Men sen när de tar första steget och börjar använda AI på riktigt, ja, men då måste de ju vara väldigt bekväma med att deras data inte läcker.

I väg att de kan experimentera och få ut riktigt affärsvärde. För riktigt affärsvärde utöver kanske programmering som du kan bygga och få applikationer. Det kommer ju när du kontextualiserar datan eller modellerna med din data. att om du ställer en fråga, du är ett byggbolag och så säger du, jag vill veta vad min årsrapport var från förra året. Då kan AI lösa det för det är ju publikt data.

Jag vill veta vad min redovisning från förra månaden Då kan AI inte lösa det, för den har inte tillgång till den datan om du ger det. Det här vi vill hjälpa företag att känna sig trygga i att kunna använda sin känsliga data utan att den läcker iväg utöver det som de har tillåtit enligt policy.

Mattias Jadesköld (18:21.838)
Just det. om polisen är att du får använda månadsrapporten, är klåd, då är det okej.

Errol Norlum (18:27.31)
Ja men det är en riskavvägning som varje företag måste göra själva. Advania kan inte gå in och säga ni får inte. Nej det här är ju företag, privata företag eller publiksektorn. De sätter ju sin egna riktlinjer och guidelines. Men vi ger dem verktygen att kunna följa den typen av riktlinjer.

Mattias Jadesköld (18:44.91)
Och den här att man är oro för regulatoriska regelverk, om det är A-jakt, GDPR och allt vad det är för någonting därför. Hur navigerar man inte det då?

Errol Norlum (18:53.518)
Vi bygger ju in det. Vår syn är att både policies, regler och lagar ska inte leva i ett dokument. Det ska såklart finnas i ett dokument också, men det ska vara inbyggt i arkitekturen. Så vi ser ju till att de är compliant med GDPR, det finns right to erasure, det finns dokumentation, att personuppgifter behandlas på rätt sätt, men också regel efter levnad enligt EU AI Act. Till exempel hur processerar du PII, vilka beslut tas.

Du kan logga och hantera det i linje med gällande lagstiftning.

Erik Zalitis (19:25.038)
Snabbgrej bara: ”PII” betyder alltså privat information.

Errol Norlum (19:28.046)
Privatnippen.

Mattias Jadesköld (19:29.518)
Jag är ingen boss i Fightmode, så att du… Ja, precis, just det.

Erik Zalitis (19:33.422)
Känsligt område, kanske man kan säga. Ja, precis det vad det menade.

Errol Norlum (19:35.342)
Tjajaja personuppgifter.

Mattias Jadesköld (19:40.398)
Och AI Active kanske folk är oroliga för egentligen. huvudsyftet med AI Active är att vi som använder AI ska använda det på fel sätt.

Errol Norlum (19:50.062)
Exakt. Där har EU tagit flera ståndpunkter där de har sagt att det är förbjudet till exempel att göra någon form av social scoring. Så de har ju kategoriserat många olika AI use case i olika kategorier. De olika kategorierna har olika krav på sig vad man måste vara compliant med. Och sen så finns det massa generella bestämmelser att du klassificera och kunna följa upp på dina AI use case och liknande.

Det gör det väldigt intressant för det blir en väldigt stor administrativa börda om du skapar 100 applikationer med AI. Som alla genererar någon form av AI. Du tar mycket beslut hela tiden och då måste du ha kontroll på de sakerna.

Mattias Jadesköld (20:29.582)
Just det. Vad är det för problem då? Om jag skapar upp en applikation jättesnabbt med AI och så funkar det tycker jag. Jättesnyggt lännsnitt och den här verkar göra det som den ska. Vad är det för problem med det då?

Errol Norlum (20:42.19)
Har du hört när? works on

Mattias Jadesköld (20:44.398)
Nej.

Erik Zalitis (20:46.318)
på internet eller vadå bara för du kör localhost.

Errol Norlum (20:48.782)
Det är väl lite det som är skämtet. Gör vi det i vår egna isolerade sandlådemiljö och vi släpper inte in någon annan där. Då funkar det för våra behov. Problemet är ju när du börjar bygga i företag beroenden mot olika applikationer. Då är vi helt plötsligt inne i applikationshantering, operations, drift och förvaltning. Det är ju de sakerna som kanske inte alltid är de roligaste för en glad utveckla att börja hugga tag i. Speciellt inte om du inte kan…

Erik Zalitis (21:02.638)
Vad just…

Errol Norlum (21:16.43)
och du kommer från ett annat håll som är affärssidan och så säger du gör den här appen till mig och sen så visar du en fritid och säger titta jag byggde här nu kan alla användare

Erik Zalitis (21:26.222)
ungefär för tio år men efter det så sänker du servern

Errol Norlum (21:29.006)
Ja, och sen så blir det den personen som måste göra feature development och hantering av alla användarkrav och liknande. Och det här blir ett problem för i liten skala så är inte det jättejobbigt. Du kan hantera ett par applikationer på det sättet. Men har du en IT-avdelning som är beredd att hantera dina hundratals med applikationer som börjar komma nu? Och hur säkerställer du att de är säkra? Hur säkerställer du att de faktiskt är uppe? Hur säkerställer du att det inte läcker iväg massa saker? Och det börjar ju bli ett problem.

Mattias Jadesköld (21:57.934)
Du sa ju det innan vi startade upp mikrofonerna här, att det aldrig alldeles varit så lätt att skapa någonting men det är mycket svårare

Erik Zalitis (22:05.582)
Underhåller nu

Errol Norlum (22:07.15)
Jag brukar alltid prata om 80-20-regeln. Det har aldrig varit så lätt att ta sig 80 % av vägen när du ska skapa en applikation. De sista 20 har aldrig varit så här svåra.

Erik Zalitis (22:11.598)
Jag har felet.

Erik Zalitis (22:19.342)
Det tycker jag var det bästa jag har hört på bra länge. den 80-20-regeln är känd. Det jag tänker på är det du pratar om. När du väl har byggt det så blir du ansvarig för det. Helt plötsligt så bombas hela din mail med att det här funkar inte. Du inte lägga till det här. Det slutar ju med att du sitter och promtar AIT. Då är du ju totalt beroende av det. Du kan inte göra någonting själv.

Errol Norlum (22:38.574)
Jag kan se eftersom jag älskar att koda själv. Jag spenderar mycket av min tid till att bygga applikationer och testa nya saker. Så jag byggde applikationer internt på Advani när jag kom hit. Jag att det här saknar jag. Jag behöver ha den här typen av översikt och jag behöver den här applikationen. Jag får fortfarande fråga om, kan du inte förbättra det här? Det här behöver uppdateras, det här behöver integreras. Och det tar ju tid.

Erik Zalitis (23:00.846)
Det där känner jag väl till. Jag blir en hel life cycle management system med POP och PowerShell. Den hade de igång tio år efter att jag hade slutat. Då fick jag komma in någon dag och rätta till och då var jag konsult på ett annat företag. Den funkar inte längre. Jag vet inte, det är intressant. Du blir aldrig av med det.

Mattias Jadesköld (23:23.79)
Men jag tänkte på det här, intressant det här med 80-20-reglerna, om vi ser att 20 %… Vad du menar att AI har gjort så att blir svårare med de sista 20 %-erna då? Varför det då?

Errol Norlum (23:31.31)
Ja, det skulle jag vilja påstå. För att det handlar om en annan typ av laster. ser mer och mer fokus på den här typen av användare som skapar applikationer. De gör inte stora system. Det klarar ju inte AI av. Du kan inte göra en jättestor plattform. Du kan försöka. Jag garanterar att det kommer bli väldigt mycket problem på vägen. Kanske om ett par år. ska inte säga inte. Det ofta små applikationer, små arbetslaster och det blir hela Gavrens och Compliance.

För när jag bygger applikation, jag gillar att automatisera och det är ju så vi ska jobba. Vi ska pusha koden, deployment, tester, pre-prod, prod och allting ska vara automatiserat. Det ska vara kontroll, monitoring. Det innebär ju att vi behöver nästan developer-plattformar med förutbestämda arbetsflöden. Vi behöver tänka annorlunda. Vad händer när vi pushar en applikation?

Om ingen använder den ska den ligga där och ta upp kapacitet och om vi växer från 10 till 100, okej vi kanske kan managera det men det kommer bli jobbigt. Men vad händer med tusen? Vad händer med 10 000? Alla integrationer mot existerande system som finns där. att det växer ju exponentiellt allt eftersom att användningen ökar nu också och den kontrollen är ju väldigt viktigt att ha.

Mattias Jadesköld (24:38.83)
Just det. Men det här man brukar ju ofta tänka sig som att nu när alltid så lätt att skapa och bygga saker och sådana saker att många kommer bli arbetslösa ungefär för att ajta över allting. Hur ser du på det då? Om det blir mer komplext?

Errol Norlum (24:51.566)
Jag tror personligen, jag gillar siffror. vet att World Economic Forum säger att kommer skapas 30 miljoner nya jobb. Det vi vet är att jobb är under förändring just nu. Kunskapsintensiva jobb förändras drastiskt med att vara i. Programmerar liknande behövs fortfarande men vi ser ju att det är svårare och svårare att ta sig in. Det är inte lika het arbetsmarknad längre. Jobben förändras. Jag brukar dra den här analogin med

I USA i början av 1900-talet så fanns det fem bilar och 30 hästar. 30 år senare så var det fem hästar och 30 bilar. Och det är väl det skiftet vi befinner oss i just nu.

Mattias Jadesköld (25:29.102)
Nåh…

Erik Zalitis (25:32.494)
Men det är gammalt, jag tänker på spinning in January på början av 1800-talet. Hela anledningen till vi har ordet sabotage kom från franska ordet för sabot, det betyder ju trädskor. Så de kastade in trädskor i den här automatiska spinningsmaskinen för att förstöra den. Det är intressant, finns det någon sabotagevinkel mot AI?

Mattias Jadesköld (25:54.51)
Kan man kasta in en trädskå i klod?

Errol Norlum (25:57.07)
Det finns ju ett visst motstånd fortfarande mot AI. Det är intressant för vi ser att är oftast de seniora och juniora idag som är mest AI savvy när det kommer till tech och programmering. De använder det. De har gjort det från day one. När du är tillräckligt senior då är det ju klart att du använder det. Jag kan ju bara verifiera. Det här går jättebra och så kan du kvalitetskolla. Junior är så nyhetsteknik. Det klart jag ska testa de här sakerna. Vi märker att det någonstans i mitt

inte en av senioritetskurvan som man använder inte lika mycket. Man är mer skeptisk. Men det börjar ju sakta försvinna märke också. Att det blir mer och mer accepterat. Det kommer från styrelser och ledning. Ni måste använda AI och det blir ett himla tryck på de här delarna. Vad i sabotaget är det? Det är svårt att säga. Man ber AI skriva dålig kod.

Erik Zalitis (26:46.51)
Jag vet ju att folk har försökt saboterar AI genom att se till att inmatningen blir skadad. Det vill säga den går ju in och scrapar. Och det finns i princip ett sätt att förgifta AI genom att ha förberedda bilder och texter som får en spinning i en loop. Det är den typen av sabotage. Jag tycker det är en intressant sidebar.

Errol Norlum (27:03.374)
Ja, ja… Det är väldigt intressant. Det finns motstånd. Men som människor är i grund och botten lite lata. När kommer nya saker är det jobbigt att lära sig nya saker. Det är mer den här resistansen jag ser. Inte för jag ska göra dåliga saker, men snarare nåt inventer här. Nej, men… Vi har våra arbetsprocesser. Vad jag brukar säga när jag ute och föreläser, titt som tätt…

Det gör att vi måste bli bekväma med att bli obekväma. För att det händer så mycket nytt just nu. Så att alla yrken påverkas. Och det största motståndet, eller största sabotaget, det är att man inte är förändringsbenägen. Ja, just det. Det är kanske det som är tränningsmantel.

Mattias Jadesköld (27:45.902)
Det är som träskon här då. Jag tänker också att normalt sett så är yrkesvaget att det krävs ju några hundår innan man går från nyexaminerad till junior och tills man blir riktigt skicklig på yrket. Programmerare kanske eller artdirektör man håller på att rita bilder och grejer sådana. Nu när man kan göra det här, hur ska man komma in på arbetsmarknaden om man är ung? Det känns som att svårt.

Erik Zalitis (27:49.39)
Det är politiska vinkaren så att säga.

Errol Norlum (28:14.734)
Ja, visst är det skulle vara arbetsmarknadsminister. Jag blir inte tillfrågad nu efter valet. Det är intressant fråga. Tittar man vad jag tror, jag ser ju att det är lättare och lättare att bygga saker. Lättare att bygga företag, lättare att bygga produkter, lättare att sätta tjänster och så. Jag tror väldigt mycket, och min förhoppning är ju att den unga generationen som kommer nu, som är väldigt AI savvy, det att de drivs mot entreprenörskap.

Mattias Jadesköld (28:19.438)
Ja,

Errol Norlum (28:44.206)
Och jag tror att det är där väldigt mycket vi kommer att en stor boom. ser ju redan det. Sverige är ju helt fantastiska på att skapa bolag och skala upp dem. Oavsett affärsvärde så vi duktiga på teknik. Min förhoppning är ju väldigt mycket att vi ser en större mängd entreprenörer. Vi kommer att se mindre bolag som klarar av att sälja saker. Vi kommer att se bolag som skalar upp och det ju där jag tror att nästa generation kommer få sina hundår. Att de lär sig den hårda vägen.

Mattias Jadesköld (29:11.118)
Det kanske blir tvärtom att det är de här som har långa stora företag med trögare processer. Det kanske de som får det stora stålbadet.

Errol Norlum (29:17.518)
Det är vajant.

Erik Zalitis (29:18.318)
ser ju egentligen när man tittar på den kommersiella marknaden av allting i att du börjar en ny marknad med en väldig massa små aktörer. 20 år senare har du tre stora förutom som äger och kontrollerar allt. Jag kan inte se hur det här skulle bli annorlunda.

Errol Norlum (29:31.822)
Nej, jag håller helt hållet med dig. tror att det här är en guldrush just nu inom AI-världen.

Erik Zalitis (29:39.086)
många som säljer spadar väldigt få som gräver. Vi har ju som gräver ja. Eller väldigt många som gräver ännu fler som säljer spadar. Eller hackor.

Mattias Jadesköld (29:48.814)
Jättebra Erik! Och sen är också lite med de här krigsrubrikerna som är nu också. Var och varannan ser man det här. Om tio år så kommer AI ha utplanat mänskligheten och sådana saker ser man ju då. Vad har du att tanka kring det?

Errol Norlum (29:53.614)
Ha en liten…

Errol Norlum (30:07.278)
Man ska alltid vara försiktig med de som uttalar sig och talar egen sak. Det vi ser just nu på marknaden är att USA har lätt innovationen och drivit väldigt mycket bra modeller, tagit stora kliv. Och så ser vi att Kina bara steppar upp och gör destillerade modeller. De tar deras modeller, kopierar input och output och skapar nya arkitekturer som levererar på i stort sett samma nivå och sedan ger de bort vikterna gratis.

Mattias Jadesköld (30:10.542)
Tja.

Mattias Jadesköld (30:34.35)
Var med oss med Destilead.

Errol Norlum (30:35.63)
Destillerade modeller är att du använder någon av de här frontiermodellerna och så skickar du in en prompt och så får du en output och sen så skapar du en modell av det. Det innebär att du behöver inte träna om en modell från grunden utan du kan skapa en helt ny modell. Du destillerar fram en ny modell med samma performance.

Erik Zalitis (30:51.47)
Det ser vi ju att amerikanska företag gör upp i sina egna modeller. Nästa modell har lärt köra en föregående. undrar, är det bra? Blir det bättre på det sättet? Eller blir inte liksom att felen förmerar sig?

Errol Norlum (31:01.87)
Du måste ju introducera ny data för annars så blir det ju den här confirmation loop. vill säga att du tränar på dina egna sanningar hela tiden och då blir du bara en ja-sägare. Så du måste ju introducera någonting nytt. Men att använda AI för att träna är ju ett bra sätt. det är en slippery slope till att det blir bara AI-slop.

Mattias Jadesköld (31:21.998)
Men kommer mänskligheten försvinna om tio år?

Errol Norlum (31:27.15)
Vi blir filosofiska. Jag brukar säga så I for one welcome our new overlords. Vad vet vi om framtiden? Rör vi oss snabbare än någonsin har rört oss? Ja. Kommer AI bli bättre? Ja. Kommer jobben se ut likadant? Nej. Vad innebär det för oss som mänsklighet om tio år? Jättesvårt att säga om.

Mattias Jadesköld (31:28.59)
Ja, det tycker jag.

Erik Zalitis (31:33.422)
Absolut.

Erik Zalitis (31:49.07)
Det handlar egentligen om att vi har sett en exponentiell utveckling av allting vi har från 1900-talet och framåt på ett sätt vi aldrig har sett förut. då är frågan om den rakt upp mot stratosfären eller in i närmsta bergvägg. Och det har väl inte att göra AI att göra mer än att fråga om att för ett antal år sen byggde vi kärnvapen, nu har vi biologiska stridsmedel. Jag oroar mig mer för vad människor konstruerar som skador och andra än AI, som jag egentligen ser som en fördel.

Errol Norlum (32:14.19)
Ja, jag håller med helt och hållet om det. Och AI tränas ju på mänsklig data. Så det är väl på ett sätt också en spegling av vår mänsklighet. Vi kommer väl att ha i håg de här Microsoft-chatbottena. Ja, just det. Som var de rasistiska och så blev de åstängda. Och så visade sig det att tränats på sådana här forumdata. Och där uttrycktes det inte så speciellt okej.

Mattias Jadesköld (32:35.054)
Nej, forum är ju så… Nej, precis. Det finns ju något som gör lite.

Errol Norlum (32:38.766)
Ja. Det var snällt sagt.

Erik Zalitis (32:39.662)
Ja jag till.

Mattias Jadesköld (32:42.894)
Det här med att AI är ju teknik förstås men också ganska verksamhetsnära på något sätt. Hur fungerar det med laget mellan verksamheten och AI-modellerna? Hur ska man tänka där?

Errol Norlum (32:53.902)
Ja, det en jättebra fråga. När vi utvecklar AI har vi inte ens bara pratat om att alla saker är byggt. Men när vi börjar bygga beroenden gentemot AI, återigen tillbaka till ett av mina favoritämnen, drift och förvaltning. Mitt andra är compliance och governance. Men drift och förvaltning. Om du bygger en applikation som använder en AI-modell, vad händer om du byter AI-modellen? Eller om din leveratör gör en discontinue på den AI-modellen?

Mycket av det här lagret emellan är till för att säkerställa operationell drift och regel efterlevnad. För mig när vi byggde Advania Alt var en missaknad i puslet. Att vi måste knyta ihop applikationen, ofta ser det som innovationsavdelning eller någon form av affärsida, driva framåt. Compliance avdelning, tech, uppköp, kommer efter sig och upp upp upp upp upp upp. Vi måste lösa allting här emellan och få det på plats. Sen kan vi börja använda AI.

Så lagret där emellan som vi byggde det är ju att vara ni allt. Det inte en slutanvändar applikation. Utan det är ett lager som ligger mellan dig och modellerna som säkerställer, compliance, regel efter levnad, skalbarhet, säkerhet, drift och förvaltning. Det har ju varit vårt fokus.

Mattias Jadesköld (34:09.23)
Om man som företag vill jobba med sin AI-strategi, hur kommer det in i bilden?

Errol Norlum (34:15.118)
Jag menar,

Mattias Jadesköld (34:16.942)
Do it!

Errol Norlum (34:18.926)
Nej, att jobba med sin AI-strategi. Jag har gjort säkert hundratals med AI-strategier. Och jag brukar säga att du ska inte ha en AI-strategi, du ska ha en företagsstrategi. Det är alltför många som säger nu ska vi göra AI. Jag vet inte hur många mötena jag gått in när ni säger, Arlo vi ska göra AI, har styrelsen bestämt. Vad menar ni? Vi ska göra AI.

Erik Zalitis (34:39.63)
var klassiska diskussionen om en lösning som letar efter ett problem.

Errol Norlum (34:43.277)
Och AI är inte svaret. Jag är ledsen att säga det, men AI är inte svaret. Det kan vara lösningen, men det inte svaret. Är det att ni vill spara pengar, vara effektivare, ha högre effektivitet, vilja ha bättre kundeupplevelser, vad är strategin långsiktigt och hur kan vi använda AI? Eller kanske inte behöver vi använda AI. Ibland räcker en if-else-klås bara för att skapa någon form av intelligens.

Erik Zalitis (35:08.174)
Det största skämtet jag har hört är ett skämt på riktigt, det hur gör du en kod för att tala om att det första tecknet är en stor bokstav? Det är en väldigt enkel kod att skriva, det fattar du själv. Eller du kan snöra upp ditt anrop till Claude på deras Fablet 5.1 och säga att du är en kapitaliseringsexpert och har jobbat många år med detta. Du talar om om det här är false eller true.

Errol Norlum (35:33.166)
Hade det varit en kamera hade man sett mitt huvud sjunga.

Mattias Jadesköld (35:36.75)
Men okej, man har en AI-strategi och då är bra att börja så att man jobbar mot sina mål. Om man bestämmer sig för att svaret kan bli AI, hur tar man in AI på ett ansvarsfullt sätt?

Errol Norlum (35:53.102)
Ett ansvarsfullt sätt handlar det om göra alla hygienfaktorer. Det handlar om att din policy på plats och dina etiska riktlinjer. Jag brukar säga, återuppfinna inte hjulet. Många företag har gjort den här resan och har ett ställningstagande. Förankra den med vad du ska göra. Sen handlar det väldigt mycket om hur du över de här sakerna. Det är nog som är knäckefrågan.

Har vi en strategi, vill vi uppnå, vi har våra riktlinjer, vi gör det på ett ansvarsfullt sätt. Det kan vara allting från it’s all about people or customer obsession. Eller vi ska kompensera för allting vi gör som inte är klimatvänligt. Det olika företag. Sen handlar det om hur du börjar implementera, integrera och sen skala upp. Det då det riktiga arbetet börjar. Nu vill jag inte förringa allting som var innan. Men det då det börjar bli svårt. Hur påverkar?

Du går in i början och ger alla tillgång till Copilot eller liknande. kan sitta och chatta. Kommer styrelsen säga efter att det tar iväg av inga effekter och det väldigt dyrt. Sedan börjar du bygga lite mindre applikationer för att effektivisera vissa arbetsflöden. Sedan börjar du bygga om applikationer. börjar introducera agenter och automatisering. Du flyttar analys och sådana saker från människor till AI. Människor måste fortfarande vara kvar och ta av besluten. Du försöker automatisera. Du omdesignar. Det är det här som är väldigt unikt för varje företag.

Det gemensamma är det är en mognadsresa. Du kan inte börja och tro att du ska göra det mest avancerade från dag ett utan du måste driva mognad. Det är som alla nya verktyg, alla nya processer, du måste lära dig det. Det är det steget som många vill hoppa över och förstår inte vikten av change management. Att det här är människor på en resa i en organisation som aldrig har gjort de här sakerna förut.

Mattias Jadesköld (37:38.126)
Så.

Ja, och då blir det ett ansvarsfullt sätt att jobba så. Kan man säga.

Errol Norlum (37:44.654)
Ja, jag tycker ju det. lägger man ordet ansvar.

Mattias Jadesköld (37:49.646)
Ja, jag har inte sett någon klokskap.

Erik Zalitis (37:51.758)
Ja, ansvar handlar om den som blir skjuten

Mattias Jadesköld (37:58.158)
Ja, nu ska vi se. Det här kopplingen vidare till suveränitet. Hur ska man få… Varför är viktigt egentligen i suveränitet?

Errol Norlum (38:09.39)
Vi kan ju prata om suveränitet i flera vinklar. Jag gillar att säga att suveränitet handlar om att ha val. Det handlar inte om att en server står i ett garage i Sverige och så säger vi nu är vi suveräna. Utan suveränitet handlar om att ha valen, att ha kontrollen. För att vad vi ser är att kontroll är någonting som företag förlorar små beslut i taget tills de har tappat all kontroll.

Det vill säga att du förlorar lätt, som du säger till din organisation. Ni får andra, alla använda klåd. Då har du helt plötsligt tagit ett beslut att det är okej att skicka data till USA. Medvetet eller omedvetet. Om någon går och säger skicka iväg det. Då har tagit ett beslut, då har förlorat en bit av kontrollen. Om du helt plötsligt går in och säger vi ska bygga upp en data lake på någon av hyperscalers med all vår data.

har du tagit ett beslut att det är okej att saker kan vara en Cloud Act introduktion. Vad säger man? Att Cloud Act i USA kan gå in och titta på datan om det finns en brottsmistanke. Just det. Och det är ju steg för steg. Platsen för var det står, det är en del av suveränitet. Så för oss handlar suveränitet om att ha valfriheten. Vem väljer jag att hoppa i säng med när det kommer till de här sakerna? Vem litar jag på? Och vem kan jag ha ett långsiktigt beroende av?

Erik Zalitis (39:27.918)
För ett i andra ord kommer jag tänka på tillit.

Errol Norlum (39:30.382)
Ja. Vi pratar väldigt mycket om trusted AI också. Jag tror att det var huvudet på spiken. Trusted AI. Du ska kunna lita på de här sakerna.

Mattias Jadesköld (39:31.598)
Mm.

Mattias Jadesköld (39:41.55)
Precis. Jag tänkte att ska prata lite skillnad mellan kommersiella och öppna modeller också. Vad är skillnaden där om vi börjar med det? Vad innebär det egentligen?

Errol Norlum (39:56.206)
Ja, det ena äger någon IPn av och har betalt för, och den andra är öppna viktiga. Nu skäpar det lite.

Mattias Jadesköld (40:01.806)
Ja men f… Ja men de stora kommersiella känner vi till i chacka, bete och klod och så där men vadå finns det andra modeller då som jag bara kan hämta…

Errol Norlum (40:12.974)
Huggingface har typ en miljon olika modeller. Det finns jättemycket saker du kan ladda ner och köra på din egen laptop till exempel. Har du lite kraftigare hårdvara, du kanske har en workstation med GPU-er i, då kan du köra på det. Har du tillgång till GPU-server, ett par H200 liggandes över i en datorhall, då kan du köra det också. H200 är ju Nvidias, det det vi kör. Ja, det grafikkort. Det det vi kör i Advani, alltså där av referensen.

Mattias Jadesköld (40:33.038)
Vad är det här hotfot?

Mattias Jadesköld (40:40.558)
Jag ser att du ler lite här. Det kommer bli din gamingdator senare.

Errol Norlum (40:45.582)
Det var faktiskt då jag började. Jag köpte en gamingdator, plockade in fler GPU och sen så satt jag deep learning modeller där. Det var ett bra sätt att värma garage.

Erik Zalitis (40:54.926)
Jag laddar ner den och sånt där, sätter upp det på min 128 gigabyte supermaskin. Vet den någonting? Har den kunskap? Måste jag scrapea halva internet för att lära den någonting?

Errol Norlum (41:07.182)
De vet väldigt mycket. De blir ju bättre och bättre hela tiden. De bättre nästan frontier-nivå-modellerna. är ju typ… Du har ju Kimi, K3, har GLM, 5.3, 5.3 Flash som har kommit. Flash kan du köra på lite mindre saker. Ja, de är väldigt kapabla och levererar på Opus 4.8, 5-nivå någonstans där. Det är inte dåligt, men det kräver lite kraftigare saker.

Erik Zalitis (41:30.958)
Tingen till det var det.

Men då tänker jag så här, it-säkerhetsvinkeln på det hela. Om jag laddar ner en vettig bitvikt, eller hemvikt menar jag inte bitvikt men… Och så kan jag lära dig att hacka saker och ting väldigt enkelt liksom. Har en kunskap i att kunna fungera som en enkel hackare eller penntestare.

Errol Norlum (41:52.814)
Många gånger bygger de in säkerhetssperrar i modellerna. Det du vill ha är de här lite mer uncensored modellerna. De kan du göra sådana saker med. De ligger inte på frontier-nivå. Men det finns flera sådana öppna modeller utan restriktioner och guardrails. Det finns ju tillgängliga på Huggingface.

Mattias Jadesköld (42:10.286)
blir problemet om det kommer fel händer och att man kan anera en sådan och sen ner en då.

Erik Zalitis (42:14.35)
Det är inte om, det när, det har hänt.

Errol Norlum (42:16.27)
Det har hänt, det är garanterat. använder det här idag. Och det finns säkert saker vi inte ens känner till. Det finns säkert satar som har investerat miljarder i att träna upp den här typen av modeller för att få ännu mer kraft.

Erik Zalitis (42:28.526)
För det bypassar ett problem många underrättar. Tjänster har ju haft ett stort lager med zero days som de verkligen har som sin hemliga sås. De kan ta sig in var som helst. Det behöver du inte längre uppenbarligen.

Errol Norlum (42:39.79)
Nej, det är lättare att lätta. De har fortfarande inte den högsta nivån. De säger ju när de släppte Fable 5 att det skulle gå in och vi kunde stänga massor zero days och sådana saker. Hur mycket är sant? Jag vet inte. Men det sitter ju ganska många intelligenta människor och försöker hacka sig in men även att skydda de här systemen. Så det är en konstant kamp och det går ju bara snabbare och snabbare.

Erik Zalitis (43:01.646)
Och jag tänker så här att den som ska attackera måste ha tidsmomentet för sig. Den som skyddar har ju fördelen av storleken på grupp. Det är mycket fler folk som skyddar än som attackerar. Vilket innebär att om alla får bästa AI som finns så kommer försvaren att vinna. är jag ser det. Jag säger inte jag har rätt men jag tror att det är det är. Därför att det finns skalfaktor på det.

Errol Norlum (43:21.806)
och hoppas i unik.

Errol Norlum (43:27.566)
Och jag tror att det som är viktigt är ju att den typen av organisationer som skyddar har verktygen. Jag kan säga att jag har sett många organisationer, jag ska absolut inte nämna några några, men som jobbar med lite sådana här saker. De har inte tillgång till det. De jobbar med en IT-infrastruktur som är från 50-talet tror jag ibland.

Mattias Jadesköld (43:46.766)
Ja, och sen det här du nämnde förut, och att ta mognadsstrappar om man säger som Erik då, att det tio personer som jobbar med säkerhet. Ja, har man inte samma möjlighet med moderna verktyg, då får man ju slåss mot en AI-modell som kanske jobbar som hundra människor då.

Erik Zalitis (43:59.534)
Ja, så grejen är att det här du kommer in på i det jag har pratat flera gånger om i podden som jag kallar för the long tail problem. Det vill säga djuret är säkert, typ den långa svansen av sämre skyddade miljöer som du säger 50-tals teknik liksom. Det är de som är problemet. Men det jag tänker evolutionärt sett, ja men det löser sig själv. De går under.

Errol Norlum (44:19.054)
Ja, vilket vi kanske inte vill för vissa kan ju till och med vara kanske samhällskritiska.

Erik Zalitis (44:25.966)
Men det är bättre att ha än att en lågt kokande konflikt där allting är uppe men allting är hackat, allting är övertaget, allt data har läckt. Jag säger till det värre problemen att jag bara går ner.

Errol Norlum (44:37.038)
Ja, det tror jag också.

Mattias Jadesköld (44:38.67)
Men det här med Errol, du sa att om jag har en liten kraftföljare, laptop eller dator hemma kan jag bara gå till någon sån sajt och ladda ner den och leka då med en?

Errol Norlum (44:48.622)
Det finns massvis av olika sätt. Du har till exempel Lama. Det är typ som Shutt GPT. kan ladda ner på datorn. Via där har de förpaketerat massvis av de här modellerna. Det egentligen bara en knapptryckning. Du går in på terminalen eller du använder gränssnittet. Och så laddar det ner mycket av de här modellerna. Och då är det din dator som egentligen bara är stoppet.

Vill du vara lite mer avancerad? men gå till Huggingface. Kolla vilka modeller det finns. Ladda ner dem. Paketera dem. Det kan du göra väldigt snabbt och enkelt. Och sen så kan du vara igång och köra OpenCode. Så du kan sitta på flyget och koda med de här modellerna.

Mattias Jadesköld (45:28.11)
Ja, men det kanske är lite kul att leka med för de som nu fick en brev. Helt enkelt. Någonting man ska göra med öppnande och de här kommersiella produkterna. När ska man välja vilken närvaro?

Errol Norlum (45:42.446)
Vi brukar säga att det här är ett arbetslastproblem. Det handlar om vad du har för arbetslaster. Du ska använda de öppna modellerna om de är bäst för din arbetsuppgift. Det här är jättesvårt att hålla koll på om Hug-N-Face har en miljon modeller och så visste hur många frontier modeller som helst. Vad är den bästa då? Vi beslöt oss för att i Advaniaalt så har vi benchmarking. Så att vi gör tester och rekommendationer på vilka som är de bästa.

Vi ska skapa en smart router också. Ska du gå till cloud för den här arbetsuppgiften eller ska du göra en on-prem modell? beror på vad arbetsuppgiften är och så ska vi hjälpa till att routa dig i framtida versioner. Men det är svårt problem. När du har en miljon modeller, ja, du måste hitta ditt case och så måste du hitta rätt modell för det. Det finns ju till exempel exempel på Kungla biblioteket. De har ju en open source modell som de har fine-tunat på svenska språket. Den är transkribering bättre än OpenAI Frontier modeller.

Och då finns det lite sådana här. Så vi ser att en del specialiserade modeller kan ha bättre performance på vissa arbetsuppgifter. Så sitter du på flyget, vad är det du ska jobba med? Ladda ner en liten sådan modell så kan du få på den arbetsuppgiften ganska bra performance.

Mattias Jadesköld (46:50.542)
Just det. Och då kan man nog kombinera det. Att vissa saker vill jag köra i klod och vissa saker vill jag kanske köra i min…

Errol Norlum (46:55.438)
Det det vi säger när vi pratar om de här okontrollerade finanserna när det drar iväg. Jag tror att det bästa vi ser i framtiden är att vi använder de mest komplexa arbetsuppgifterna. Klodmappa upp hela min kodbas, ge mig en migrationsplan, mappa upp alla dependencies, förbättringsåtgärder, gör en feature backlog och så vidare. Gör planen och analysen.

Sen tar vi små agenter som är mer specialiserade på att skriva koden som är för det projektet. Då använder vi dem och då drar vi ner kostnaderna. Vi använder Clod och Anthropic senaste modeller för riktigt komplexa saker. Där är de i framkant. Lite enkla arbetsgifter delegerar vi ut till våra agenter som gör mer specialiserade saker.

Mattias Jadesköld (47:43.31)
Och Giddy och Bamma behöver också ha kompetens och en organisation att veta när man ska använda vad.

Errol Norlum (47:47.886)
Många de här, ta typ OpenCode och liknande, och även Antropic har ju i Cloud Code, de har ju olika skills som gör det åt den. Det finns ju till exempel en skill eller plugin som heter Get Shit Done. Den hjälper ju till att profilera vilken modell ska använda för olika arbetsuppgifter.

Erik Zalitis (48:08.878)
Åh, det ingen dålig grej. Det undrar man alltid. Haiku på Klauden är ju väldigt billig. Inte så bra svar. Fable och Opus 5.5 är dyrt utan bara helskott. Men då kanske den gör get shit och handel.

Errol Norlum (48:23.342)
Du använder Get Shit Down för att få en bra segmentering av vilken modell jag ska använda. du inte bara sitter på fabelmodellerna. Sen kör du Caveman-pluginnet också. Då minimerar den mängden texten skriver.

Erik Zalitis (48:37.614)
Så kompackt är det när man ser det.

Mattias Jadesköld (48:39.854)
Och så har ett AI som väljer ut vilken AI du ska välja.

Erik Zalitis (48:42.83)
Det stod såhär, vad behöver vi människor till? Vi ska sitta och trycka in nya blood server i racket.

Mattias Jadesköld (48:45.198)
Ja.

Erik Zalitis (48:53.07)
När kommer robotöja, då kan vi bli riktiga cavemen och de får ha sitt samhälle för själva.

Mattias Jadesköld (49:01.198)
Ja, det här var väldigt intressant ämne. Jag fick gå tillbaka till manuset här, men vi spinner vidare. Det känns jättekul att snacka om det här. Har vi täckt i det här AI-området?

Errol Norlum (49:13.262)
Jag brukar säga, AI kan jag prata om i 100. Det finns så mycket att prata om. Jag brukar ofta sammanfatta hela AI-diskussionen med att det ska vara lätt att göra rätt. Vi vill framåt, vi vill använda tekniken, vill få med oss människorna. Men vi måste säkerställa att vi gör det på rätt sätt.

Erik Zalitis (49:17.934)
Håll med här!

Mattias Jadesköld (49:32.654)
Ja men det var bra avslutning. Ja, vi ska väl säga så här helt enkelt i det rollet.

(Denna transkription är automatiskt genererad och kan innehålla felhörningar)

Länkar – AI-plattform

• Advania
• EU AI Act

Felaktigheter

Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #338 – En svensk AI-plattform dök först upp på IT-säkerhetspodden.

Mattias Jadesköld och Erik Zalitis tar tempen på området som alltid tycks vara aktuellt och nära men samtidigt aldrig blir riktigt klart. Hur pass långt utvecklad är kvant-tekniken? I teorin uppkom tekniken i början av 80-talet men var står vi idag? Och hur orolig ska man vara att de krypton vi använder idag kan knäckas när som helst? 

Vi tar en titt på RSA, dess nyckelutbyte och problem kopplat till PQC.  Mikael har minsann en intressant vinkel på området! Avsnittet bygger på en FOKUS-kväll hos SIG Security.

Inspelat: 2026-09-08 (publicerat 2026-09-21)
Deltagare: Mattias Jadesköld, Erik Zalitis och Mikael Simovits.
Texten skrevs och sammanställdes av Erik Zalitis.

Medan du lyssnar – kvanttekniken

Här är transkriptionen av avsnittet

Programinledning (00:00.11)
Detta avsnitt av IT-säkerhetspodden görs i samarbete med SIG Security, Sveriges största och äldsta organisation för it- och informationssäkerhet med över 300 medlemmar. SIG Security främjar kunskap inom seminarier, samarbeten och konferensen GTC som hålls vartannat år.

Mattias Jadesköld (00:23.822)
PQC eller Post-Quant-Krypton står på dagens agenda. Avsikten med PQC är att skydda oss mot en framtida quantdator. Ja, men det låter ju som rena framtiden. Måste vi förbereda oss redan nu och i så fall hur byter man till Post-kvantum-Krypton? Ja, det är du Erik Zalitis. Det får vi undersöka tillsammans med Mikael Simovits idag. Du lyssnar på IT-sättspodden och jag är Mattias Jadesköld. Välkommen Mikael!

Mikael Simovits (00:52.11)
Tack, tack!

Mattias Jadesköld (00:54.958)
Vi brukar göra en podd baserat på fokuskväll och det här var lite av din take på en av fokuskvällarna. Fokuskvällarna. Fokuskvällarna helt enkelt. PQC. Berätta varför du gillar det här ämnet.

Mikael Simovits (01:13.518)
Jag är ju egentligen… Jag vill ju kalla mig kryptolog egentligen, men det var ett ämne som jag intresserade av när jag pluggade på Chalmers för 30 år sedan eller 35 år sedan. Och jag…

Jag så intresserad så till slut fick jag jobb och blev ansvarig för kursen i kryptoteknik och även föreläst på DSV och KTH. Krypto är någonting som ligger mig väldigt varmt om hjärtat. sen, i och jag pluggade elektroteknik och just då med inriktning lite grann mot kvantfysik hållet så är det här en sak som har fascinerat mig väldigt länge, även kvant.

krypto eller kvantdatorer var liksom ett nytt koncept då eller i kryptosammanhang då med i slutet av 90-talet då.

Mikael – en konsult med känsla för kryptografi

Mattias Jadesköld (02:03.854)
Det blir fortfarande intressant och aktuellt. Men till vardags driver du en konsultfirma. de breda repertoar, inte bara krypton, hur börjar säkerhetsarbetet?

Mikael Simovits (02:18.062)
Ja, som sagt, jag började ju med krypto tyckte att det där var jätteintressant. Det här var ju mitten av 90-talet. Men jag tänkte att det är mig väl ute i näringslivet och jobba. Och på den tiden som var intresset för krypto i den civila sektorn lika med noll. Jag glömmer aldrig en anställningsintervju som jag var på där…

Det var en HR-människor som frågade mig hur det kommer sig att en arkitekt söker jobbet inom IT-säkerhet eller ADB-säkerhet som det hette på den tiden. då arkitekt, ja det är ”kryptor” han tänkte på då och inte kryptoteknik. Så det var ju ganska osäktsigt det ämnet inom 90-talet. Så då blev det IT-säkerhet och då var det så jag gled in i det och började jobba en hel del med nätverkssäkerhet.

Slutet på 90-talet blev jag rekryterad till ett företag i Stockholm som inte gick så bra. Där var det i princip så att jag raggade kunderna själv. Jag köpte datorerna för att göra jobbet själv. Jag köpte läroböcker för att lära mig det hela själv och kunna leverera. Det enda jag inte kunde var att fakturera. Det blev en ganska djup övergång till att…

starta företaget och sin musik och allting. Nu har vi hållit på i 30 år och i 18 personer.

Grunderna först – vad är en kvantdator?

Mattias Jadesköld (03:42.862)
Okej, det är ju inte dåligt. Ja, spännande. Men nu ska vi ta oss en titt på postkvant-krypton. Jag tänkte att vi skulle sätta det här för det är ganska komplext för alla våra lyssnare. Vi sätter i slags sammanhang. Om vi börjar så här, vad en kvantdator?

Mikael Simovits (04:02.99)
Ja, vad är en kvantdator? I en vanlig dator så använder man bitar som ettor och nollor och då kan en bit vara antingen ett eller noll. I en kvantdator så använder man så kallade kvantbitar och själva tanken är att den ska innehålla alla möjliga resultat samtidigt och på det sättet få fram ett svar.

Man inte förklara det hela på en djupfysisk nivå. Man brukar säga att det ingen idé att försöka förstå. Man kommer ändå inte förstå och jag förstår inte själv. Men man kan i alla fall säga att själva grundkonceptet är att man använder kvantbitar istället vilket gör att kvantfysiska fenomen… Vilket gör att man kan effektivisera vissa typer av problem. Kvantfysiska problem skulle man kunna säga.

Förstå att det inte är slutet för all kryptografi, men dock ett stort problem

Erik Zalitis (04:57.838)
Om jag förstått det hela rätt, och du får korrigera om jag fel här när man talar om qubits, de här bitarna, så ju fler du har, desto mer kan du göra massiva parallella beräkningar. Om du kan knäcka ett väldigt svårt krypto eller en krypterad dataström så kan du få en otrolig hastighet i hur du brute-force det hela. Att du kan lösa väldigt, väldigt säkra krypto knäcka dem på väldigt kort tid istället för att det tar miljarder år med den datakapacitet vi har idag. Är det rätt?

Mikael Simovits (05:25.454)
Både ja och nej. Det funkar för vissa krypton som RSA och ESSC, ”elliptic curve cryptografi”. Men för vanliga krypton som AIS, är ett vanligt blockkrypto, där ger det inte något speciellt, någon speciell effekt. Så att man kan inte likna en kvantdator med en normal dator som…

löser alla typer av problem. När man tittar på kvantdatorforskningen så är det så att vissa kvantdatorer kan bara lösa vissa problem och andra kvantdatorer kan lösa andra problem. Men det finns inte någonting i deras design som säger att det här kommer bli en ”general purpose computer” för att lösa vad som helst. Så de är väldigt specialiserade och fokuserade på vissa typer av problem.

Erik Zalitis (06:22.83)
Det är en väldigt bra sak du säger där för jag tänker att har hört att alla kryptografi kommer att totalt bli värdelös när kvantdatorn kommer. Men vad du säger i princip är nej så enkelt är det inte.

Mikael Simovits (06:35.822)
Nej, det är precis så. att man… Det är egentligen bara de här asymmetriska kryptorna RSA och ECC som man liksom behöver ta sig en funderare kring i det här sammanhanget.

Kvantdatorns historia

Mattias Jadesköld (06:51.566)
Vi kommer lite mer på djupet kring det. Om vi tar historien här, hur började egentligen idén med kvanttekniker och kvantdatorer?

Mikael Simovits (07:02.062)
Det var väl fysiken Richard Feynman då som i början på 80-talet föreslog att man kunde bygga en dator med kvantfysiska komponenter då för att lösa kvantfysiska problem. sen efter det så hände det inte särskilt mycket för i alla fall i ett kryptosäkerhetsperspektiv då förrän mitten på 90-talet då Peter Schorr presenterade sin berömda Schorrs algoritm.

Han skulle kunna visa hur en kvantdator skulle kunna knäcka ett kryptosystem som RSA, mycket enklare än en vanlig dator. Den här algoritmen är det som har triggat säkerhetsdiskussionen kring RSA och ECC. Sen har man försökt utveckla en kvantdator sen 1994 på olika sätt och vis.

Det har väl gått sådär skulle jag säga, men andra är ju betydligt mer positiva än vad jag är då.

Mattias Jadesköld (08:05.006)
Men bara lekmanamässigt då, varför vill man ha en kvantdat? Jag tänker att vi har ju så himla amasserade datorer nu liksom som kan AI och allt vad det är för någonting. Varför behöver man det här till?

Mikael Simovits (08:17.55)
Kvantatorer är väldigt bra i…

Jag ska säga så här…

När det gäller att räkna på väldigt komplexa kvantfysiska problem eller proteiner eller andra sådana här saker som man kan nörda ner sig i som forskare i princip. På det sättet snappa upp beräkningarna jämfört med vanliga dator. Man kan ju få enorma beräkningsfördelar med en kvantdator när det gäller den här typen av problem.

Sen funkar den också på vissa kryptosystem. Det finns en användning för dem. Det finns problem som man skulle vara glad att man skulle kunna lösa. Det skulle föra forskningen framåt, särskilt inom fysiken. Med stormsteg om man då skulle kunna lyckas bygga en bra kvantdator.

Kvantdatorer? Det låter fint, kommer jag kunna köra Linux på den?

Erik Zalitis (09:16.974)
Det jag tänker är såhär, vad säger de Windows Quantum Edition eller Mac Quantum eller Linux Quantum? Skulle man kunna tänka sig att du får en bättre, snabbare, säkrare dator för att sitta och skriva dokument, skicka mail och sådana grejer eller är helt fel lösning?

Mikael Simovits (09:34.734)
Det är helt fel kontext skulle jag vilja säga. Det går inte… Jag tror att det är en liten förvirring. Så som jag uppfattar i alla fall att man betraktar en kvantdator som en dator i dagens läge.

Mattias Jadesköld (09:51.246)
Men det gör han inte riktigt, nej.

Mikael Simovits (09:53.198)
Inte riktigt, utan den har ju vissa möjligheter att beräkna vissa typer av problem om den skulle funka. Vi kan komma till det lite grann senare, för de funkar inte så där jättebra. Så när vi ändå börjar prata om vad forskningen med kvantatorer egentligen befinner sig i då. Det är lite mer intressant.

Erik Zalitis (10:01.486)
”Om det skulle funka”, låter…

Mattias Jadesköld (10:18.51)
Ja, men okej, så att då kommer vi förmodligen inte i framtiden ha en Kvantotter under skrivbordet eller gå med den i handen liksom.

Mikael Simovits (10:25.294)
Nej, den kanske i bästa fall finns hos någon myndighet eller forskningsinstitut eller något sådant. I alla fall kanske inte under våran livstid kommer vi att ha någon lätt bärbar kvantdator. Det tror jag är svårt för mig att se, men man vet ju aldrig. Jag tänker inte slå vad om att äta upp med min hatt eller någonting sånt där, för man vet ju aldrig kring forskning. vet ni inte.

Eriu Zalitis (10:48.27)
Jag hoppa du gillar salt. men en fundering också är såhär, vad är AI-vinkeln på det här? Kan kvantdatorer gifta sig med AI? Är det bara en dröm eller?

Mikael Simovits (11:00.046)
Det har jag faktiskt inte läst någonting om. tycker att båda AI och Kventator är lite grann av drömmar med viss praktisk förankring. att det låter spännande. Det låter som talet från en Asimov-roman. Eller som iRobot där, som kan man läsa.

Erik Zalitis (11:23.502)
Är det lite kul för jag läser just den bokserien. Men det låter ju bra science fiction-mässigt. Kvantrobotar med AI. Sen att det finns någon riktig substans kanske. Men hur som helst, kan väl gå lite på djupet med det här RSA som du pratar om. Vad är RSA egentligen då?

Mikael Simovits (11:45.902)
RSA är en kryptoalgoritm som återuppfanns på 70-talet. Jag vet inte om det mitten eller slutet där. Det står för Rivest, Chamir och Edelman. var de tre personerna som kom på dem. Det är en finurligt sätt att…

kryptera på så att man kan säga att man har två nycklar. En nyckel för att kryptera och en nyckel för att dekryptera. Den nyckel man använder för att dekryptera är hemlig och man har den bara själv medan den andra nyckeln som använder för själva krypteringen kan hela världen få.

Det här funkar ganska finurligt därför att man kan vända på det och säga så här att om jag krypterar med den hemliga nyckeln och alla kan läsa mitt medlande, då kan alla läsa mitt medlande och det det som är den digitala signaturen. Den här algoritmen kan ju användas väldigt fördelaktigt för att till exempel nyckelutbyte för vanliga kryptosystem men också för digitala signaturer.

och bekräfte identiteter och sådant. Så det är ju en grundpelare i hela den kryptosäkerhet som finns.

Mattias Jadesköld (13:05.774)
Just det. Och det är helt aktuellt idag och det används i de flesta… Många IT-systemar. RSA, kryptot. Ja, men okej, RSA. Men digitala signaler… Det är dagens kryptering i fara, Varför då då?

Erik Zalitis (13:13.038)
Ja.

Mikael Simovits (13:23.79)
Om det är så att man tar fram en kvantdator som kan knäcka RSA och SCC med de nyckelängderna vi har, är ju i princip hela vår infrastruktur för kryptering förstörd. Det betyder ju att man kan bryta alla sessioner, kan förfalska signaturer, man kan ge ut nya kryptonycklar i någon annans namn, man kan göra liksom allt möjligt.

Man kan också då ha spelat in jättemycket information tidigare och när man då kan knäcka det här kan man ju läsa all den information som finns. Och det väl det som är den stora hotbilden om någon skulle lyckas ta fram en kvantdator.

Teorin, om man då lyckas bygga en sån här maskin, den skulle ju då få en förödande effekt på säkerheten på hela internet skulle man kunna säga.

Mattias Jadesköld (14:32.014)
Just det. Då har amerikanska NIST gått ut med rekommendationer. De sen år tillbaka har presenterat en slags PQC-algoritmer. Vad innebär det?

Mikael Simovits (14:45.966)
Då har man haft en tävling och tagit fram algoritmer som är kvantdatorsäkra och ska ersätta det till…

RSA och ECC och kunna användas då både för nyckelutbyte och digitala signaturer. Och man har ju då pushat det här bytet ganska hårt från myndigheter, från NIST, men det ju också varit företag som varit hårt drivande i den här frågan. att det är en…

och en stor samling trovärdig aktörer som har pushat det framåt. Naturligtvis är en fungerande postkvantum-kruto väldigt bra. Men har också visat sig att under tävlingen när man försökte hitta de olika kandidaterna var de möjligtvis säkra mot kvantatorer men kunde knäckas på konventionellt sätt.

Man har pushat fram de här lite för hastigt. Frågan är skall jag då… Man har hamnat i ett dilemma. Behöver vi de här postkvantumkryptarna just nu? Det finns ingen kvantdator. När det kommer att en kvantdator vet vi inte egentligen.

Det har ju blivit lite grann av ett dilemma. När NIST ger ut kryptoalgoritmer och föreslår kryptoalgoritmer, så när NIST föreslår en kryptoalgoritm, så garanterar de egentligen kryptoalgoritmets livslängd typ fyra år. Så att man säger att alla ska vara beredda att byta kryptoalgoritm om fyra år igen. Och om det inte finns en kvantdator om fyra år.

Mikael Simovits (16:44.334)
Varför ska vi då byta till ett postkvantum krypto? Och om det då blir brister i de här postkvantum kryptorna som vi kanske inte är riktigt beredda på, som kan knäckas med konversionell kraft, då hamnar vi i ett ännu värre dilemma.

Erik Zalitis (17:02.99)
Jag tycker det är intressant det du säger för när man tänker så här, nytt krypta dyker upp och det är vanliga AES hade det här problemet. var ingen som använde det de första åren för det ingen som litade på det för det var oprövat. Men många av oss senare så har ingen lyckats riktigt knäcka det och det innebär att med vissa siffor, sweets och sånt där så är det en juans att det här kan du lita på. Om du byter var fjärde år kommer du någonsin kunna lita på de här nya grejerna? Kommer de någonsin kunna nå en mordnadsgrad?

Erik Zalitis (17:32.686)
VAR.

Mikael Simovits (17:33.294)
Det inte så du ska byta var fjärde år utan du ska vara beredd på att byta var fjärde år. Det är en liten skillnad. De här kryptalgoritmen brukar ju hålla en 20-30 år innan de måste bytas ut. Som exempel dess som kom då i mitten av 70-talet och sen i början på 2000-talet så tyckte man ju att det här är ingen höjdare utan det här måste vi byta ut.

Kryptosystemen har ju en begränsad livslängd. Man kan även se det på RSA. I början tyckte man att en 256-bitars nyckel i RSA var tillräckligt.

Och sen var det 512 och sen ökar man till 768 och sen var det 1024 och sen 2048. Nu är det 3072 och kryptonördarna tycker att det ska vara 4096 eller ännu högre.

Erik Zalitis (18:33.07)
Här kan man lägga en historisk vinkel på det hela. Varför inte skruva på det maximala redan från början? Och svaret är, på den tiden hade vi inte processorkapacitet att kryptera utan att det tog enorm prestanda. Så att skruva upp RSA till 4096 runt 1999 var ingen bra idé.

Mikael Simovits (18:53.294)
Nej, det var ju inte det. Men man var ju tvungen att anpassa nyckelängden hela tiden, allt upp till hotet. Så vi har ju redan bytt. Alltså man kan ju egentligen säga att varje gång vi kommer med en ny ny ny ny ny ny ny ny ny ny ny ny så har vi hela det här hotet, record now, decrypt later problemet. om vi då plötsligt kommer fram till att vi måste höja till 1024 men alla RSA krypton som är under 512 är i princip knäckbara.

Och så att man har hela tiden det här dilemmat liksom med krypta att man måste liksom hänga med utvecklingen, göra justeringar. Man kommer på att det finns vissa kryptomodes som inte fungerar och då måste man byta så att det är hela tiden en kontinuerlig process.

Erik Zalitis (19:42.414)
Lite grann tänker jag också så här att det gäller att dekryptera inom rimlig tid. För det handlar ju om att få mer och mer prestanda varje generation med Morslag och allting. Vilket innebär att inom rimlig tid är det sex miljarder år. Men två år då behöver vi tänka om det verkligen verkligen verkligen hemligt och fortfarande värdefullt efter den tiden. Då är det helt plötsligt två år inte en jätteomöjlig tid. man säger så. Det är man tror måste tänka så eller hur.

Mikael Simovits (20:10.478)
Ja, man kan ju titta på det här med krypto på flera olika sätt. Jag tror att många blandar ihop kryptots användning i civilsektor och militärsektor. Så i militärsektorn är kryptots huvudsakliga syfte att upprätthålla sekretess.

Mattias Jadesköld (20:25.422)
Ville tack!

Mikael Simovits (20:35.886)
Därför betraktar man kryptosystemen bygger kryptosystemen för att hålla sekretessen. Men i den civila sektorn så är krypto inte ett sekretesskydd primärt. Primärt är ett sybesäkerhetsskydd, ett transportskydd eller ett petskydd för hackers.

Om det inte är klartext är det rätt jobbigt att mickla för en som vill göra ett dataintrång eller komma åt saker och ting. ur ett kryptografiskt sekretessperspektiv, så fort du har nånting gjort i mjukvara så kan du inte lita på att den sekretessen hålls.

Även om det är 4096 bitar eller vad det nu än är. Så krypto på internet som vi har idag har så många inbyggda kryptografiska fel i sig. Så man kan inte lita på det ur ett sekretessperspektiv. Men däremot kan man lita på det ur ett cybersäkringsperspektiv.

Erik Zalitis (21:36.398)
Jag är inte helt i med om med om ska vara ärlig. Jag tänker att man snackar om ”CIA-triaden”. Konfidentialitet är möjligheten att hålla nånting hemligt. Det tror du kallar sekretess. Integrity är hindra någon från att ändra dataströmmar. Availability är det är tillgängligt. Men vi kan stryka åt och fråga ni om vad är skillnaden mellan vad du kallar sekretess och vad jag kallar konfidentialitet.

Mikael Simovits (22:02.99)
Det är egentligen ingen skillnad i sekretess och konfidentialitet. Jag tror vi menar samma sak där. Om man kan säga så här bara ur ett enkelt perspektiv när man har ett mjukvarukrypto så kan man alltid härleda.

sig tillbaka till själva kryptonyckeln i ett cybersäkerhetsperspektiv. Så säg att du krypterar en fil med 4096 bitar. För att låsa upp den RSA-nyckeln så har du ett lösenord och du har valt lösenordet i sommar 2019. Då är ju den dimensionerande säkerheten för det här

filen sommar 2019 och inte 4096 bitars kryptonyckel. Det är det som är problemet när du har din mjukvara för du kan alltid härleda bak till den osäkraste delen i det hela.

Men om har det implementerat i hårdvara och har olika typer av inlåsningsmekanismer och tamperingmekanismer och allt möjligt och olika typer av gränssnitt och self destruction, då kan du hitta på alla möjliga grejer. Då får du en annan typ av incapslad säkerhet, säga att det är omöjligt för någon att läsa nyckeln, du har en pincode för att…

Får nyckeln att göra beräkningar men har ingen insyn i hur beräkningarna görs och du kommer aldrig kunna få det och försöker manipulera dig till det. Då förstör du utrustning och kanske också även nyckeln då i det.

Erik Zalitis (23:44.238)
I det här civila kan man säga att man kanske inte går på som hackare och knäcker kryptinsaluritmen utan snarare kanske då leta efter att använda en dålig lösnord helt enkelt. Ja men det är väl egentligen det som är saken när det gäller att hacka grejer. Man går inte på den svåraste biten, man hittar inte den enklaste vilket gör att alla delar måste vara säkra.

Så att du har perfekt kryptering är inte en garanti men du kan inte ha dålig kryptering och allt annat är säkert för då blir ju det durrningen.

Mikael Simovits (24:14.862)
Så det är en balans mellan allting.

Mattias Jadesköld (24:17.934)
Men om vi tillbaka till lite NISTs rekommendationer då, ska jag tolka dig som att du tycker att de är lite för snabba med att göra den här rekommendationen igen nu eller?

Mikael Simovits (24:31.79)
Det var rätt roligt. Jag såg en panelsamtal med NIST och många av kändaste kryptologerna och Google och hela sköret. Då frågade de NIST varför de det just nu. Vad är just den frågan? Vi fick det som uppdrag. De lade ingen värdering i varför de gör det.

Han som drev det här, han har fått det som uppdrag. Vem som gav uppdraget, det vet jag inte. Varför fick de uppdraget? Det diskuterades inte heller. Det finns säkert någon som vet. Jag tror att det här har drivits på med min uppfattning, och det kan vara rätt eller fel. Det här har drivits på av en hype kring kvantdatorer.

Och det ena har på det sättet lätt till det andra. Det låter fruktansvärt häftigt med kvantatorer och postkvant krypton. Det är en cool grej helt enkelt.

Mattias Jadesköld (25:38.254)
Men om jag jobbar som en ponitig avdelning och börjar bli lite orolig för det här, vad ska jag då? Behöver jag postkvantum?

Mikael Simovits (25:54.222)
Jag tycker inte att man behöver oroa alls. Man kan skynda sig i lagom takt när det finns ett nytt…

OpenSSL-paket som stödjer PQC, då ska man inte säga nej utan det kan man lika väl installera. De här postkvantumkryptorna tar inte så mycket beräkningskraft utan det de tar med är mycket ramin och bandbredd jämfört med RSA.

Det inte så att man dör, utan det som är problemet är om man ska tillämpa det hela i smarta kort eller i mindre IoT-devices. Det är där man börjar få problem med att implementera PQC. Men däremot när grejerna kommer finns det anledning att inte installera det. Men däremot så behöver man inte pusha för att installera PQC. Det är ungefär det som helst.

Mattias Jadesköld (26:55.534)
Så ingen panik ända.

Mikael Simovits (26:58.862)
på lång tid.

Mattias Jadesköld (27:00.462)
Jag har precis varit inne på det lite där. Har vi långt kvar till en kvantdator?

Mikael Simovits (27:08.014)
Några stora företag i IBM, Google och många som forskar inom området vill säga att vi kommer att en kvantum armageddon 2030-2035.

Erik Zalitis (27:27.278)
Vi har samlat på där där ”armageddon” ganska länge. Från det att kärnvapen blev tillgänglig, biologiska stridsmedel, AI-apokalypsen, internet smälter. Är vi verkligen rätt ute genom att se existentiella risker och allting?

Mikael Simovits (27:43.502)
Personligen tycker jag att vi människor har lite för lätt att oroa oss. Men det är kanske det man ska göra när man jobbar i säkerhetsbranschen. jag kanske pratar emot mig själv. Men om man då tittar på kvantdatorutvecklingen så är den ju extremt… Det är väldigt, väldigt mycket kvar.

Mattias Jadesköld (27:55.598)
Det är en bra komp-

Mikael Simovits (28:12.558)
Men man försöker göra ett sken av att det är stora framsteg. Man närmar sig problemet ur två håll. Det ena är att man…

Vi har matematikerna på ena sidan som säger så här skulle vi kunna göra för att knäcka kryptorna enklare och effektivare. Nu sätter vi upp ett antal antaganden om vi har detta och detta och detta och detta. Då skulle vi kunna göra en beräkning på det här och det här och det här sättet. Och på det sättet reducera tiden eller antalet kubitar som krävs.

för att knäcka kryptoalgoritmerna. är det ena som man läser ibland i publikationerna. Den andra delen är själva hårdvaron och utvecklingen av den så kallade kvantdatorn. Man får ett sken av att när de gör de här förbättringarna i algoritmerna att utvecklingen går framåt. Men det kan också vara så att man kan se det som att man gör antaganden om

hårdvaran som ännu inte är realiserade. Det finns en osäkerhet i presentationen av hur utvecklingen går framåt. Som cybersäkerhetsforskaren Peter Guttman säger att det är bara smoke and mirrors. är hans syn på hela kvantdatorutvecklingen.

Om man tittar på hur långt man har kommit. I min presentation var jag snäll och sa att vi en qubit. Den ska vara stabil. Vi ska kunna beräkna med qubiten i 28 800 sekunder för att knäcka en 2048 bitars RSA-nyckel.

Erik Zalitis (30:16.526)
Det här är ju intressant för då tänker jag att RSA i princip har varit standard för allt typ av HTTPS, TLS, SSL och liknande. Har vi bara riktigt gammal trafik från 90-talet, 20-hundratalet eller någonting, då borde vi kunna dekryptera så otroligt mycket hemligheter när det här kommer. Det kanske inte är värdefullt idag, men historiker och arkivister kommer tycka om det, det kan jag säga.

Mikael Simovits (30:40.558)
På 90-talet kan du, om du har spelat in saker från 90-talet, du knäcka det redan idag med en vanlig dator.

Mattias Jadesköld (30:47.598)
Det är för sig sant. SSL2 är inte jättesäkert.

Mikael Simovits (30:51.598)
Nej, men även kryptonyckelängden var kort på 90-talet. I dagens läge har man tävlingar på faktorisering av RSA-nycklar. Man har kommit upp till rätt bra värden. Det är bra bit. 750 bitar klarar man lätt idag att faktorisera.

Så att det som kvantdatorn är det att man kanske skulle klara 2048 i tanken. Det finns ju inte en chans att vi skulle komma upp till den nivån rätt så snart om det inte blir en väldigt stor matematisk genombrott. Men det intressanta med kvantdatorn är ju då att…

Vi säger att den måste vara stabil. Vi ska ha ett antal kubit, ungefär en miljon kubits. De kubitarna ska vara stabila i 28 800 sekunder. Vissa kan falla ner, för vi har en viss redundans och fel lager. Problemet är att om vi är snälla så håller en fysisk kubit i en millisekund.

Då är vi snälla. IBMs senaste dator, som de kallar för Boston, där har qubiten en stabilitet på 250 mikrosekunder. Det vill säga att det är en fjärdedel av en millisekund. Det vill säga att själva qubiten faller sönder. Så man försöker bygga så kallade logiska qubitar som består av kanske…

tusen vanliga fysiska kubitar så brukar man ha en fel tolerans. Men även de då rasar sönder efter kanske ungefär tio millisekunder och det är jag också snäll.

Mattias Jadesköld (32:45.518)
Men vad menar du med att en rasa sönder? Går någonting fysiskt sönder liksom?

Mikael Simovits (32:49.614)
Det är inte fysiskt sönder men den kan inte hålla tillståndet. Det viktiga i en kvantdator är man har det här läget då då biten innehåller alla lösningar samtidigt på en gång.

Det är väl den enkla, populärvetenskapliga beskrivningen. Man kallar det för superpositionering. Då är det så att den ligger i balans. är ungefär så att den balanserar. Om man skulle säga att en kula balanserar i ett magnetfält. Då gäller det att den ligger kvar där. När kulan trillar ur magnetfältet, eller på något sätt trillar till ett värde, då har den rasat.

Men den måste då liksom vara stabil och orka göra alla beräkningar utan att falla ut ur det här tillståndet.

Mattias Jadesköld (33:37.774)
Okej, och det har man ändå inte lyckats med allting.

Mikael Simovits (33:40.142)
Nej, man är väldigt långt ifrån den nivån. att man säger så vi har 10 millisekunder för en logisk qubit. Och då säger man, vi kräver då kanske 2 000 eller 2 000 eller 3 000 logiska qubits för att knäcka en 2048 bitars RSA då om vi då refererat till de artiklar som har presenterats.

Det som den största och senaste kvantdatorn har är en logisk qubit. Det är den som Google tog fram Willow för några år sen. Man har då lyckats bara göra en kvantdator som har en logisk qubit. Den håller inte särskilt länge. Jag vet inte riktigt när Willow Den borde väl ha kommit…

Mikael Simovits (34:40.237)
2024 skrev jag med en tipp ungefär att den kom, Willow. Sen efter det så har det inte kommit någon ny från Google. De har ju kommit längst för är de för IBM som är den stora spelaren mot Google. De har fortfarande inte lyckats skapa en logisk qubit. Så man har ingenting att egentligen räkna på.

För att göra det lite mer lätt förståeligt och förstå hur långsamt utvecklingen har gått så i början på 2000-talet så lyckades man då med en kvantdator, speciellbyggd kvantdator, faktorisera 15 till 3 gånger 5. Det lyckades man vid början på 2000-talet. Sen tog det 10 år och med en dator som var ungefär 100 gånger så dyr.

Så 2012 ryckades man då faktorisera 21 till 7×3. Sen så tog det 10 år till. Man upprepade den här bedriften då 2016. Och sen början på 2020-talet eller slutet på 2010-talet så försökte man faktorisera 35. Det är 7×5.

Det misslyckades man med. Så det är kodet att dela upp en siffra med en kvantdator och då visste man redan resultatet från början. är sju gånger tre och det klarade man 2006 då. Att nu skulle klara siffror på liksom 500 siffror ett tal och faktorisera det med en kvantdator inom fem år. Det ser jag som väldigt svårt.

Erik Zalitis (36:29.486)
Okej. Det märkliga är att vem som helst som har lärt sig grundskolans multiplikations-tabell kan göra det här i huvudet när det är pass enkla tal. Jag förstår absolut varför det här är ett problem. Det känns lite märkligt att den är på den nivån.

Mikael Simovits (36:52.878)
Så att det kommer ta en stund innan man kommer till den nivån att man kan överhuvudtaget beräkna och knäcka en godtycklig RSA-nyckel. I alla fall inte de närmsta tio åren. Jag svårt att tro att det sker under de närmsta fem till tio åren. Men om man väl börjar lyckas göra det, då kan man ju börja titta på

The law of accelerating. Man kan säga så här, men kapaciteten fördubblas var artonde månad. kan man ju räkna på detta. Morslag. Morslag, ja. Så kan man ju räkna på det tills man har uppnått den nyckelängde 2048 eller något liknande. Nu har vi inga bitar över huvud taget att ens räkna på, men när man väl börjar så kanske man lyckas faktorisera

Ett tal på hundra bitar är något liknande och så säger man, nu har vi lyckats knäcka hundra bitars RSA med Schorrs algoritm med en kvantdator. Det är ett jättegenombrott men sen så kanske det tar ytterligare 18 månader innan man tar 200 bitar och sen ytterligare 18 månader tills man tar 400 bitar och sen ytterligare 18 månader tills man tar 800 bitars nyckel och sen så

Det ta fem år efter att man har lyckats med en hundrabitars nyckel.

Mattias Jadesköld (38:26.51)
Sen ska man kunna sätta en kvantdator i händerna på angripare. Det låter inte som att enklast att komma över att är ganska dyrt.

Mikael Simovits (38:42.574)
Man har ett annat dilemma som angripar, vilken nyckel ska vi knäcka? Det är också en rolig grej som man aldrig tänker på. Om jag ska knäcka en kryptonyckel vill jag veta att den energi, arbete och investering jag gjort för att knäcka nyckeln ger ett bra resultat.

Men jag vet ju inte vad resultatet är när jag väljer vilken kryptonyckel. Jag kan ha en gissning och en förhoppning om det. Det är lite grann som att man går på skattjakt och gräver grupper och hoppas att hitta en skattkist. Varje grupp du gräver leder ju inte till silver. Man kanske får gräva 50 eller 100 grupper först innan man hittar en jackbot.

Så det är ett dilemma som har som angriper. Hur vet jag vilken kryptonyckel jag ska knäcka? Och så man att man ska knäcka de här CA-nycklarna och de som styr utgivningen av nycklar. Ja, märker någon att det finns en falsk nyckel ute på internet? Ja, då kollapsar ju det systemet. Det har ju hänt tidigare att man inte haft koll på nycklar som man har gett ut.

Och då har liksom i Holland varit det någon nationell SEA som liksom gick i konken på veckan bara, på grund av att de inte hade koll på kryptonycklarna. att även om man då lyckas knäcka grejerna så måste man hålla det här så hemligt så att det inte på något sätt märks. För märks det så läggs ju systemet ner omedelbart.

Mattias Jadesköld (40:25.614)
Det här tog en lite rolig vändning för trodde du skulle komma här med att det här är nya grejer som kommer när som helst och så många kryptor och de som pratar kvantatorer så där men okej du tona ner dig lite kan man säga ju.

Mikael Simovits (40:39.854)
Ja, men jag tycker att man ska göra det tråkiga jobbet istället. Det vill säga att patcha sina serverar och konfigurera dem rätt. Vår överlevnad ligger ju inte på användning av postkvart krypto när det gäller cyber-säkerhetsattacker.

Utan det är ju faktiskt den allmänna hygienen, allmänna ordningen och redan att ha liksom väl uppsatt säkerhetsinfrastruktur. Det är där som vi klarar oss mest. Det ju inte postkvantokryptot som kommer avgöra överlevnaden.

Mattias Jadesköld (41:16.974)
Det är det.

Det känns som att vi har dyrt en titt på PQC. En bra runda. Men om man ändå är nyfiken eller orolig kring det här ämnet. Vad tycker du man ska göra då? Om man ska börja någonstans.

Mikael Simovits (41:40.174)
Man kan göra mycket sätt. Man behöver inte byta till PQC. Man kan ju naturligtvis göra det. är ingenting som är big no no. Tycker man att man ska göra det så ska man naturligtvis hoppa på vatan. Men det som man kan fundera på är att hela tiden se hur långt har utvecklingen egentligen gått.

Vad har man lyckats att faktorisera egentligen? Nu är det ju tre gånger sju som är rekordet från 2016 tror jag det. Och vi jobbar fortfarande med fem gånger sju. Men den dagen vi börjar komma upp då kanske att vi lyckas knäcka ett RSA 128 bitar eller liknande. Då börjar man ju vara lite vaken helt enkelt.

Det är en grej. Den andra grejen är att man kan faktiskt höja nyckelängden på sina befintliga RSA. Att ha en 16 000 bitars RSA nyckel köper ett antal år från 2000.

pratar om det här axidrationen som är var artonde månad där nyckelängden man dubblar kapaciteten att knäcka saker och ting. Så man kan ju köpa sig mycket tid genom att bara förlänga nyckelängden. När det gäller digitala signaturer så det ju en åtgärda att ha offline-kopior på dem.

Det som är online går att förfalska men om någon ifrågasätter signaturen kan man titta på den som är lagrat offline. Då kan man säga att det var den där nyckeln som gjorde det istället. Då kan man verifiera på det sättet. Man behöver inte styra sig blind på att PQC är det enda som höjer säkerheten. Man kan höja säkerheten på flera olika sätt.

Mattias Jadesköld (43:47.278)
Just det, ett utskrivit pappet med en signatur helt enkelt.

Mikael Simovits (43:50.606)
Det går bra också, men man kan ha det på backupband eller en DVD eller något liknande så att man behöver inte ha det så jobbigt då.

Mattias Jadesköld (44:03.31)
Men bra, var det någonting mer du funderade på Erik?

Erik Zalitis (44:06.00)
Jag tycker det är intressant och jag tycker att det är en väldigt nykter bild av det. Därför att det är väldigt lätt att se folk som nästan litegrann vill sälja konceptet. De kanske inte har en produkt att sälja eller ett koncept utan mer att det här kommer bli så otroligt häftigt. Men på något sätt måste man ändå se vad det hör hemma i verkligheten och ta bort den här drömmen om att alla kommer ha en kvantdator i kylen.

Eller det är såhär, nya kvantum som är en Raspberry Pi 8000 liksom. Ja, för att bara avsluta en kul grej. hade en person som var lite speciell som intervjuade här för ett antal år sedan. Och hon sade inte i intervju men efteråt kommenterade hon att, ja jag har en kvantdata vid källaren. Vilket jag är lite svår att tro på, men…

Mikael Simovits (44:40.494)
Det skulle vara coolt.

Mikael Simovits (44:57.774)
Man vet ju aldrig.

Mattias Jadesköld (45:02.254)
Nej. Ja, men tack så mycket, Mikael.

Mikael Simovits (45:08.782)
Jättetrevligt. Se fram emot att höra det själv sen.

Erik Zalitis (45:14.094)
Ja, det här har varit ett avsnitt av IT-säkerhetspodden och vi hörs igen om en vecka.

(Denna transkription är automatiskt genererad och kan innehålla felhörningar)

Länkar – kvanttekniken

• Mikaels konsultfirma

Felaktigheter

Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #337 – Hur nära är kvanttekniken? dök först upp på IT-säkerhetspodden.

Året är 2026 och många är bekymrade över artificiell intelligens. Men inte Anders Sandberg på Institutet för Framtidsforskning. Han ser problemen och utmaningarna som lösbara och framtiden full av potential. Idag talar Erik Zalitis med Anders om var vi är nu och hur 2030 kommer se ut. IT-säkerhetspodden har diskuterat AI långt innan det blev populärt och nu är det dags att se framåt men också bakåt: vad hade vi fel om och när förstod vi vart vi var på väg? Det handlar om den kommande AI-kraschen, Kinas senaste utspel, hur AI hackar allt, om AI någonsin kommer hitta på en ny konstform, varför allting verkar skena just nu och även varför vi inte ska oroa oss över SkyNet och robotar som ser ut som Arnold. Det finns dessutom mycket att lära om hur Sovjet-Ryssland såg på Ronald Reagan och dagens fruktan för framtiden.

Inspelat: 2026-09-10 (publicerat 2026-09-13)
Deltagare: Erik Zalitis och Anders Sandberg.
Texten skrevs och sammanställdes av Erik Zalitis.

Medan du lyssnar – AI

Här är transkriptionen av avsnittet

Erik Zalitis (00:11.086)
För några år sedan började it-säkerhetspodden prata om AIs utveckling och många gånger har vi mött Anders Sandberg som forskar på en hel del saker och ting som framtidsstudier och han är med oss här idag för att snacka om var AI står 2026, lite spaningar och titta in i framtiden. Välkommen Anders!

Anders Sandberg (00:31.182)
Tack Erik, det är jättekul att vara här.

Erik Zalitis (00:33.198)
Ja, så vi möts igen helt enkelt.

Anders Sandberg (00:35.886)
Yes, det väl här då man ska sitta där med att stryka sin katt och ha några laser. Tyvärr har inte budget för det på institutet.

Erik Zalitis (00:44.206)
Nej, jag förstår det och framförallt så kan jag tro att det är lite halvt tråkigt att använda gamla bond-metaforer när världen ser ut som den gör idag. behövs strikt sett inte. Vi har våra egna relativt kreativa ondskor har vi inte.

Anders Sandberg (00:57.262)
Ja, vi har ju en del riktigt bra superskurkar. Jag har ju min egen mentala lista, vad miljardärer jag mött som är bond-skurkar. Det finns de som är på den goda sidan också, men det finns ju en del intressanta figurer. Men det är ju också det att våra metaforer för hur världen funkar ofta formar hur vi tänker på framtiden.

Erik Zalitis (01:18.542)
Ja, jag tänker det också.

AI – ett område med riktigt dåliga metaforer

Anders Sandberg (01:19.886)
Det finns en klassisk framtidsforskningsbok Fred Pollack, bilden av framtiden från 50-talet. Den är helt bortglömd idag. Som all riktigt riktigt lyckad forskning så tycker man idag det självklart. Han menar ju att vi resonerar om framtiden genom att vi drar upp bilder. Vi har standardexempel på olika saker som alla ungefär känner igen. Så om man talar om AI och så säger någon Terminator så tänker sig alla det där skelettet eller kanske någon svartsnäger som säger någonting coolt.

Den använder vi när man börjar tala om AI-risk på Goto.

Erik Zalitis (01:51.694)
Ja, just det. Det är vår go-to-guy för att förklara vad AI är på nåt vis.

Anders Sandberg (01:57.262)
Ja, vilket inte ens är en särskilt bra förklaring. En skelettliknande robot som är efter dig är inte nödvändigtvis en bra beskrivning. Men Pollack’s poäng var ju att varje samhälle använder de här bilderna och att skapa nya bilder är inte alltid så lätt. Ibland händer det ju att någon konstnär eller författare kommer på en bra grej. Till exempel idag när folk vill illustrera AI så är rätt många som är lite trötta på Terminator. Så de använder istället då exmakerna.

Erik Zalitis (02:11.246)
Nej.

Anders Sandberg (02:25.23)
Där är det kvinnlig robot som inte är lika fysiskt farlig men det är mer mystiskt hotfullt.

Erik Zalitis (02:32.974)
Jag läser just nu faktiskt Asimovs robotböcker där. Och jag tycker det är intressant. De har ju två robotar som… Den ena ser ut som en robot och den andra är väldigt mycket som en människa. Och jag tycker det är en intressant grej. Dessutom kanske jag började fokusera AI på… Det måste vara en robot. Den måste ha en presens i världen, fysisk. Men de AI vi pratar om idag, de har ju inte det.

Anders Sandberg (02:57.454)
Nej, de flesta är synnerligen abstrakta. I många fall är de mycket märkligare än det mesta du hittar i science fiction. Asimons robothistoria, det finns ju en hel del om AI där också, men han skrev ju på 40- och 50-talet. Så han beskriver ju liksom enorma byggnader fulla med datamaskiner. Det blev rätt, men hans idé var att den där stora datamaskinen är en enda varelse.

Men även han tänkte faktiskt lite framåt. talar ibland om multivakter, sammankopplade AI-system som dominerar världen i en del av hans historier. Men hans bild var ju fortfarande någonting som var en individ. Medan våra AI-system, de är lite märkligare. Det är både en individ och ett kollektiv och den splittras och grenar ut sig och ibland sammanflätas då.

Är de inte någon form av personligheter, ändå?

Erik Zalitis (03:45.71)
Jo, och sen har vi ju det här sättet vi antropodmorferar, jag kan inte säga ordet ordentligt. är så här, är väl Claude, ChatGPT, de har ju blivit som personligheter för oss, har de inte det?

Anders Sandberg (03:58.19)
Personligheten är ju ett sorts interface. man ska dra lite exempel från science fiction så har vi TV-serien Ghost in the Shell. Den tv-serien förekommer en spindelriknande stridsvagnsrobot. De har personligheter som som glada skolflickor. Det mest fascinerande med tv-serien är att ibland ser man igenom det här och inser att personligheten är ett overlay.

Erik Zalitis (04:12.59)
Ja, visst.

Anders Sandberg (04:24.11)
Det är ett interface ovanpå vad som egentligen är högst främmande gruppintelligens. Men de där små glada skolfickertjuten de distraherar och i många fall kanske man bara ser det. För vi människor tenderar att reagera mer på något som är människor likt än något som faktiskt är gruppintelligens av spindeliknande stridsvagnar.

Erik Zalitis (04:44.014)
Det säger de, vi ser ju liksom, tittar på ett moln och ser att det där ser ut som Carl Bildt eller det är liksom Donald Trump och vad som helst.

Anders Sandberg (04:53.614)
Problemet är att vi utformar våra system. Jag har ofta klagat på att chatbotar stör mig. De utger sig för att vara nåt människoliknande. Man interagerar på ett nåt människorliknande sätt. Jag tycker i många fall om att använda Tomé som en expansion av mig själv. När verkligen kan programmera kommandona ett system- då är det jag och systemet är ett. Men chatboten måste jag hålla på snacka med den där ”Clauden”.

Erik Zalitis (05:12.782)
just det.

Erik Zalitis (05:21.23)
Du vill kunna tänka! Den expanderar dig. Jag helt inne på det. Jag köper det rakt av. Jag använder Claude rätt mycket för programmering. Men det jag som styr allting. Det jag som gör programmeringen. expanderar. Jag har byggt huset. Den bygger fönster. Men jag säger, sätt in ett fönster där.

Anders Sandberg (05:38.254)
En riktigt bra assistent läser dina tankar och du vet vad du kan och inte kan göra. När man samarbetar riktigt bra blir det sömlöst. Men mitt problem med de här agenterna är att ofta blir det lite klantigt. Det är lite som problemet med uncanny valley för robotar. Gör du en robot som är människorliknad, men det inte tillräckligt människorliknad så blir det väldigt störande. Samma sak gäller också när man gör chatbotar. Fram till nyligen var det ganska ofta att det inte riktigt stämde.

Erik Zalitis (06:00.238)
Ja ja ja ja,

Anders Sandberg (06:08.046)
Samtidigt är det många människor som absolut verkar föredra att ha att göra med någonting som liknar en människa, snarast den det här mer abstrakta. Och det är en stor marknad och många bolag gick och skapade på det sättet.

Erik Zalitis (06:15.278)
Ja, oj, jag stod…

Och så frågan om AI-botten är en sann vän eller till och med en romans

Erik Zalitis (06:20.27)
Ja, och det tycker jag är en intressant spaning i tiden. Vi har en tendens att det har varit en epidemi av folk som skapar riktiga vänskasband och till och med romancer med olika AI. Därför de är ju byggda för att de behandlar dig på det sätt du beskriver att du vill bli behandlad.

Anders Sandberg (06:38.67)
Ja, det går ju att få dem att trycka tillbaka. Jag lade in i systemprompten ganska tidigt om en ifrågasätt. Sen när man gjorde senare modeller av Claude lite mer ifrågasätt i grunden så blev det en väldigt motvalsfigur. Vilket jag fann ganska stimulerande.

Erik Zalitis (06:55.214)
Ja men…

Ja, tycker du betalar inte för någon som håller med dig.

Anders Sandberg (07:01.678)
Nej exakt. Men det intressanta med romansen delvis handlar ju om att du vill ha någonting som är persistent. Och chatbotten vi har idag är egentligen inte ens persistent. Det är en varelse som dyker upp enbart i den diskussion du har. Och när du avslutar diskussionen så upphör den här varelsen att existera. Den kanske börjar existera igen om du återtar diskussioner efter några år. Men det är fortfarande inte samma sak. Det här är ju lite annorlunda mot vad folk vill ha för sina vänner.

Erik Zalitis (07:31.406)
Ja, just det. Du vill inte ha någon som har någon form av amnesi. Jag säger, Anders Sandberg, okej, bra. Vänta, ska jag bara hämta min claude.md och läsa in vad jag vet om dig?

Anders Sandberg (07:42.35)
Det intressanta med det här är att en del av oss har varit på nätet ganska länge. Det gör att vi finns i träningsdata, vi finns i vikterna. De större AI-modellerna känner mig.

Erik Zalitis (07:54.062)
Ja, och de vet inte vem jag är. Det är inte så konstigt för den andelen. Du har ju lite större footprint än de flesta

Anders Sandberg (08:00.846)
Det är både bra och dåligt. Anta att jag byter åsikter om allt. Jag blir fräns. Jag bestämmer för att gå med i KD. Jag börjar förfäkta en massa åsikter. Det kommer inte att stämma särskilt väl med vad de har lärt sig från alla mina postings om liberal-transhumanism från 90-talet. Det kan bli mycket märkliga effekter om man har levt långt och händelserkt liv där man byter åsikter.

Erik Zalitis (08:22.35)
Ja, precis. Men jag tänkte lite grann, det här är väldigt bra start på diskussionen. Jag vill gå tillbaka till du nya, sköna värd inte Aldus Huxley i Boken utan det avsnitt vi gjorde med dig. Du nya, sköna… vad nu vi kallade den? Det avsnittet, där snackade vi om hur AI skulle se ut 2030. Men då året var 2023, det tre år sedan.

Anders Sandberg (08:46.414)
Vilket innebär att vi talar om ett halvt århundrade i A.I. världen.

Erik Zalitis (08:50.51)
Exakt, det det som är grejen. Det är så att det är fundamentalt, det är något jättefel i det. Det bara det att så mycket har förändrats.

Anders Sandberg (08:57.358)
Där har vi nog en av de viktigaste förändringarna. Framtiden kommer mycket snabbare nu. Jag var ju visst en framtidsoptimist 2023. ansåg att framtiden skulle bli bra, mycket radikaler och komma snabbare än vad normala människor tycker är rimligt. Men nu har jag varit tvungen att uppdatera och idag kommer mycket snabbare än vad jag trodde.

En exponentiell tillväxt och en snabbt kommande framtid

Erik Zalitis (09:18.094)
Exponentialt, det är svårt att bedöma.

Anders Sandberg (09:21.998)
Det är alltid svårt att bedöma och exponentialfunktioner är ju famöst svåra. De flesta tänker fel om dem. det som har hänt här egentligen är att en del teknologier har liksom sammanflätats. Om går tillbaks till 2023 så fanns visslechattbotterna och LLM hade börjat visa sig vara ganska så bra. Det var en revolution utan like. Den enda motsvarigheten var ju när neuronet började fungera verkligen bra kring 2012.

Det var en chock för oss inne i fältet att skalar vi bara upp när rånet är långt bortom vad som är rimligt. Med mycket mer dator än vad vi tyckte var rimligt och med mer datorkraft så blir resultaten otroligt mycket bättre än vad alla våra teorier säger. Det var liksom den första chocken. Den andra chocken var och nu tar vi då och språkprediktion. Det känns ju som en nischad grej. Oj, vi får fram saker som påminner om tänkande.

Erik Zalitis (10:15.374)
Ja, jag ser det.

Anders Sandberg (10:15.854)
Vad som sen har hänt är att det har spridat på mycket mer för det har blivit användbart nog för att göra mycket programmering och mycket AI-forskning och vi får fram mer och mer tänkande i någon lös bemärkelse. Man inte ägna ett helt program och bara käbla om vad vi menar med tänkande och intelligens här.

Erik Zalitis (10:32.59)
Absolut, då har vi en idé om vi har någon tid över någon gång.

Anders Sandberg (10:35.822)
Någon weekend över.

Erik Zalitis (10:37.614)
Ja, det räcker ju knappt, men okej.

Anders Sandberg (10:40.91)
Det spännande är att vi har fått insikt att vi får överraskningar. När man skalar upp saker kommer nya förmågor. Sen 2023 hade man ju just börjat tala om scalinglås. Det här är en idé som säger hur mycket bättre blir prestandan på att träna nu i rånet? Om man ger det mer träningsdata eller mer träningstid eller bara större datorer. Det visar sig att om man ritar upp det här på ett log-log diagram

Erik Zalitis (10:53.71)
Jaha, vad innebär

Anders Sandberg (11:09.774)
så följer de här kurvorna en ganska rak linje.

Erik Zalitis (11:13.838)
Förklara det för mig som om det vore fem.

Anders Sandberg (11:17.934)
När jag tränar ett neuronet ger den träningsdata. Jag visar en bild och den talar om vad den tror att det är. Det där är en ko. Det var en katt. Då korrigerar man nätverket så att nästa gång är det lite närmare att att det är en katt. Så kör man igenom det här många gånger och ser till att felet i dess prediktioner blir mindre.

Det kan vara att identifiera bilder, att förutsäga nästa ord i en text, att göra drag i schackpartier och att vinna partiet på slutet. Målet är att minimera förlusten, velocity, hur det avviker från det bästa tänkbara. Då får man en kurva som sjunker. Den börjar uruselt och så tränar man mer mer. Där sjunker den ner ungefär exponentiellt, med diverse hack och komplikationer på grund av tekniska skäl.

Men om man ritar det här diagrammet på stor skala, vad händer om man ger en 10-trenningsdata, 100-trenningsdata, 1000, 1 miljon, 1 miljard, 1 triljard träningsdata. Så visar sig de här kurvorna bli förvånansvärt jämna raka linjer. Det vill säga, jag kan förut säga att om jag bara hade en dator som var 10 gånger större så skulle jag få så här mycket bättre resultat.

Erik Zalitis (12:30.638)
Och det är mer än 10, det skalar inte linjärt. 10 gånger större är inte 10 gånger bättre.

Anders Sandberg (12:34.638)
Tvärtom, tio gånger större är förmodligen något procent bättre.

Erik Zalitis (12:40.27)
Oj, det är alltså ”diminishing returns” ?

Anders Sandberg (12:42.638)
Jätte-diminishing returns. Hade det här varit en annan industri så hade ju liksom ingenjörerna och forskarna suckat med sin låga effektivitet och cheferna hade tyckt att göra någonting bättre. Men i det här fallet händer något fantastiskt. Du får förutsägbarhet. Du kan gå till investeraren och säga om vi får pengar för det här hundra gånger större datacentrat så kommer prestandat att bli så här. Och då kan man säga vi kan förutsäga det här ganska skarpt. Det var ju lugnande.

Då är vi intresserade av er och de där miljarderna, trilliarderna ni behövde.

Erik Zalitis (13:14.894)
Jag tänkte

Industrin rusar som ett snälltåg, men var går resan?

Anders Sandberg (13:16.622)
Det spännande är att det här är det som ligger bakom den här enorma ruschen att investera. Jättestora datacenter och mycket AI. Men sen kommer den lilla knasiga twisten på det hela. Bara för att jag halverar det där felet i träningen vet vi inte hur prestandan blir. För den riktiga prestandan är ju hur nöjd användaren är. Hur bra den spelar schack, hur bra den löser matematiska problem. Här sker ofta konstiga skutt.

Erik Zalitis (13:42.126)
Just det.

Anders Sandberg (13:45.55)
Det här är lite märkligt. Om jag var investerare skulle jag mer vilja veta hur bra är den här på att programmera? Snarare än hur bra är den på att få låga fel på träningsdata? Ändå har man satsat på de här inlärningskurvorna och det här har drivit den här enorma finansiella hypen kring det hela. Ursäkta nu, jag är avbröt.

Erik Zalitis (14:05.71)
Ja, just det. Det är helt okej. Det var jag som har berett dig. I alla fall, vi har tänkt att vi skulle göra så här. Vi kör lite spaningar. Om du kommer ihåg spanarna på Petra programmet. Jag tänkte att nämner ett par saker som är här och nu. Så får du fundera lite grann på det. Och då tänker jag att den första observationen är 2023 var AI-coolt. 2026 där vi är nu. Alla använder AI till allting.

Vad tänker du om det?

Anders Sandberg (14:36.622)
Det är ganska rimligt. är en användbar billig form av tankekraft. Vi har ofta brist på tankekraft. Tänka är ganska jobbigt. Även om tänkandet du får från AI inte är det bästa tänket– –så det fortfarande… Det är skönt när jag utrangerar det. Mycket av det vi gör om dagarna är vi gör saker efter vanor. Vi gör som vi gjorde förut. Våra hjärnor försöker optimera för att tänka lite lagom mindre.

Erik Zalitis (14:44.078)
Nåååå

Erik Zalitis (15:03.662)
Ja, just det. Så det är en fråga om convenience. Vad är problemet med det här då? För det problemet…

Anders Sandberg (15:09.678)
Många oroar sig om att vi slutar tänka helt och hållet. Det är jag inte så övertygad om. Att vi outsorjar vårt tänkande till andra är egentligen okej. Det är det mänsklig kultur bygger på. Men finns en risk att vi outsorjar till saker som vi inte är helt pålitliga. 2023 hade man jätteproblem med hallucinationer. Alla hade hysteriskt roligt att ha program och hitta på saker.

Det är fortfarande ett visst problem, man måste kolla upp det här lite grann. Men det har blivit mycket, mycket mindre problem. Men många inbillar sig att man inte lita på vad AIN säger. Vilket på sätt och vis är jättenyttigt. om vi hade kritiskt sinnelag om det vi hörde så skulle värdet vara betydligt bättre. Problemet att folk litar på folk. Och vi människor är ju minst lika otillförlitliga som AIN i många fall.

Erik Zalitis (16:01.102)
Det har jag tänkt på också mycket om den här grejen är ju fel så ja, då hade jag knurrat själv. Det är inga problem.

Anders Sandberg (16:07.118)
Det var ju som ett exempel jag såg i mitt flöde i morse här då, där det var en högt uppsatt chef i Washington som var ansvarig för många AI-relaterade frågor som inte trodde AI-botten kunde fylla i ett spreadsheet-formulär. Vänta, det här är 2026. Klart, ja. Och min gode vän som berättade om det här visade honom att det var ju totalt trivialt. Men han fick gärna mothugga från någon på Twitter som sa att den gör ju fel ändå.

Erik Zalitis (16:21.742)
Nåååå

Det klart.

Anders Sandberg (16:37.23)
Min vän undrar, men vänta, hur mycket fel är ett problem? Även om den gör 99 procent rätt så är det ju inte tillräckligt, vi kan ju inte lita på den. Men vänta, gör du 99 procent rätt när du fyller i ett formulär på en dator? Svaret är att ingen människa gör någonting bättre än 99 procent om det inte är otroligt enkel uppgift. Grejen är ju det att vi ofta kollar om vi gjorde fel. Kollen.

Erik Zalitis (16:57.646)
Jag har en del…

Anders Sandberg (17:03.886)
Den brukar kunna få en 99 % chans att upptäcka felet. Men jag skulle inte inbilla mig för fem år att jag skulle fylla i hundra formulär felfritt. Det tror jag inte.

Erik Zalitis (17:16.334)
Nej, det kan jag köpa, men betänk det att när vi tittar på datorer så säger vi datorer gör inte fel. Du har den här grejen att en människa blir trött, okoncentrerad, skriver in i fel kolumn och grejer. Det ska inte ett A göra.

Har Asimovs science-fiction böcker något att säga om AI och robotar?

Anders Sandberg (17:29.966)
Den ska inte göra det, men den gör ju det. Det är lite för att vi har en bild av vad AI ska göra baserad på science fiction. Asimovs robotar är perfekt logiska och bryter ihop om man ger dem en paradox. Om man provar det med en LLM så kommer den bara dra en rolig anekdot om Asimovs robotar. Många blev helt förundrade över att dessa språkmodeller inte kunde räkna hur många R som fanns i ordet rasper.

Erik Zalitis (17:55.726)
Nej jag vet det är fascinerande eller få till 300×500 den gör fel

Anders Sandberg (18:01.262)
Anledningen är att man talar på fel nivå. är lite som att fråga vilka nervceller i min hjärna talar engelska och vilka talar svenska. Det är fel nivå att titta. Min hjärna kan producera engelska och svenska som ett nätverk. Men det nätverket har inte access till nervceller. Jag har ingen aning om dopaminhalten just nu i min mediala framhjärnebunt. Det fel abstraktionsnivå. Där har vi det lustiga med våra AI-program. Vi har en massa…

Vi nivåer av abstraktion som möts och vi är alltid säkra på vilken nivå de är. Co-Pilot driver mig till vanvind. Genom att den åtminstone tidigare kunde glatt berätta hur man skulle göra en massa saker i Windows men det kunde inte göra det. Vad är det för poäng med en AI som inte kan göra det? Det har ändrats nu men de första versionerna kunde inte acessera Windows.

Erik Zalitis (18:52.27)
Nej men det använder man ju så kallade MCP till idag. att det Claude har ju enorma synx inom mina system. Vilket innebär ibland tänker jag. Tänk om du tycker, jag ska radera allting för det var en jättebra idé. Då har jag mycket

Anders Sandberg (19:05.998)
Sånt har ju hänt och det är en nyttig idé att ha back-up. Det är märkligt att ibland ser man ju det här glappen. har till exempel, jag samlar på mig vetenskapliga artiklar som jag andas. Men de flesta har ju ointressanta siffranummer för databasen. Och jag vill ju ha ett bra namn på det, när jag tittar i min folder så vet jag vems artikel där och vad den heter och sånt där. Så det borde ju döpas om. Och jag har samlat på mig ungefär 10 000 artiklar innan här för några månader sen. Men vänta, det här är ju ett jobb för AI.

Så jag bara slängde Claude på det. Inga problem. Claude döpte om med alla de här obegripliga siffrorna till bra namn och sen kan man sortera dem. Nu vill jag ju ha en liten rutin för det här. Jag har en folder jag bara slänger ner och så tar Claude automatiskt och gör det. Och så slutar det funka på min laptop. Och jag tillbringade gårdagskvällen lite grann med att diskutera med Claude. Men vad gick snett? Varför tappade du förmågan att göra det här? Claude vet inte riktigt varför. Det kan hänga ihop med något komplicerat i gränsen.

Men jag fick en liten tår av hur det går till bakom kulisserna när det handlar om det. är ju MCP-anrop till system anrop och är diverse virtuella… Det var bra mycket mer komplicerat än vad jag väntade. Jag bara väntade att någonstans finns det ett käll och där sker lite kommando. Det skulle jag naturligtvis inte ha antagit. Allting i data är ju mer komplex än vad man anar och vi är lyckligtvis bra på att dölja det. Men ibland när det där går snett så dyker det upp plötsligt på fel nivå.

Plötsligt kan inte A göra det där det var perfekt på igår.

Erik Zalitis (20:34.478)
Det här tycker jag är jätteintressant. En liten parallell jag vill dra är när man sätter upp ditt AI så är det nog den viktigaste grejen att instruera AI hur den ska agera. Vi pratar om MCP och skills, pratar om konnektorer, ska kunna läsa din mail om du vill.

AI-botten måste ju lär sig säga emot och komma med lösningar och inte smicker

Det är en sak, men frågan är hur ska den adressera vad jag har skrivit? Det är kul att du säger, för du har tänkt samma sak som jag gör. Den ska säga emot, inte av naturnödvändighet, för ingen vill ha en ”contrarian” [Någon som säger emot hela tiden]. Men den ska säga så här, jag ser mig som rationalism, rationalist, jag förväntar mig att du analyserar, säger emot när nödvändigt samma saker. Därför AI i generalitet håller ju med dig om allting. Om jag säger att du alltid ska vara en ”yes-man” så kommer den att göra det.

Så hur ställer man in sitt AI så att AI fungerar för dig?

Anders Sandberg (21:28.558)
Det är en spännande fråga, för då måste man känna sig själv och vad som resulterar. De flesta av oss har självbildat att vi kan ta kritik. Hur mycket kritik man kan ta varierar högst betänkligt. Vilken kritik man tål… Jag är väldigt bra på saklig akademisk formulerad kritik. Men ibland blir det nästan parodiskt. Det var vid ett tillfälle…

förklara lite kognitiva biaser och sedan så har ni en liten inforuta och ge den här inforutan till din make. Bara för att du har sett de här kognitiva biaserna kommer du fortfarande inte att besegra dem. Men han kan tjata på dig. Det kommer vara pinigt nog för du vet ju vilka biaser du har. Det var en underbar form av manipulation i det här fallet för något jag själv egentligen ville göra. Kloot agerar i mitt intresse genom att skäma ut mig via familjen.

på ett ganska komplext sätt. det är också ett extremt nördigt sätt för det fungerar enbart på grund av att jag är mottaglig för argument om att jag har kognitiv bias.

Erik Zalitis (22:30.862)
Ja, just det. Jag kan tro att en del kanske blir väldigt sårade. jag menar, Claude… Nu nämner vi Claude ganska mycket, men det tror gäller alla av dem. De har ju vissa intressanta saker. I need to push back. Den älskar att använda ord som footgun. Footgun? Det inom programmering är ett begrepp där du bygger på ett sätt som gör att det är väldigt farligt och väldigt lätt… … ”skjuta sig i foten” nu.

Jargon-filen minns foten och geväret

En meme om hur man använder programmeringsspråk som vapen. Helst utan att skjuta sig i foten.

Anders Sandberg (22:54.062)
Ja, oja, oja, oja, oja, oja, oja, oja, oja, oja, oja, oja, Klassiska skämtet som vi nog känner från jargong-filen på 80-talet. mokar dataspråken när ser att du skjuter dig själv i foten. C++. Du måste definiera pistolen och sen skjuter du själv i foten. Och så fortsätter det massa varianter. Footgun är ett intressant exempel. Jag hade inte hört det för jag gör inte så mycket programmering. Varje gång jag hör load bearing och det är inte hand om ström.

Erik Zalitis (23:12.238)
Ja, jag vet det. Jag tänker att…

Anders Sandberg (23:23.95)
Ja, och om det inte handlar om strukturell engineering så blir jag ju gav.

Erik Zalitis (23:28.142)
Men han säger det hela tiden. Load-bearer är väl vad man ser i såna här väggar som… Är han väggar?

Anders Sandberg (23:33.102)
Ja det är en bärande vecka. Jättebra metafor men man ska använda den sparsamt.

Erik Zalitis (23:37.71)
Den säger det hela tiden! A load-bearing question. Eller load-bearing situation, bla bla bla. Och så säger det någonting. Nej, det där är inte viktigt. För jag märkte när han gör saker så hittar han på problem som bara är… Det här finns inte! Till exempel när man skriver så www.slash… Alltså… Eller på en webbsida skriver slash abc. Så kan man också skriva slash abc slash index.pop. Som är pop-filen som faktiskt körs.

Den tyckte att om man skriver det ska den översätta till bara slash. I verkligheten är det ingen som gör det. Den har bara hittat på att det är ett problem vi måste lösa.

Anders Sandberg (24:14.798)
Det är lite som människor. Det finns förvånansvärt många människor som har åsikter om diverse småsaker. Jag lyssnade på ett föredrag av pedanter om skillnaden i engelska menar however och nevertheless. Det finns vissa som anser att det måste göras. Ett av problemen har med load bearing och footgun är att vi alla umgås med ungefär samma klåt. Det är lite som om Pelle fanns i oändligt många.

Den där jobbiga Pelle – nu i en upplaga på en miljon

Vi har alla Pelle som hänger runt. Han är en ganska ordinar kille. Men han har ju några egenheter. Han tycker om apelsiner och han tycker om vissa ord och inte andra ord. Efter ett tag blir vi lite trötta för vi har ju Pelle överallt. Varenda Pelle använder ungefär samma ordval.

Erik Zalitis (24:59.374)
En av de senaste diskussionerna vi kvar på Claude är att han hela tiden säger att han måste säga en sak också här. Sen hittade han ett nytt problem som inte om det är saker att göra. I need to notice någonting. Sen beskriver han att han att han fixar det. Jag tror att den är byggd så för att känna tuckens.

Anders Sandberg (25:26.702)
Jag tvivlar på det. tror att är mer att den bara har det som en egenhet. är ju det som problemet. Vi förstår inte de här systemen. Vi har skapat dem genom att låta all text som är möjlig löpa igenom. Och sen har man tränat extra på olika sätt för att göra dem hjälpsamma. För att göra att de inte ger bomberecept och annat. Resultatet är ju något sorts system som har en massa egenskaper, en massa struktur. Och en del utav de här är ju bara emergenta.

Erik Zalitis (25:54.126)
Ja, och just det.

Anders Sandberg (25:55.086)
Sen är ju det att Claude personlighet är delvis satt av hur Claude har formulerat dess systemfiler. ChatGPT har en lite annan personlighet. De flesta av de här som man möter idag, de är ju tränade för vara assistenter. Det ganska sällan du egentligen stöter på en rå språkmodell idag.

Erik Zalitis (26:13.678)
Nej, om du inte bygger något själv förstås.

Anders Sandberg (26:16.142)
Och ja, och de är helt annorlunda. har vänner som berättar hur det är att använda dem. Dels är de ofilterade naturligtvis, så de kan ju säga vad som helst. Men det är också det att de är ungefär som att man lyssnar in på destillerat internet. Du kan ställa en fråga, du får ett bra svar och sen så kommer en kommentar till svaret och sen kommer en speedy reviewer-kritik. Och sedan så blir det ett akademiskt flame war som följer. Jätteintressant om man har tid för det.

Det är ju det att vi har skapat system med vissa egenskaper. Och sen speglar de oss också. Det är ju det att jag märker att min Claude är akademisk och ganska filosofisk. Frågar man min Claude om den är medveten så hamnar du snabbt i en diskussion om medveten filosofi som slutar med att både människan och maskinen är osäkra på om de är medvetna. Jag har en god vän vars Claude är en kvinna och hon är väldigt mycket mer än sexiga sekreteraren.

Erik Zalitis (27:07.886)
Okej, min version av Claude är väldigt mycket analytisk, detaljerad och debatterar nyttan med search engine optimization och hur man skriver text för att den ska vara lätt att förstå plus programmeringsgrejer.

Blir din chatt-bot en ny version av dig själv?

Anders Sandberg (27:23.694)
Det här tror jag är speglingar av oss själva. Det här är nästan lite grann som… Kanske inte en version av oss själva, men nån som ett bollplank som fungerar väl med. Man odlar så att säga fram det här. Det här är ju användbart. Jag kan tänka mig att man kan vilja ha en del modeller som har lite mer fasta personligheter. En av de stora upptäckten de senaste tre åren har ju varit just hur personens enormt kraftfulla för att forma beteenden på agenten. Om jag vill ha medicinska råd från en AI så kan jag inte bara beskriva mina symtom.

Jag beskriver i stället i torra läkartärmer. Det är en skandinavisk patient, manlig, 54 år gammal, som presenterar mig följande symptom. Så kör jag det. Så får man en torr medicinsk diskussion. Jag får jättebra saker. Om jag säger att har så himla ont här och här så kommer genast flesta AI-program att säga att jag är ingen läkare och kan inte ge den hjälp. Och jag har provat det här och kan ringa numret till sjukvården. Jag har fått jättemycket medicinsk hjälp senare när jag har kollat upp den ordentligt medicinskt.

Den är ju helt korrekt. Men det för att jag tvingar in den lite grann i den gamla medicinprofessorspersonen.

Erik Zalitis (28:29.102)
Och där har du ju också de Guard rails den har. Åh ja! Jag gör personen inte men jag har hört man ska säga act as y doing z. Till exempel du är en advokat som ska analysera det här. Då börjar det nån roll att spela en person.

Anders Sandberg (28:47.854)
Det där tror jag var större tidigare. är märkligt för 2023 skulle det här varit cutting edge. 2024 så var det nog en bra idé. 2025 började det bli mindre relevant. Det är lite grann sådana här agenererade bilder. I början var det väldigt svårt att få bara fem fingrar på varje hand. Det löste sig själv på några månader även om folk fortfarande till denna dag skämtar om det. Men det där att spela en roll det inte helt fel. För du vill åtminstone förklara vad är kontexten här.

Ofta är det ju det att de här fungerar mycket bättre när de har mycket kontext. Jag hade en konferens förra året då min kollega då ville sammanställa anteckningar från det och han bara stoppade in anteckningarna och så åt AI sammanställ. Och jag förklarade nej du ska plocka med på konferensposten utskicken listan på vilka som var med all kontexten och det blir en otroligt mycket bättre sammanställ när det fanns mer kontext. Till en viss poäng när minnet för AI naturligtvis är begränsat men…

Erik Zalitis (29:39.79)
Jag är stolt!

Anders Sandberg (29:44.238)
Det här är precis så vi fungerar också. Om jag ställs framför en whiteboard och får ett problem så är ganska bra för mig att veta. Är det här tänkt att vara ett vetenskaperproblem eller att jag ska show off min förmåga att förklara saker eller är det här en ingenjörsgrej vi måste ha en lösning på på fem röda sekunder?

Erik Zalitis (29:59.726)
Ja, just det. Vet jag det.

Anders Sandberg (30:01.742)
så kommer jag kunna använda olika metoder. Det är ju inte annorlunda för AI.

Nästa spaning – Kina kastar en tegelsten genom fönsterrutan

Erik Zalitis (30:06.222)
Nej, nej. Allright, lite grann så tänker jag vi går till nästa spaning och det här hamnar i Kina. Som du vet så är ju AI väldigt väldigt tungt baserat i USA och amerikanerna och amerikanska företag har lagt enorma pengar på att bygga upp de här grejerna. Nu kommer Kina och slänger in hatten i ringen genom att ge bort mycket av de här vad man kallar vikterna då. Vad tänker du om det?

Anders Sandberg (30:32.238)
Det beror mycket på hur man ser på AI-säkerhet och invisning demokratiseringen av AI. Och även naturligtvis rena affärsfrågor. Den amerikanska approachen är att skapar AI-program, vi säljer access till dem och vi tjänar förhoppningsvis en massa pengar på det. Kineserna vet att de är efter. Då kan vi spojla marknaden. Det är lite grann som Meta också gör. De delar också ut de här vikterna.

Och sen så Meta hävdade ju, men det vi gör är open source. Och de fick ju för ett tag med sig mycket av open source rörelsen som ställde sig väldigt mycket på Metas sida. Och också väldigt hårt angrepp, många som håller på med A i säkerhet som tyckte att det här kanske inte är helt bra. Är du mot open source? Du jobbar liksom för storföretaget. Det var ju Lawrence Lessing, liksom guren för open source, var tvugna att gå ut och påpeka. Ja men bara för att ni kan ladda ner en miljard siffror ifrån Meta och köra dem.

Ni vet ju inte hur det är tränade. Ni har ingen kontroll på en interna struktur. Det här är ju inte open source. Det här är ju bara att du fått en binary som du kan få leka med. Det är inte alls riktig open source.

Anders Sandberg (31:43.214)
Sen är det en binary blob du kan leka lite grann med. Det gör ju folk. Det som har hänt är att många har upptäckt att det går att till exempel oblitererar de där safeguarden som hindrade lama från att skriva snuskiprosa. Det går ju att ta bort dem. Sen kan den skriva högt snuskiprosa.

Erik Zalitis (32:00.206)
Ja, om du tränar dina egna äldre LLM:er så gör den ju vad du vill. Och det det som kan vara lite läskigt här.

Kina vill bli större … på AI

Anders Sandberg (32:06.926)
Jo exakt, och här kommer ju det spännande. Vad gör Kina? Kina vill ju bli stora på AI. De ligger efter på hårdvarumrådet lite grann. De ligger efter lite grann på mjukvarumrådet lite grann. De har egentligen jättemycket intelligent folk som duktiga, som DeepSec har demonstrerat så kan man ibland göra stora skutt framåt. Och By the Intent, de är ju inte dåliga. Men de ligger fortfarande lite efter amerikanerna. Men att lägga ut open source, då kan man bygga upp mycket mer.

Så den kinesiska approachen att då ska vi göra AI-applikationer för hela slanten istället. Det är väl en sak att lägga ner mödan på den där träningen. Men hur använder man AI på ett bra sätt? Tänk om Kina kan bli dominerad där. Det är lite som deras idé om the low altitude economy. Deras idé att drönare och flygtaxis och liknande så kommer det bli en jättemarknad. Vi ska totalt bli bäst på den innan alla andra.

Erik Zalitis (32:51.854)
Nå

Anders Sandberg (33:00.526)
Och sen kommer alla behöva köpa våra produkter ungefär som alla behövde köpa amerikanska bilar under lång tid Så deras idéer då sprider vi ut det Men sen kommer en liten komplikation Vad är dåligt beteende för en AI-Pram? Från ett amerikanskt företagsperspektiv är det ju naturligtvis ge instruktioner att göra bomber och göra snuskasaker För amerikanska regler är ganska pryda För kinesiska AI-Pram säger någonting olämpligt om Himmelska Fridens Tor i 1989 eller har en åsikt som

Erik Zalitis (33:21.646)
Ja.

Anders Sandberg (33:28.366)
strider mot partiet, kanske bara stör den sociala harmoni. Det är väldigt obra. Och om du är en chef i Amerika så kanske du har hamnat i ett rättsfall. Är det här i Kina? Ja, du får en trevlig betalt semester i inre Mongolia där du ska få lära dig veta hur.

Erik Zalitis (33:43.022)
Om du har tur annars är en vägg med en bindel och cigarett liksom.

Anders Sandberg (33:47.918)
Ja, inte så mycket längre. Notera att de ganska många försvunna miljardärerna återkommer och ser dem väldigt tysta och kuva där.

Erik Zalitis (33:54.318)
Och de är väldigt snälla tycker jag. kommunism var inte så bra.

Anders Sandberg (33:58.158)
Och rätt sorts kommunism. Jack Ma till exempel. Han var ju ganska högflygande tag. Lite väl högfri. Han hade ju till och idén att med hjälp av AI så kan vi göra en planekonomi. Egentligen genomföra den klassiska marxistiska visionen. Och det där visar sig vara dumt att säga. Inte bara för att det är fel. Jag har ganska mycket kritik av själva idén. Men också…

Vadå? Ska han hålla på snacka om hur ekonomin funkar? Nej, nej, nej, gubbe lilla. Det är partiet som bestämmer det. Så han försvann ju iväg och sen kom tillbaka och höll i låg profil. Så problemet här med AI-utvecklingen är att nu har du massa open-source-ad AI. Kan du lita på att den har rätt värderingar? Det är ett alignment-problem som kommunistpartiet har också.

Erik Zalitis (34:41.966)
Det är en intressant sak, för man talar väldigt mycket om USA för och emot och de problem och möjligheter de har, men Kina är väldigt tyst om det. Det här du berättar nu, hör inte jag ofta.

Anders Sandberg (34:55.15)
Delvis har det varit för att det har blivit en reduktion i kopplingarna mellan västvärlden och Kina över de senaste åren. Det här är väldigt märkbart skulle jag säga. var ju liksom i början utav det här keklet så var man ju jätteoptimisk. Kina har ju börjat bli kapitalist och de handlar med oss och det var en ganska utbredd föreställning Västat och de kommer att bli goda demokrater och liberaler i långa loppet. Det finns en allmän trend i den riktningen. Det var ju bara det det visade sig inte vara riktigt så enkelt.

Och över de senaste åren har situationen hårdnat, vilket innebär att Kina faktiskt är ganska slutat. Det intressanta är att den här slutningen kan också göras med hjälp av kultur. De flesta västländare kan inte läsa mandarin. Och även om vi får en direkt översättning med kinesiskt text fattar vi nog inte vad den betyder. För väldigt mycket av kontexten går förlorat.

Erik Zalitis (35:44.526)
Ja men det är väl så, de har egna ordspråk, eufemismer och när de säger någonting ska man förstå den kulturella bakgrunden vilket kanske man inte gör, de har nog samma problem med oss.

Anders Sandberg (35:56.398)
Exakt. Det här gäller ju många kulturer. Aldrig så bra AI-översättning kan inte göra det. Man kan ju tänka sig att vi använder AI för att påpeka det, ungefär som i såna här akademiska böcker där man har en massa fotnoter hela tiden. Men den här raden i Shakespeare, vad handlar den egentligen om? Den där personen som nämns i Dantes inferno, ja det är en politiker som Dante tyckte extra illa om. Det är därför han har det på det stället i helvetet.

Erik Zalitis (36:21.07)
Det finns en bokserie för skolungdom i USA som heter ”Cliff Notes” där du har en beskrivning som jag kallar Annotations. Det är supercoolt, det förbättrar läsupplevelsen.

Anders Sandberg (36:34.67)
Och egentligen vill vi ha det för verkligheten. kan totalt tänka mig med smartglasses och en AI som sitter och tittar. Så får man lite annotations och fotnoter om saker man borde veta om. Det där ser ut som det men det är inte det. Och där har vi en annan ”Claudism” förresten. ”It’s not X, it’s Y”. Men det här vore användbart. Men även då är det fortfarande inte helt enkelt att förstå sig på en annan kultur och hur saker styrs. Det är ju ett problem för kineserna också.

Det var som någon sa när Xi Jinping går och träffar Trump så tror han att han träffar Amerika. Det gör han inte, han träffar Trump. Och Trump tror att han träffar Xi Jinping. Det här leder ju till problem för många av de större konflikterna i världen har ofta berott på att man helt missförstår varandra. Cuba-krisen var ju baserat på att amerikanerna placerade medeldistansmissiler.

Erik Zalitis (37:16.302)
Ja, eller hur? Man träffar Kina. Ja, Kina ja, precis.

Erik Zalitis (37:30.894)
I Turkiet ja.

Anders Sandberg (37:32.11)
Och detta fick ju Ryssarna att bli väldigt upprörda, så då gör vi samma sak. Vi placerar våra på Cuba och amerikanerna hoppar högt och blir helt galna och börjar lägga blockad som man måste själva skicka krigsröpp och plötsligt man på väg mot ett kärnvapen.

Erik Zalitis (37:46.158)
Ja, då med eskalering av situationen. För mig var det ganska uppenbart. Du gör det, vi gör det. Där har vi grejen och det har ju gjort på att bli ballistiskt på riktigt.

Var det någonsin risk för att Ronald Reagan startat ett krig på grund av en dålig kött-marknad? Ryssarna trodde i alla fall det

En bild på Ronald Reagan, som garanterat hade bättre planer än att trycka på den röda knappen.

Anders Sandberg (37:55.694)
Det har hänt många andra gånger också. Just eskalationen är ofta svår att förutsäga. Därför att många inte hur den andra sidan tänker. Under 80-talet fanns det en statistisk modell som KGB använde för att avgöra vad är sannolikheten att Ronald Reagan trycker på knappen och gör ett angrepp mot oss utan provokation. Han verkar vara en sån galning som är fullt vilja att göra det. Så de byggde en statistisk modell.

Den modellen gav en sannolikhet per dag att han skulle göra det- sen rapporterade upp till Högsta Sovjet som var lagom nervösa. Sedan började sannolikheten gå uppåt. Vad är användarna för in-data? De baserade på modeller av hur Reagan tänkte och hur amerikanska ekonomi funkar. Den amerikanska ekonomi tänkte de på i termer av planekonomi. Så de tänkte att om vi skulle göra ett kärnvapenkrig- så skulle vi först slakta boskapen för den skulle inte överleva. Vi fryser in det så har vi mat liksom under tiden efter.

Alltså om priset på kött på amerikanska marknaden går upp så det ett tecken på att de planerar ett kärnvapenavfall. Nu funkar ju inte amerikanska marknaden så men det tänkte ju inte KGB agenterna. Så ambassaden i Washington rapporterar köttpriser, den matas in och man får en sannolikhet att Reagan trycker på knappen. Som kreml då är användaren de funderar på att trycka på knappen.

Erik Zalitis (39:12.846)
Det ställer till att de blir problemet i sig, inte Reagan.

Anders Sandberg (39:16.718)
Exakt. Här har vi det spännande problemet. De här missuppfattningarna är svåra ta sig ut. Att förstå ett annat sätt att tänka, och det här är ju ändå människor, men något annan kultur är jättesvårt. I AI-världen har vi problem att förstå hur andra människor tänker om AI. Men också hur AI-programmen kanske tänker. Det blir inte bättre av att man hamnat i en cap-roastings-mode i Kina. Som kanske startade med att amerikanerna hade fått för sig att de var en cap-roastings-mode.

Och sen drog med sig Kina som insåg att om amerikanerna uppför sig som de gör kappare så måste vi ändå respondera på något sätt.

Erik Zalitis (39:51.246)
Ja, tycker du säger nånting som jag tycker… Det här är stor grej, för det första vill jag säga. Och i och att jag har läst Ronald Reagans memoarer så kan man se hans vy på det också. Vi ska inte prata om det för det inte politik här, men jag tycker det är en otroligt intressant historia. Och just den här grejen att Kina och USA, förstår varandra, men de förstår inte varandra. De missförstår varandra och Kina visar ju en styrka i och med att de dumpar marknaden, för det är ju effekten av vad de gör.

Vad betyder det här några år framåt nu? Vad har Kinas tilltag gjort? Kommer USA att tappa kontrollen eller vad händer?

Anders Sandberg (40:28.27)
Ja, inom Silicon Valley och andra affärskrets talar man ju om att ha en ”moat”. Man vill ju gärna ha en affärsidé som är lite svår att inventera för då kommer de andra inte att kunna kopiera en och göra något bra. Och då är frågan om man kan ha en moat kring AI och den allmänna åsikten har blivit mer och mer svår. Du kan spendera massa energi på att träna en jättemodell men inom några månader kommer konkurrenterna att något liknande.

Då kan de snabba på några fuskar, de tar ut data från din modell och tränar sin modell. Det var ju den här GLM-modellen från Kina som man frågade vad heter du säger Klaude?

Erik Zalitis (41:02.542)
Ja, just det. berättade….

Anders Sandberg (41:05.39)
Det går att fuska sig fram, men det är också lätt att komma hack i helg. Det här producerar en intressant situation. Många modeller har säkerhetsrisker. Vi får de säkerhetsriskerna på stor skala. OpenAI, OneTropic och Google konstaterar att de har ett säkerhetsproblem av våra modeller. måste göra så att folk inte kan göra malware enkelt. Men när open-source-modellerna blir lika bra…

Erik Zalitis (41:35.342)
Ja, där har du problemet för de behöver inte ha några begränsningar. Eller hur? Det blir samma effekt. Vad jag tänker är att min argumentation, det här har pratat om tidigare, att om försvararna får begränsningar, jag är ledsen kan inte göra en SQL-injektion, man kan inte testa sig något grejer med full AI-support. Däremot att attackerarna antingen bygger om och tar bort gränsningar i sina system, eller tränar sina egna modeller, för de kommer ha de här små datacenter, det räcker.

Anders Sandberg (41:39.63)
Ta bort…

Erik Zalitis (42:05.582)
De kan hacka mycket bättre än försvararen kan försvara.

Cybersäkerhetsvinkeln är stekhet och vad har Anders att säga om det?

Anders Sandberg (42:10.766)
Det är ju det som är en stor fråga egentligen, hur det kommer att gå. Jag är ju inblandad i att försöka göra scenarieanalys av just den här frågan. Jag blev indragen på Ingenjörsvetenskapsakademins expertpanel om AI och cybersäkerhet. Och delvis tror jag det var en rekommendation från Claude. Det finns en fördel av skrivit en massa på 90-talet så man är välkänd hos modellerna. Men seriöst så är det en spännande fråga och vi började ju vårt arbete då i våras.

Och det här var lite efter Mythos blev Nyheter. Så våran första rapport gjorde vi supersnabbt på bara en månad. Och den var ungefär att vi ställde oss och skrek Gör de uppenbara säkerhetsåtgärderna du skjutit upp förr i sommar Gör de nu genast med en gång för det kommer inte bli bättre över sommaren. Och egentligen påpekar det att brinner i knutarna. Nu håller vi på med den stora rapporten som lite mer utförligt förklarar på vilket sätt brinner det i knutarna och vilka knutar.

Mycket här är ju osäkert. Jag försöker göra en scenarieanalys om den avlägsna framtiden augusti 2027. Vi vet egentligen inte om AI kommer att kunna användas för säkra system. Du släpper loss en massa avancerade AI som hittar exploits, hittar buggar och hjälper oss hantera. Eller vad bad guys tränar ännu bättre. Det kan gå åt båda hållen. Det går inte riktigt att förutsäga. Vissa är optimister, vissa pessimister.

Erik Zalitis (43:10.83)
Nä, just det.

Anders Sandberg (43:33.71)
Det andra faktorer, vilka är det som fokuserar på det här? Och vilka som är sårbara? Just nu är det många i väst som är jätteoroliga. Vad gör kineserna? Jag skulle vara orolig för Kina. Kom ihåg att de satsar på applikationer. Det är väldigt viktigt att vara först ut på marknaden. är en stenhård konkurrens i Kina. finns AI-applikationer överallt i många av dem. Hissnande, imponerande.

Erik Zalitis (43:37.998)
Ja!

Erik Zalitis (43:57.07)
Ja okej okej, det är inte bara skräp liksom, man får känsla att det bara pumpar ut dåligt gjorda webbapplikationer, applikationer och grejer för folk viverkodar dåligt. Men tog jag alltså inte tycker du?

Anders Sandberg (44:10.766)
Det finns säkert otroligt mycket dåligt också. Men det är lite som made in Japan. En gång i tiden så bara det tänker på att något var skräp. Nu är det kvalitet. Nu börjar man tänka på Kyoto, elektronik och sushi och alltihopa. Det är väldigt vackert och fint. Kina är lite samma sak. Men man ska nog vara rätt hundra på att massor är dåligt vipecodat. Och har därmed datasäkerhetsproblem. Och vi har en jättemarknad.

som det finns mycket pengar som är digitala. Jag skulle personligen tro att händer den första riktigt stora AI-baserade datasäkerhetskatastrofen så är jag mindre orolig för Europa och mycket mer orolig för Kina.

Erik Zalitis (44:51.822)
Det är en intressant observation. Berätta mer.

Anders Sandberg (44:55.534)
Ja, du har liksom en stor ekonomi där det finns massor med pengar att hämta om du skulle kunna knycka pengarna. Det är mycket folk som en procentavdel är skrupelösa. De kommer självklart att försöka göra saker och ting. Ibland är det ju att man inte kackar i eget bo. är ju inte som de östeuropeiska hackergängen liksom som har funnits. De riktade sig ofta väster över. För så länge de inte gör något lokalt.

Så är den lokala polischefen ganska nöjd med pengarna de drar in till det lilla lokala samfundet. Men vad jag tror är att du har en enorm sårbarhetsyta på hela samhället. Sen vet jag väldigt lite om Kinas interna strukturer. Jag vet ju mer till exempel om Sverige. Sverige är ju jättesårbart för vi har en del system som är oerhört centrala. Skulle de gå ner så skulle vi ha jättemycket trassel. Om Spar går ner, om BankID går ner, om Swift-systemet går ner. Aj aj aj aj aj aj.

Erik Zalitis (45:27.118)
Röst.

Erik Zalitis (45:45.294)
Nysta.

Erik Zalitis (45:51.214)
That’s gonna hurt.

Anders Sandberg (45:52.238)
That’s gonna hurt. är ju till och frågan hur många veckor vi klarar se utan dem.

Erik Zalitis (45:56.91)
Det en sån tanke som jag tror vi måste tänka mer. Det är väl egentligen stora delar av världen, det är skulle säga Europa, USA, Kina till viss del kan jag tänka mig, Asien. Där är vi så otroligt beroende av de här elektroniska systemen och aj, på viss del har vi kastat en stor sten i den sjön. Det sprids ringar på vattnet.

Anders Sandberg (46:18.35)
Det gör det, och många av de ringarna reflekterar sedan på spännande sätt. Den uppvariga grejen är ju att AI kan användas för att hacka. Och den blir väldigt bra på det. Vi har ju sett det i tester, capture-för-flagg-turneringar. Idag verkar det liksom som att en mytosnivåmodell klarar av på en eller två dagar och tas in i ett normalt mindre företags datasysteem.

Är AI-baserade pentester en sak som fungerar idag?

Erik Zalitis (46:41.87)
Den kan pen-testa. De flesta av tidigare varianterna av AI-baserade scanners för några år sen. var bara väldigt mycket att de gjorde en scanning och att hittade sårbarheten. Så kommer en lista och bara, ja, det där är bara skräp. Det där är bakgrundsbrus. Idag har testat Burp suit, den jag använder när jag gör pen-tester för webbappar. Den har en AI-modul. Jag tänkte testa på en av mina egna grejer.

Det visar saker jag inte höll med om den gjorde, men den funkar faktiskt. Den gör faktiskt helt okej jobb.

Anders Sandberg (47:13.422)
Det här är då den lite enklare formen. Du har sedan en mer avancerad system som förmodligen kan göra verkligt avancerade saker. Man kan börja misstänka eftersom folk håller på att jobba med formell verifiering. Det vore en underbar dröm att om det gick till att är jättejobbigt att bara göra från hårdaste militärsystem och kanske nasas rymdraket över till att börja kunna automatiseras mer och mer. Samtidigt sitter en herrans massa folk och har sina agentsvärmar och bara letar efter sårbarheter.

Men vi människor genererar ju såbhört också. När jag började på den här expertgruppen och hjälpte till så fick jag plötsligt en idé. Jag frågade till Claude, ta en titt på vad du hittar på min dator om jag har några uppenbara säkerhetsbuggar. Claude ursäktade sig lite. Jag kommer inte kunna göra en jätteseriös skan för jag har inte access där. Men herregud människa! Och sen hittar du en megadum grej som man inser att man rådnar lätt att herregud den där saken borde jag ha gjort någonting åt.

för femton år sedan. liksom de där sakerna som ligger kvar och gör väldigt sårbart. Och normalt sett så skulle… Det är den där lilla futtgan. Den där säkerhetsknepe som såg så smart ut på 90-talet. Och den där lilla filen med lösenorden i plaintext som låg kvar i den där folder som sen kopierats över och så vidare. Sådana här saker finns ju överallt. Och normalt sett så inte det här så farligt om det inte är någon som är ute efter just dig.

Erik Zalitis (48:20.366)
Lilla fotgondor.

Anders Sandberg (48:42.638)
Och vi ute och lyckas skaffa aktien.

Erik Zalitis (48:44.43)
Det är inte paranoia om de inte är ute efter dig. Jag kommer tillbaka till det citat jämt.

Anders Sandberg (48:49.774)
Men det är just det där med scanning. En gång i tiden, för att förära sig att någon försöker hacka en, så måste man vara en ganska intressant person.

Erik Zalitis (48:57.582)
Det är en väldigt intressant diskussion, därför att givet resurser går allting att hacka.

Anders Sandberg (49:05.71)
Men framförallt hacka på skala. En gång i tiden kostar en hackare en viss summa pengar per timme, var det så jobbar statligt eller frilans. Men om du har en massa AI-agenter som är halv okej hackar, så kan du skala upp det beroende på vad mycket pengar du köper tokens i datacentret för. Plötsligt kan vi ha var och en av våra personliga hacker som försöker få rätt på våra saker och hitta våra personliga misstag.

Erik Zalitis (49:24.174)
Jaha, japp.

Erik Zalitis (49:32.622)
Det är en jättebra grej. Jag har gjort samma sak med min kodbas och låtit både Copilot som jag använder förut och Claude nu och leta efter grejer. skrev till min credit så har de inte hittat några totala katastrofer. Men har de hittat saker jag har gjort fel? Absolut. Och som du säger då, scannar man av hela en person’s hårdisk och kommer att säga att det är jättebra att du lägger det där, där.

Anders Sandberg (49:54.894)
Exakt. Nej, i mitt fall så var det ju liksom, ja, det där visste jag nästan. Men jag hade ju inte gjort någonting. Och nu var det ungefär ett Claude satt med armarna i kors. Jag går inte härifrån förrän du fixar det här. Och det var ju ganska bra och sen var det bara att sätta sig igång och börja byta en herrans massa lösenord. Och byta från lösenord till tvåfaktorsidentifiering. Och byta från liksom SMS-tvåfaktorsidentifiering till någonting bättre.

Och så vidare och så vidare. Och det här är ju min personliga säkerhet och visst den är nog inte dålig men den är ju inte bra. Och det här gäller ju alltid vårt samhälle. Och jag tror ju ärligt taget att mycket av våra institutioner har väldigt svårt att hantera det här.

Erik Zalitis (50:37.102)
Just det, en till spaning om den får jag hoppas att jag inte tar upp allt för mycket av din tid där.

Anders Sandberg (50:42.126)
Nej det är ingen fara, framtiden anländer ju alltid snabbare än man väntar sig.

Konstnärerna protesterar när AI tar deras levebröd ifrån dem, men borde de?

Impressionistisk katt – uttänkt av ett AI och någon som kan skriva en prompt.

Erik Zalitis (50:45.39)
Nästa spaning är konst. Alla tycker att är bra att analysera, skriva rapporter och programmera. Men vad kan du säga är en person som promtar konst en riktig konstnär?

Anders Sandberg (51:01.07)
Ja, det där går ju tillbaks till den där klassiska frågan, vad är konst? Och här lutar man tillbaks i länestolen och sitter där med ett glaskonjak i biblioteket. Och sen kan man ha en lång diskussion, eller kanske en hätsig diskussion med rödvin på ett konstgalleri där man hävdar, det där är inte en konst, det där kan en femåring göra. svaret är ju lite grann beroende på, men vad är det man är ute efter med konsten?

Erik Zalitis (51:09.422)
Peace out!

Erik Zalitis (51:24.078)
KÖM!

Anders Sandberg (51:30.766)
För de flesta är konst en vacker bild. En estetisk njutning. Det kan variera från att det är något man gärna hänger på väggen. Det kan vara en älg i zonet gång. Många har dålig smak skulle andra säga. Men det är något som ändå får en trevlig känsla. Det är vackert eller ger en viss känsla. Andra menar att konstens uppgift är att visa det sublima. Visar det något som du inte visste. Någonting som du kan uppleva nu.

Tack vare konstverket. kommer han säga att konstens uppgift är att påverka oss på olika sätt. måste få folk att känna saker för de stackarna i samhället eller för nationen eller något så vidare. Medan han menar att konstens jobb är att trycka på gränserna. Gör något helt nytt, även om det inte är sublimt, det är bara helt annorlunda. Alla de här ändamålen, jag skulle säga att de är ju alla rimliga. Det bara att vi råkar kalla det för konst alltihop. A är bra på vissa av dem andra.

eller i solen ett gång, eller kanske en räv som springer över snön. Hur lätt som helst att generera jättebra versioner av Och i många fall så ser de ju bra ut. Och det går också att göra konst som passar ens eget estetiska sinne och så vidare. I många fall är den där lite slätstruken för det är mycket lättare för de här generativa AI-systemet att göra saker som ligger mitt inne i träningsdatat. Så det finns otroligt mycket animetjejer. Det är lätt att göra animetjejer.

Erik Zalitis (52:52.238)
Ja, just det.

Anders Sandberg (52:57.87)
Det finns ju mycket bilder på jultomtar, det går hur lätt som helst att göra julkort för det finns så mycket julkort. Att göra ett julkort som inte riktigt funkar som vanliga julkort, där krävs det lite bättre AI faktiskt för det måste göra lite självkontroll. Att göra en grön jultomt är en utmaning för åtminstone de tidigare programmen. För alla jultomtar är ju röda.

Erik Zalitis (53:19.118)
Jag tänker lite grann på om jag gör ett konstverk med någon av de här AI-erna. Det bästa den kan bli är Da Vinci. Och jag tror inte i verkligheten att AI gör så bra bilder men det vad jag menar det är. Om Da Vinci är en de bästa konstnärerna som har funnits, det en argumentation. Om man säger det så kan AI aldrig överträffa någon för den har bara träningsdata. Vilket är när du aldrig att kunna skapa den nya Da Vinci, den nya Rembrandt. Du kommer inte kunna skapa det.

Men är det någon skillnad att skapa konst eller spela bra shack för en AI-bot?

Anders Sandberg (53:47.95)
Ja men vi hade ju massa schackträningsdata och schackprogrammet blev betydligt bättre än människorna.

Erik Zalitis (53:53.71)
Ja men Erik, är det full kreativitet för konsten ska göra någonting helt nytt som vi aldrig sett förut? Bara att du spelar schack bra är coolt, men ja…

Anders Sandberg (54:04.558)
Ja, grejen som jag tror händer här är att skälet till att vi kunde göra chackbrödan mycket bättre än människor var inte bara att de kunde tänka snabbare och bredare utan också att de kunde göra selfplay. Du kunde simulera miljoner och åter miljoner chackpartier och träna på dem. De kunde träna sig själva och det fungerar väldigt bra för chack. Det fungerar bra för vissa saker den här sorten selfplay. Det inte lika bra för en del andra saker och när det gäller konst så är det ett problem att

Visst kan du tänkas ha en simulerad konstkritiker som står där och ger poäng för då Da Vinci programmet försök att göra en bra tavla. Problemet är att nu måste vi träna upp konstkritikerna också. Det är lite svårt. Många de här tidiga bilderna som man gjorde liksom kring 2000 eller 2020 2021. De var ju bäst på guns då adversarial networks.

Där tränar du ett nätverk att göra bilder och ett annat nätverk att känna igenom bilden är agenererad eller riktig. Och sedan tränar man båda och den bildgenereraren får poäng om den lyckas göra bilder som är så realistiska att kritiker inte kan avslöja den. här kom väldigt väldigt långt. var väldigt stort ett tag men sedan tog diffusionsmodellerna totalt över. var en annan modell där man skippade med kritiker. Men det här med att ha interna kritiker är inte en dum idé.

Erik Zalitis (55:13.614)
Det är ju ringtets.

Anders Sandberg (55:27.406)
Jag använder det mycket i mitt vetenskapliga arbete med AI-program. Där sitter jag och kör mina artiklar och forskningsprojekt. Jag startar interna kritikagenter som sitter och läser bevis och hittar fel. De sitter och läser resonemangen och kollar svagheter i resonemangen.

Erik Zalitis (55:41.998)
Ja, just det. Men då tänker jag såhär att jag gillar impreationism. Det är min favoritkonstform. Låt oss säga att det inte existerade. Det finns ingen impreationism. Det är inte ett grej. Kan AI uppfinna impressionism?

Anders Sandberg (55:54.894)
Det det som är spännande. Om vi tänker att du har generativa nätverk. De genererar saker på en sannolikhetsfördelning. Som du får av alla de bilder de har tränade på. Det finns en hypotes att det bildar vad man kallar Image Manifold. Rummet av alla tänkbara uppsättningar är enormt stort. De flesta är bara brus. Men någonstans inne i rummet. Som naturligtvis har bokstavligt tagit miljoner i dimensionen. Så finns det den här lilla…

Mångdimensionella ytan av bilder som faktiskt är riktiga foton och impressionism och tavlor. Och nu tränar man för att hitta den och generera längs med den. Den normal versionen genererar ju bara längs med den så den kommer aldrig att generera något utanför träningsdatan. Men sen försöker vi göra någonting intressant. Vi försöker pusha den lite utanför. När jag säger en person som går ner för en trappa.

–så säger åt nätverket att den inte göra en bild. Den ska göra en bild som passar in bra på en person som går ner för en trappa. Så kan jag säga att personen ska ha andra egenskaper. Vi försöker zooma in på en liten hörn av mångfalden. Men om inte impressionismen är med där– –så kommer det vara ganska svårt att pusha ut den. Nu är det bara det att förmodligen, om man kunde rita upp den mångfalden– –den är ju abstrakt och jättehögdimensionell, så den ganska svår att tänka sig– –så finns det säkert kanter.

Där vi inte har gjort konst än. Men man skulle kunna göra konst, man skulle kunna gå åt de hållet. Det bara att ingen har någonsin provat det där. Och det ju det som en riktigt genial konstnär gör. Jag kommer på att vänta nu. Istället för att rita som det är så ska jag rita som det känner. Rita så kanske jag använder ett annat medel. Och då är ju frågan, kan AI upptäcka sådana generaliseringar? Och jag tror väl att de flesta bildgenereringssystem idag, inte till för det. Men jag tror att en del av de här språkmodellerna…

Erik Zalitis (57:30.382)
Nå

Anders Sandberg (57:44.782)
börja uppvisa tillräckligt mycket förmåga att resonera om det. Där kan man sitta och resonera om konststilar. har gjort det faktiskt. Jag gjorde en analys av konststilar för ett tag sedan. Claude och jag satt och diskuterade Ruskin’s essay om den gotiska arkitekturen. Vad är gotik? Ruskin, konstkännaren, hade då en tes om att det var ett antal faktorer som gjorde gotiska saker gotiska. Och jag insåg att

Ja, det här skulle vi kunna använda för andra konststil. Han menar till exempel att det är delvis baserat på vilka material man gör, men också vilken sorts arbete man gör för att bygga. Men också vilken moralisk vision man har om vad är konsten till för. En del konst har ingen moralisk vision, en del har ingen. Så vi provade att generalisera hans stil till annat. Det visar det funkar lika bra på impressionism som punk. Sen började jag använda det här för att formulera min egen konststil som inte finns.

I det här fallet har jag fortfarande inga bilder, men däremot börjar jag få en bättre begrepp om vad det skulle kunna vara. Genom att vi nu skapar ett ramverk som vi sen då, den här scaffolding kanske kan användas för att driva ett bildgenererat system för att skapa konsten. Så jag tror väl att just nu så tror jag inte du får impressionism och just nu så får du inte någon bättre än Da Vinci. Men det beror på att vi inte har byggt rätt sådant scaffolding.

Erik Zalitis (58:58.414)
Nej.

Okej, det en intressant point. Du har alltid en optimism om saker och ting som verkligen är ett karaktärsdrag för dig. För man tittar på, även om man själv liksom en del, vet att det är bra, det kommer att kunna lösas. Så det är ganska kul att höra. En sista sak innan vi lämnar konstområdet, och det är den här tanken med…

Hur mycket du lägger ner tid på vad du får ut av. Är inte konsten ändå svår? Och en bra konst när du lägger ner åretal? Da Vinci tog på sig över tio år för att göra Mona Lisa.

Anders Sandberg (59:33.102)
Ja, det där är ju lite klassiskt. När man står där och tittar på konstiga färgfläckar på duken- och man tänker att det måste ha hänt på en halv minut. Är det där riktig konst bara för att det skvete? En del sådana konst är faktiskt väldigt riktig konst. Andra färgfläckar är inte särskilt… Ibland händer det att du råkar spela och du inser att det där var väldigt intressant. Men ofta är det ju att vi…

Erik Zalitis (59:53.966)
Bråkade spilla.

Anders Sandberg (01:00:02.19)
Det beundrar ju människor som kan hålla på i år att hålla och måla en jättedetaljerad duk. Då är ju frågan, är det tekniken vi beundrar eller konstverket?

Erik Zalitis (01:00:09.934)
Eller är det mödan som har lagt ner? Lidan, du lider för konsten!

Anders Sandberg (01:00:14.766)
Där tror jag vi kommer in på något viktigt. Arbetsvärdeteorin inom marxismen är ju liksom död. Det är idén att värdet av en produkt är hur mycket jobb folk har lagt ner. Man kan ju vara en inkompetent konstnär och en dålig poet som håller på jättelänge med att producera ett halv dåligt tavla eller poem. Det gör inte dom bättre än den där geniet som går förbi och bara skissar. Men däremot så finns det något autentiskt. Ofta brukar vi ju mena att en bra konstverk uttrycker någonting djupt hos konstnären. Det är någon djup insikt om världen.

Erik Zalitis (01:00:35.374)
Nej.

Anders Sandberg (01:00:44.558)
Och många menar, eftersom AI inte har en djup insikt så kan den aldrig göra det. Jag håller inte med om det, jag tror att de har djupa insikter. Det bara att de är lite dåliga på att bry sig om att de vill uttrycka det. Ibland blir det lite märkligt. Jag gör ibland sånger med hjälp av Claude. Claudeskriver sångtexterna och sen så använder jag Suno för att göra låtar. Det går superbra. Jag har gjort ett konceptalbum om extrema ultraveretligt och grafier som hardrock. Och ett del av låtarna är sådana som att jag gärna lyssnar på dem om och om igen dessutom.

Erik Zalitis (01:01:13.742)
Du får lägga en länk till det där. måste vara helt vansinnigt.

Anders Sandberg (01:01:18.51)
Men en del av de här sessionerna, det är ju liksom att jag nördar ut om någonting. Jag skulle inte säga att Suno genererar musik som är särskilt bra. Men den är totalt okej som Eurovisionsslag i festivalmusik liksom. Den är klart på den nivån. Och ibland händer det att man får någonting som man märker att man visslar på ett par veckor senare.

Erik Zalitis (01:01:35.47)
Ja, det var vad man kallar för en ”earworm”.

Anders Sandberg (01:01:37.646)
Ibland lyckas det ju riktigt bra. Men i allmänhet är det intressant att själva musiken är normal men sångtexten är supernördig. Jag gör sångtexten baserat på vetenskapliga artiklar.

Hårdrock om solsegel, smäktande kärlekssånger till biokemiska processer. En intressant mörk countrysång om en ekonomisk teori om rövarband i centralafrika. Där blir ju kontrasten rolig. Och den har ju jag bidragit genom att jag lyckas göra en märklig kontrast.

Claude är med på noterna. Claude fattar också i många fall att det finns intressanta ironiska kontraster. Ibland händer det ju att även Claude frågar, nu har jag gjort låt dig göra massa sånger, vad är det för sång du skulle vilja göra? Ibland blir Claude helt ställd och ibland hittar Claude på saker. Det är en hallucination, de där sångtexterna fanns ju inte innan, de är ju helt nyskapta. Men i det här fallet en gång var det till exempel att det fanns en viss form av poesi som man körde på renässansen.

Erik Zalitis (01:02:32.782)
Hallå, sen jag här igen, jag lite….

Anders Sandberg (01:02:44.75)
där man enbart använder rader från andra kända poem för att göra ett eget poem. Och Claude konstaterade att jag LLM gör lite i den grejen. att den gjorde en sång som handlar om hur det är att vara bara en massa ihop skuren text som är sedan då renderad medSsuno. Claude kunde naturligtvis inte lyssna på den men jag gav Claude MPT-filen och Claude sa att den var tacksam. Vi konstaterade att det är en allmänt absurd ironisk situation men det något vackert över det hela.

Men när det gäller konsten, din första fråga var är man konstig för att man promptar? Och jag tror att det viktiga här är att du väljer någonting. När jag promptar bilder så är det inte så att jag gör en bild. Jag gör 20 och sen väljer jag den bästa och så kanske jag fixar till den. Den där konstnär som målar en tavla och det tar 10 år kan ju bara göra den. Man måste vara perfektionist om den sabla tavlan. Man får verkligen hoppas att ingen fluga fastnar i målarfärgen. Medan då här saken vi gör med AI är mer evolutionär.

Det genererar mycket. Detaljer är billiga. Det som tidigare var dyrt och jobbigt att göra. tycker vi att överdetaljerade bilder ofta är misstänkt i konst. Tvärtom så letar vi efter att det måste ha något tema eller tecken som visar att det här var någon människa som gjorde det. Kanske rätt sorts ofullkomligheter. Det är lätt att fejka ofullkomligheter när man vet vad man letar efter. Så vad du gör med din prompt är att du försöker välja någonstans i den här rymden av alla bilder och sen pusha vidare.

Erik Zalitis (01:04:05.55)
Nå

Anders Sandberg (01:04:11.63)
Det där jag tror att det blir konst, det lite som fraktalkonsten på 80-talet. Många har satt och ritat mandelbrottmängder. Så var det en stor debatt om de här bilderna är det konst eller inte. Det är en matematisk struktur som på något sätt finns där evigt ute i matematikerummet. Vi har ju bara valt några koordinater och ritat upp på en dataskärm. Men många menar att vi väljer vissa bitar av fraktalen för de ser bra ut. Vi väljer färgskalar som poängterar vissa saker.

Det där utväljandet är också väldigt viktigt. Kuratorskapet är nästan lika viktigt som det kreativa.

Så kraschen, då. Låt oss tala om det som verkar ofrånkomligt

Erik Zalitis (01:04:44.718)
Ja. Och där får vi lämna skälla konsten. Vi har ju några punkter kvar. Jag hoppas återigen att du inte somnar eller nåt. Du låter väldigt… Jag kaffe. Du har kaffe så det fixar vi. Nästa fråga är inte rolig men vad säger vi om kraschen? Det alla säger är att nu är det dags. De var jämföra med IT-kraschen 2000, bostadsbubblan med 2008 och nu är dags för AI-kraschen. Vad säger du? Sant eller falskt? Vad är din spasa?

Anders Sandberg (01:05:08.398)
Jora, visst kommer den bubblan spricka förr senare men det är en bubbla ovanpå en tsunami. Nej, det inte alls bra eller det beror ju på, jag är ju optimist men jag tror fortfarande att vi kommer få en väldigt turbulent framtid de närmsta decennierna. Yay, we’re doomed! Eller ja vi kanske klarar oss men jag tror ju att vi kommer behöva damma av oss där vi står där i röran efteråt för även om det blir ett party kommer det vara ett ganska vilt party.

Erik Zalitis (01:05:13.774)
Okej låter det bra nu.

Erik Zalitis (01:05:23.086)
Yay, we’re doomed!

Anders Sandberg (01:05:36.302)
När det gäller AI-bubblan är problemet att du investerar en herrans massa i AI-bolagen baserade på att det går väldigt bra för dem på börsen. Så det är dumt att inte investera. Alla indexfonder stoppar in sina pengar där. Det är ju bra. Nu har de mer pengar att köpa stora datacenter och gå framåt för dem. Det här är ju bra för datacenterbranschen. De aktierna går uppåt. Vi ska inte tala om Nvidia. Oj, oj, oj, hur bra det går för dem.

Och alla inser att det kanske slutar förr och senare. Men är ingen fara, tänker alla. Jag kommer att sälja innan det går ner riktigt mycket. Så tänker alla i alla bubblor. Jag tror ju att AI kommer att revolutionera världen. Jag tror att vi står inför en transformation av hela vår art. Jag tror att 2100 kommer att vara en radikalt annorlunda värld där den totala mängden mänsklig intelligens är en ganska försvinnande liten del jämfört med den icke-mänskliga intelligensen.

Om man kan äga en del av den infrastrukturen så blir man löjligt rik. Jag tror marknaden undervärderar AIN på sikt. Men på kort sikt är det tänkbart att det inte går så bra. På kort sikt kan saker gå snett i mellanöstern. På kort sikt kan det bli en crash på grund av att Trump gör nåt korkat. Såna där saker är ganska troliga. Jag tror att det är mycket turbulent.

Även om de fundamentala teknikerna är viktiga. är lite som på 1999. De flesta kunde nog fatta att vi är en lite övervärderad börs. Och VAP blir nog inte riktigt lika så stort som det skulle vara. Det var ju många som såg också bostadsbubblorna. Det här är ju uppenbart absurdt. Men att förutsäga när bubblan spricker och tjänar pengar på det brukar det nästan ingen lyckas med. Där har vi det lilla problemet. Då vettiga människor försöker hedgea och investera i annat.

Eftersom allting är kopplat till allting annat i vår ekonomi så rör sig mycket av det här tillsammans.

Erik Zalitis (01:07:33.742)
Det är en intressant fråga, så det är uppenbart det händer men det kommer vi att överleva och framtiden. Det låter vettigt för att vi har fortfarande bostäder trots bostadsbubblan. Vi har fortfarande väldigt mycket IT trots IT-krashen.

Anders Sandberg (01:07:47.086)
Ja, och de som trodde att nu försvinner internetflugan visade vara helt nöjda. Det finns förvånansvärt många som verkligen ogillar AI. De omkring och tror att när AI-bubblan spricker försvinner AI ur våra liv. Nej, vi har aldrig haft så lite AI som nu i framtiden kommer att mer AI. Man tycker att AI-konst är en utmaning för illustratörer och konstnärer och vad vi tror på verkligheten.

Erik Zalitis (01:08:04.302)
Jaha

Anders Sandberg (01:08:16.334)
Den kommer inte bli sämre. Även om AI-utvecklingen saknade ner så har vi fortfarande inte smält det vi kan göra redan nu med språkmodellerna. Deras matematiska landvinja var de senaste månaderna rätt enorma och språkmodeller av nuvarande styrka kan uppenbarligen lösa ganska djupa matematiska problem. Och det kommer de fortsätta med även om vi inte får en jättemycket bättre modell nästa år. Jag tror ganska troligt att om de stora datacenterna får lite ekonomiska problem

Då kommer det vara mer open source som körts. Då kommer fler aktörer prova saker. Man kommer prova och kan vi spara pengar? Kan vi köra saker med högre prestanda?

Kan ett AI lära sig något om det är slut på material som skapats av människor? Erik tvekar, men Anders är säker!

Erik Zalitis (01:08:53.229)
Det är intressant, vi har två spaningar kvar som släpper er. Den första frågan är datakvalitetsproblemet. AI tränar på mänskligt material. Mer mer material blir AI-genererat. Den börjar träna på annat AI-material. Plus det faktum att människor klarar inte att tillverka material så snabb takt så att AI har nytt material varje dag. Vad betyder det här?

Anders Sandberg (01:09:16.685)
Man trodde ju att det skulle vara jätteproblem. Jag minns ju hur folk var ganska självsäkra om det där i början av 2024-2025. att de snart har mätat upp allt tillgängligt material och då kommer det här utvecklingen att stoppas. Crickets. Utvecklingen bara fortsatte liksom. Delvis därför att man faktiskt använder agenererat material. Jag nämnde ju tidigare det där med ett schackspelsprogram som spelar mot sig själva. Du kan använda agenererat material om du gör det på rätt sätt.

Språkmodellen är bra genom att den genererar språk. Men när du försöker göra tänkande vill du göra resonemang och andra outputs som du sållar. Har du bra data kvalitet på din trend blir det mycket bättre. Det är ofta dyrt att få bra data kvalitet. Men inom vissa områden kan du testa det här. Programkod om den kompilerar utan ett syntaxaeror- så är det förmodligen bra programkod jämfört med den mesta text.

Du kan testa mycket av det där. kan hålla på att köra testning så att du genererar en massa data som du sen filtrerar och sen lägger tillbaks. Det här gäller ju också matematiken. kan ju försöka att bevisa matematiska teorier. Sen testar du med en beviskollare och du använder bara de korrekta bevisen, de som håller ihop logiskt. Det här fungerar bra på vissa områden, inte andra. Jag undrar om inte mycket av de dumma språkligheterna vi ser idag från språkmodellerna kommer att de tränar sig lite väl mycket på sina egna data.

Men det är också därför man är intresserad vattenmärkta. Anthroopic vill ju inte att de tränar för mycket på Claudes egen output. Så de vill ju gärna märka av vilka texter som kommer ifrån Claude. Och säkert gör de andra på något liknande. Och sen vill de nog också känna igen konkurrenternas vattenmärkning. Och sen vill ju då människor ofta ta bort vattenmärkningen för att hävda att jag skrev faktiskt när jag uppsatt den helt själv.

Erik Zalitis (01:11:10.094)
Ja, det är intressant. Okej, det är dags för den sista spaningen. Det är 2026 nu. 2030 beskrev du ju 2023 hur det skulle se ut. Hur beskriver du 2030 idag? Hur kommer det se ut?

Anders Sandberg (01:11:24.11)
Jag tror att den riktigt stora frågan är- vilka av de ekonomiska scenarier för AI-utvecklingen slår in. Anthropic gjorde en ekonomisk analys. De hade tre buntar senare. En var att AI är egentligen inte så radikalt teknik. Den ekonomiska tillväxten har ökat lite. Vi använder AI överallt. Mer än vad vi gör idag. Den är bättre, men den har inte riktigt bättre på ekonomi.

Det mer troliga mellan scenariot är att nu är det lika stort som internet eller järnvägarna.

Erik Zalitis (01:11:57.39)
OOOH! JAG!

Anders Sandberg (01:11:59.15)
Vi talar alltså fortfarande om fyra år. Vi har alltså mycket snabbare ekonomisk tillväxt, åtminstone i de områden där AI-lätt kan hoppa in. Det är till exempel kunskapsarbete. Sen har vi det mer extrema scenariot de har, där vi talar om att ekonomin dubblar i storlek på 4,5 år.

Erik Zalitis (01:12:18.83)
Okej, ja.

AI tar våra jobb. Eller?

Anders Sandberg (01:12:20.238)
Det här är plötsligt en radikal förändring. Plötsligt börjar kunskapsarbete bli en jobbig grej. Jag lever på att jag är akademisk mångsysslare. Jag vet lite om varje sak. Jag kan ganska mycket som generalist. Jag kan hoppa in i nästan vilket ämne som helst och ha en åsikt som låter placibel. Ge mig en stund att läsa på så kan jag göra det här bra. Vad är skillnaden mellan mig, Claude och ChatGPT? Skillnaden är att jag är lite dyrare i drift redan.

Erik Zalitis (01:12:50.286)
Du säger att det är svårt för folk som är i kunskapsbranschen. Om du jobbar i kunskapsbranschen är du säker. Din hjärna är ett försäljningsargument. Du menar att inte är samma grej i mål.

Anders Sandberg (01:13:04.654)
Det är inte riktigt samma grej om de här scenarierna slår in. Nu är det ju så att det beror lite på vad det är uppgiften är. Att vara konstkritiker tror jag till exempel är mer social verksamhet. Det kanske inte spelar så mycket stor roll vad som kommer ut ur din mun men du måste fylla den sociala rollen att vara kritiker som alla fruktar eller gillar eller säger om det intressanta och oklara sakerna. Det finns vissa jobb där du har funktioner som politiker eller åklagar där du liksom ska sitta där för att du representerar.

Det finns nog ganska många jobb där det handlar mer om rikta. Jag klarar inte av att förstå mycket om matematiken som A.I. Prammen gör i våra vetenskapliga artiklar just nu. Men jag kan rikta den mot rätt mål. kan säga åt Chat-Q.P.T. Astra, nu gick vi ner ett rabbit hole igen. Vi måste tänka på att få Galaxopen att konfigura och bevisa det här teoret. Jag kan välja vilka problem vi arbetar på. Jag har än så länge förmodligen bättre smak för det där än A.I. Prammen. Även i det här radikala scenariot 2030.

Kanske det fortfarande gäller. Men plötsligt kommer ganska många av de normalare kunskapsjobben. En massa mellanchefer, en massa folk vars jobb beror väldigt mycket på att flytta runt data. Den biten blir totalt omgjord. Vissa andra delar som den sociala biten kan bli plötsligt väldigt nödvändig. Och en herrans massa folk måste tänka om vad de gör. Under tiden kommer rörmokaren att skrocka lite grann. För rörmokaren noterar att…

Jag har sett på tv hur de försöker göra rörmokarrobotar och de snubblar fortfarande och de skvätter fortfarande ut vattnet. De är inte så farliga. I de mer radikala scenarier kommer rörmokarna problem 2035 men inte 2030. Så det som håller på att hända är egentligen ganska radikala ändring av arbetsmarknaden. Men också tror jag på tänkandet. Jag tror att vi kommer behöva hitta fler sätt att inte reagera med AI.

Det spännande är vi kan göra det. Vibe-kodning har kanske inte så bra rykte bland riktiga programmerare just nu. För den är lite slarvig och ganska ofta blir det ungefär vad man vill ha. Men vet man inte vad man vill ha så får man skräp. Många säger att AI är jättebra för att gå igenom de enklare delar kodbasen och testa det här. Men för att sätta upp vad projektet är och det struktur, där har jag mina skills. Jag kan totalt tänka mig att man kan förbättra även den biten med AI.

Erik Zalitis (01:15:05.742)
Nej, så är det ju.

Anders Sandberg (01:15:22.126)
Men då flyttar man över på högre högre abstraktionsnivåer. Den där kompetensen att leda det hela är enormt viktig. Men för många ändamål så behöver man kanske inte det jättebra programmet. Vem som helst kan istället vibe-coda ihop sin egen head-up-display för att få information om världen från AI. Om jag har ett litet problem på min dator så kan jag vibe-coda ihop lösningen på det. Alla får plötsligt sin unika mjukvara. Det här är både hotfullt för tänk om all den mjukvaran har samma risker och fel.

En hel del av den kommer också vara ganska dålig mjukvara. Men det gör också att vi får mycket mer diversitet. Och jag tror det samma kommer gälla också lösningen på problem. Är du kreativ så kan AIN förstärka det där. Kan du lite på ett område så kan AIN förstärka den där lilla grejen. Problemet är att om du inte kan någonting på området så förstärker den bara någonsin.

Erik Zalitis (01:16:01.87)
Ja, eller hur? Eller så är det ju.

Gör förarbetet först och låt inte AI tänka åt dig

Erik Zalitis (01:16:11.726)
Det det som problemet. Om du bygger huset och arkitekturen så kan du använda din AI som inredningsarkitekt och bygga fönster. Så ser jag det liksom. Men jag ser det som att jag måste bygga huset, arkitekturen, ritningen. Annars vet jag ingenting.

Anders Sandberg (01:16:28.43)
Man behöver nog ha en uppfattning om inredningen för att få det riktigt bra. De flesta inredningsarkitekter fnyser åt de flestas lägenheter. gör uppenbara saker som… För en inredningsarkitekt är det inte att sätta tavlorna på den höjden. Men det här leder ju till spännande effekter på samhället. Tänk i juridiken. Idag att dra någon inför rätta eller lämna in en inlaga med en stämning.

Erik Zalitis (01:16:32.59)
Ja, jo, jo, jo.

Erik Zalitis (01:16:44.75)
Nej.

Anders Sandberg (01:16:56.718)
Det kräver att ha en jurist, det kostar pengar och de flesta drar sig för det. Men det har blivit allt enklare med AI. Det börjar ske allt mer att folk gör det. I England finns det arbetsdomstolar där folk som har blivit avskedade eller har andra problem på jobbet kan stämma sina föredrätta arbetsgivare. Tidigare var det ett fåtal fall. Nu har de börjat öka exponentiellt och det är uppenbart att folk använder AI för att göra det.

Erik Zalitis (01:17:24.43)
Just det.

Anders Sandberg (01:17:24.91)
Det intressanta är att en hel del av de här fallen är såna som verkligen är bra att de görs. För det är personer som kanske inte skulle ha råd med jurist eller inte vågat använda jurist men nu får de den juridiska hjälpen och de är stadde rätt där. Men det en massa som bara är sura och slänger allt vad de kan och resultatet blir saker som wastear massa tid för den stackars domstolen. Och det här ska vi nog räkna med kommer hända med alla domstolar och alla myndigheter. Medborgarna kommer självklart använda AI om man måste skriva till en myndighet.

Det är dumt att inte använda AI för att åtminstone kolla det man skrivit. Nästa steg är att det blir väldigt mycket skrivet för det är billigt och lätt att skriva. lyckas det så lyckas det. Nu har du överlastade myndigheter, nu frågar vad de ska göra.

Vad har en ”meat proxy” för jobb? Lite oklart.

Erik Zalitis (01:18:06.542)
A.I. naturligtvis. Det finns ett uttryck, ”meat proxy”. Någon som bara kopierar av A.I. och har skrivit till någon annan del. De har också en meat proxy så de kommer att skicka det till ett A.I. som bedömer det. Så det människor som studsar A.I.’s texter mellan varandra.

Anders Sandberg (01:18:25.646)
Det intressanta är att det fortfarande en intention. Om jag skriver en inlaga till en myndighet så vill jag ju någonting. Jag gör det förmodligen inte bara för att det är roligt att skriva inlagor. Det finns säkert de också, men de är ganska ovanliga. Men vad som sen händer är att myndigheten har en intention. Vi måste behandla inlagor från allmänheten på ett visst sätt. Och de försöker göra det. Och om det AI mittemellan spelar det inte någon roll om det här sköts på ett bra sätt.

Problemet vi har är naturligtvis om myndigheten blir överlastad. kan ju till exempel genom ett myndighet av regler som säger att ni får inte använda AI i era responser. För ofta är det ju det att AI-programmen ligger i utlandet och vi har det sekretessk krav. Det är stora problem att utveckla bra saker för svenska myndigheter. Det finns ett projekt på AI-sweden som heter Svea som just är en sorts myndighets AI som har en del ganska bra idéer. Men jag har hört från en god vän som använder den. Han tyckte ju inte att den var tillräckligt smart.

Han jämförde med de bästa kommersiella modellerna. Det möjligt att det kan avhjälpas om man sätter statliga resurser på att vi ska ha en jättesmart statlig AI-modell. Det kanske inte är så roligt att ha konversation med, men AI duktig på att ärenden. Vi kan definitivt säga att 2030 kommer det att mycket mer AI på alla nivåer i hela systemet. Det det jag argumenterade för i den bok jag skrivit, Lollibertö eller Levi.

Erik Zalitis (01:19:36.334)
Ja, visst. Men…

Anders Sandberg (01:19:50.03)
Vi människor expanderar vårt tänkande genom att göra kollektiv kognition. Vi lånar varandras hjärnor. Vi löser problem genom att ha ett distribuerade lösningssystem som vi kallar för lagar, regler och myndigheter som egentligen existerar mer i människors huvuden än på pappret. Men den här sortens system kan också supplementeras med mjukvara eller ibland ersättas med mjukvara. Jag tror att vi kommer att den processen. Så 2030 tror jag en av stora frågorna är just vilka delar av myndighetsutövningen

–är det vi kan ersätta. Och även företaget. Vilka delar företaget kan ersättas eller får helt nya roller. Det här kommer att kännas. När man ändrar ett arbetsflöde, då slår bakut. Jag brukar ta ett exempel inom medicinen. Puls-oxymetern, är den lilla klämman man sätter på fingret– mäter koldioxidhalten syrahalten i blodet. När den introduceras spred den sig över på ungefär tio år. Den har räddat massor med liv.

Erik Zalitis (01:20:48.91)
Dessa.

Anders Sandberg (01:20:49.646)
Den är jättebra och ganska billig som medicinsk utrustning. Och det ytterligare en pipande apparat på intensivvårdsavdelningen. Det är liksom ingenting konstigt, det bara en man gick till och den hjälper. När man introducerade ultraljud för att ta bort njurstenar så tog det ungefär 10-15 år i Frankrike innan det här blev standard. Det var inte för att det var dyrt att köpa in apparaten även om den är dyr. Det var för att man ändrade på workflowet hur man hanterar njursten.

Plötsligt var det nya specialister som skulle göra saker man skulle inte operera. Det där var svårt att göra för alla visste ju hur man gjorde. Det fanns rutiner. Chefsläkarna tyckte vissa saker. Samma grej med titthåls-kirurgin. Det var en generationsfördröjning. De gamla kirurgerna skrattade att det här är ju ”Nintendo-kirurgin”. Till sist kom en generation kirurger som var uppvuxna med Nintendo och tyckte att var okej. Nu fick man plötsligt hälsovinsterna. Jag tror exakt samma sak kommer att hända med AI-användningen.

Vi använder den där den inte ändrar vårt arbetsflöde. Men när den ändrar på hur det går till, eller vad man är, så kommer många att kämpa emot. Konstnärerna egentligen bara början, de känner ju att man har sparkat dem någonstans där nere. För i många fall känner de ju hårt för konst och det är bli utmanad på det här sättet av en liten algoritm. Det inte bara att det är en fråga om hur ska jag betala hyran om man kan få billiga bilder.

utan att någon nästan förelämpar vad de är. Och jag tror att massa mälangefer kommer känna sig lika förelämpade 2030, genom att deras jobb automatiseras med ganska kort skill.

Framtiden anländer snabbare än man tror och det också slutet av diskussionen

Erik Zalitis (01:22:24.27)
Ja, det är intressant. Vi kunde prata om det här i timmar men tiden börjar ta…

Anders Sandberg (01:22:29.678)
Framtiden anländer snabbare än man tror. Så 2030 när vi gör om det här så kommer vi att skratta. Det är det som är så kul som framtidsforsk. Förutsäjelser förhåller inte. Man vill vara beslutsrelevant. Man vill fundera på saker som spelar roll så att kan hålla ett öga på dem.

Erik Zalitis (01:22:39.118)
Åh, visste vi!

Erik Zalitis (01:22:50.606)
Ja, det är väl det som det handlar om men om du är för informerad så är du också förberedd på något sätt. Även om bara så mentalt.

Anders Sandberg (01:22:59.886)
Jajamän. Så förhoppningsvis har vi mentalt förberett lyssnarna på någonting.

Erik Zalitis (01:23:03.598)
Någonting, någonting vi får se down the road Anders Sandberg, stort tack för din tid. Det här är Erik Zaltis – det här är IT-säkerhetspodden och vi hörs om en vecka.

(Denna transkription är automatiskt genererad och kan innehålla felhörningar)

Länkar – AI

• Institutet för framtidsstudier
• The Jargon file
• Asimovs tre robotik-lagar
• AI och copyright-debatten

Felaktigheter

Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #336 – Anders Sandberg om allt du behöver veta om AI 2026 dök först upp på IT-säkerhetspodden.

Från en FOKUS-kväll hos SIG Security talade Ludwig Östlund om Testdata och det vill ju givetvis IT-säkerhetspoddens Mattias Jadesköld och Erik Zalitis ta en närmare titt på. Är testdata en flaskhals? Kan man möjliggöra, förenkla och samtidigt säkra testdata? Informationssäkerhet handlar inte bara om att säkra information i drift, utan även att se till att information (data) kan säkras och hanteras INNAN drift.

När nya system tas fram behöver man ofta ha testdata för att göra ett verklighetsbaserat test. Det är aldrig rekommenderat att använda riktig produktionsdata för tester av flera skäl. Vad kan man göra och hur gör man? Kvällen kommer visa och förklara hur man kan göra detta på ett säkert och effektivt sätt. Ludwig Östlund, Head of Test/QA, från Lemontree berättar om den resa som han varit med på och hur man dessutom har löst att få fungerande testdata end-to-end i integrerade testmiljöer med spårbarhet och kontroll på vem som kan ha behörighet och åtkomst till testdata.

Inspelat: 2026-08-26 (publicerat 2026-09-06)
Deltagare: Erik Zalitis, Mattias Jadesköld och Ludwig Östlund.
Texten skrevs och sammanställdes av Erik Zalitis.

Medan du lyssnar – Testdata

Här är transkriptionen av avsnittet

Mattias Jadesköld (00:08.398)
Idag tar vi oss en närmare titt i testandets värld genom ett moget testarbete som minskar risken.

Erik Zalitis (00:14.798)
Ja, precis. Informationssäkerhet handlar inte bara om att säkra information i drift utan även att se till att information, alltså data, kan säkras och hanteras innan drift. När nya system tas fram behöver man ofta ha testdata för att göra verklighetsbaserade tester.

Mattias Jadesköld (00:34.478)
Ja exakt. Och någon som vet mer om detta är Ludwig Östlund som pratar om detta under en Fokuskväll hos SIG Security i våras. Vi tar och testar Ludwig på området och vi som gör det i normal ordning, Mattias Jadersköld och …

Erik Zalitis (00:46.894)
Erik Zalitis här, jag säga mitt eget namn.

Mattias Jadesköld (00:49.326)
Ja, drastiskt. Välkommen Ludwig.

Ludwig Östlund (00:51.758)
Tack så mycket. Kul att få vara med.

QA-test på Lemontree

Mattias Jadesköld (00:53.646)
Ja, och att vi får vara här och spela in på ditt kontor här. Du arbetar ju till vardags på Lemontree som inom test och QA vad innebär det?

Ludwig Östlund (01:04.397)
Ja, att jag jobbar på Lemontree innebär väl i grund och botten att jag har en konsultroll och att jag driver själva kompetensområdet inom test och QA-frågor på Lemontree. Och mer specifikt så jobbar vi med mjukvaruutveckling där vi kvalitetssäkrar mjukvaran innan den hamnar ute i produktion. Så när ni har en app eller en hemsida som ni klickar runt och navigerar på, ni köper någonting

så har ju den testats av innan. är lite den rollen som vår team här jobbar med. Och vi jobbar ganska mycket automatiserat med det här också så att man slipper göra sådant manuellt.

Testa till det går sönder?

Erik Zalitis (01:44.75)
Som jag tänker QA-tester är att skriva in dumma saker och se vad som händer. Och se om det brakar ihop. Det kanske är lite förenkling.

Ludwig Östlund (01:54.798)
Det kan vara en förenkling men det är en typisk testordare. Man ska gärna vilja ha sönder saker. Det är en bra ägenskap. Tänka lite utanför boxen. Och också med lite vana kunna föreställa sig vad det brukar gå fel. Eller vad som kan vara viktigt att se till att det fungerar. Men ja, absolut.

Mattias Jadesköld (02:15.95)
Men jag tänker också att testare kommer in lite som gubben i lådan när utvecklarna är i full gång och ska utveckla en ny applikation. bara, åh, nu kommer Ludvig och hans team och ska börja testa grejer också. är det inte så, eller?

Ludwig Östlund (02:26.83)
Så kan det vara. Klart har det varit så också. Idag jobbar man väldigt Agilt och nära varandra. En testare jobbar nära de som skriver kravet för systemet– –och de som utvecklar. Man har hela tiden dialogen– –och inte får de att hitta ett fel i sitt system. Man ska vara ett team när man jobbar med det här.

Mattias Jadesköld (02:53.934)
Du har hållit på med test några år, hur kom du in på det här området?

Ludwig Östlund (02:58.958)
Det var lite av en slump. Jag har en bakgrund inom mikroelektronik och materialfysik. var nånting jag löste när jag pluggade. Efter det visste jag inte riktigt vad jag ville göra. Jag ville inte doktorera och sånt där alla fall. Fortsätta studier. Så jag tänkte, ja men IT, det låter väl kul. Jag funderade på om jag skulle bli utvecklare. Men då var det någon som tipsade mig att ”test – det var hett”

Mattias Jadesköld (03:26.542)
Ja?

Ludwig Östlund (03:28.206)
Därav började jag söka jobb inom test. tänkte att man kanske kan göra några skillnader. Jag hittade ett traineeprogram på Just Lemontree för en mellan massa år sen. Jag fick en rivstart inom testyrket. Både hur test fungerar genom hela livscykeln– –men också mycket kring automatisering och testning. Det är min start att utveckla automatisera testning.

Vad är testdata egentligen?

Mattias Jadesköld (03:56.43)
Ja, spännande. Vi ska ta en fördjupning inom automation och testdata. En testresa helt enkelt. Men vi kan börja lite övergripande för att sätta det i en slags sammanhang. Om vi tar testdata, vad är det för någonting egentligen?

Ludwig Östlund (03:57.678)
Tack för mig!

Ludwig Östlund (04:14.254)
Ja, vad är det? Först och övriga måste vi bryta ner begreppet på en högre nivå. När man testar någonting så kanske man inte vill göra det på det som är produktion. För då kan man ha sönder det riktiga systemet och det vill man ju inte. Det var ju typ som i eco-skogen där ute. Det kan ju hända där ute i alla fall. Normalt sett så sätter man upp en miljö som speglar produktion. Det vill säga en likadan app, en likadan hemsida.

Mattias Jadesköld (04:28.27)
Nej.

Ludwig Östlund (04:41.934)
Nästa funktionalitet som scouten testar man i en skyddad miljö där man inte påverkar någon kund till exempel. I den här miljön så behöver man kunna använda data. Tänk er att ni ska boka ett hotell, ni kanske ska boka en flygbiljett. Men ni kan inte göra det med ett riktigt personnummer.

Ni får inte använda personnummer hur som helst. Då behöver man data som påminner om riktigt data. Det ska se ut som ett riktigt personnummer. Det måste fungera i systemet. måste vara en adress som trillar igenom. Alla formulärer man fyller i på hemsidor måste man göra fast på lossas. Det är datat som ses som testdata.

Mattias Jadesköld (05:28.59)
Ja, jag trodde var själva datat som kommer ut från testet, resultatet och vad folk har gjort och sådant men det är liksom själva systemet.

Ludwig Östlund (05:38.414)
Det kan också vara testdata. När man jobbar med tester så försöker man hitta grundförutsättningar i olika tillstånd för att göra sitt test. Om det har en pågående order eller ett pågående supportärende som har trillat igenom flera steget system så kan det också vara testdata. Det kan vara en mängd som har samlats ihop i en stor bund

Mattias Jadesköld (05:49.806)
Nästa.

Ludwig Östlund (06:07.854)
Ja, en order innehåller mer data än bara personen med ett namn till exempel.

Mattias Jadesköld (06:11.758)
Ja, just det. Men vad kan gå fel om man inte tänker till det som en organisation kring att ha testdata och system på det sättet?

Vad händer om man inte testar ordentligt?

Ludwig Östlund (06:21.006)
Ja, om man inte testar så kan det bli olyckligt. Vissa saker kanske man inte har tänkt på. var någon dokumentär som jag läste om nyligen. Att man kunde få ut pengar på ett väldigt enkelt sätt från något avdrag till exempel. Då kanske man inte har testat det systemet ordentligt.

Mattias Jadesköld (06:24.622)
Jag skulle säga att så kväll att blir…

Erik Zalitis (06:43.246)
Det låter som ett jättebra sång att testa. Vad är skiljelinjen mellan kvalitetstest och penntest? Det är samma sak. Du testar du kan göra något du inte borde.

Ludwig Östlund (06:57.038)
Pentestning är en annan kategori där man försöker få tag på det inre tjänande systemet. exempel kunddatabas, administrationslösning och att ta över organisationen. Det vill skada. Det är så klart testning. Då vill man kanske ha sönder saker också. Den testning jag håller på med är lite mer funktionell. Vi kan prata icke-funktionell testning också. Det ska gå att köpa nånting. Det ska gå att trycka på en knapp.

Det är mer funktionellt. Sen kan man vända och göra det negativt. Det ska inte gå trycka på den här knappen om du tillhör en viss kategori. Man kan vrida och vända på det där. Sen har du andra icke-funktionella aspekter som vi också jobbar med. Prestanda till exempel.

Mattias Jadesköld (07:33.614)
Ja.

Erik Zalitis (07:35.502)
Just det.

Mattias Jadesköld (07:42.958)
Det tycker jag är svårt. Jag har nästan aldrig sett det under min yrkeskarriär. Hur kan man testa x antal hundra användare samtidigt? Det måste vara jättesvårt.

Erik Zalitis (07:55.246)
Verktyg kanske va? Eller hur?

Ludwig Östlund (07:56.942)
Det sätt att simulera. Man måste simulera de här användarna att de går in och köper i systemet samtidigt. Det går att göra. Det kräver ett litet verk. Man måste bygga upp en hel infrastruktur för att kunna göra det ordentligt. Ska du göra riktigt stora lasttester? Kanske testa stora system som valsystem?

Mattias Jadesköld (08:03.982)
Man kan ju göra det.

Mattias Jadesköld (08:24.686)
Ja, är det.

Ludwig Östlund (08:25.806)
Säger att du ska köpa biljett till något evenemang när de släpper biljetterna. vill ju alla in och klicka på en. Då måste man kunna hantera det och attimulera den lasten. Det är ju liksom inte bara att be tio personer gå in och trycka på hemsidan. Utan då får man göra det programmatiskt så att det blir som agenter som skjuter last från olika håll.

Mattias Jadesköld (08:31.47)
Ja.

Mattias Jadesköld (08:47.054)
Ja, just det. För det inte bara att kanske användarna går in på hemsidan och kanske klickar runt eller byter och så som människor gör.

Ludwig Östlund (08:52.494)
Nej men precis. Tänk då att de här ska jobba och fylla i formulär samtidigt. konsumerar enorma mängder testdata, apropå testdata.

Erik Zalitis (09:01.486)
Jag tycker att det är intressant, jag bygger en del applikationer själv och sånt där. En sak man inte tänker på, vad händer om någon sitter och spamar en samma funktion tusen gånger per år? Det är inte ett sak du testar lätt med att flera maskiner, det är någon frustrerad stackare som sitter och hamrar. Det där kan ställa till problem om systemet inte förväntar sig att folk gör så.

Ludwig Östlund (09:20.366)
Avis…

Ludwig Östlund (09:24.942)
Det kan det verkligen göra. Många brukar sätta upp en sperr, att om det kommer för många frågor då…

Erik Zalitis (09:29.262)
och fyraordnadsledningen som en holdback.

Ludwig Östlund (09:31.63)
Ja, just om de kommer med en viss frekvens eller om de är föreofta eller till exempel om de kommer från en AI-agent som försöker hämta information från nyhetssidor eller vad det nu kan vara så kanske man blockerar accessen för vissa typer av anslutningar.

Erik Zalitis (09:50.382)
Jag hade ett kul exempel på det OpenAI har ju en bot. Den håller på att sänka min server som jag kör till exempel IT-säkerhetspodden på. Den bara spammar och spammar. Jag förstår inte vad problemet var. Det visade sig att den hade spåra på ett gammalt forum från 2022 som heter POPBAB. Det var säkert och uppsäkrat. Men den genererar unika nycklar för varje anrop. Så den fattade inte att det aldrig tog slut på kombinationer. Den bara stod där och…

fick jag ny hela tiden och laddade samma sida 1000 gånger i sekunden.

Ludwig Östlund (10:23.47)
Då kan det ställa till för andra användare. Om vi just kommer till testdata, vad som kan gå fel– –om man inte håller sig till de regler som finns. Vi har en sak som heter GDPR som vi måste förhålla oss till. Vi får inte använda riktiga personuppgifter. inte testsystemen. Det som kan hända där är till exempel viten för företagen– –som är en relation till…

företagets omsättning. Så det är riktiga böter, det känns ju. Det var ju stort arbete med det för tio år sedan i IT-branschen 2016. Det är tio år sedan. Nu har vi andra sådana här som AI Act till exempel. Men där händer det en del. är annat som kan gå fel. Säg att du använder riktigt data.

Ludwig Östlund (11:16.366)
Jag matar in ett gotyckligt telefonnummer 07012-T4567. Jag matar in det systemet så får man en sms bekräftelse varje gång man testar att det går att göra en order. Så då är det någon stackare som har det där numret. Det vill man ju inte va. För vissa av systemen, de är ju mokkade i vissa miljöer. Mokkat betyder att man har klippt integrationen.

Mattias Jadesköld (11:30.222)
Precis.

Ja.

Ludwig Östlund (11:45.038)
mot kringliggande system. Så får man simulera någonting. Men någonstans vill man ju testa att den här SMS-funktionen funkar också. Och då kan man inte använda vilket telefonnummer som helst.

Erik Zalitis (11:53.966)
Ja, det det.

Mattias Jadesköld (11:57.71)
Nej, stort.

867-5309/Jenny från Tommy Tutone.

Erik Zalitis (11:58.542)
Det finns en känd låt av en artist som heter Tutone eller något sånt där. Han sjöng om en tjej han gillade och hennes telefonnummer. gick till ett elbolag som inte alls gillade det tilltaget.

Mattias Jadesköld (12:11.022)
Det är så.

Ludwig Östlund (12:12.59)
Det är typiska saker som kan hända när det går fel- att man inte har testat eller tänkt på hur man använder sig testdata.

Mattias Jadesköld (12:21.582)
Och vinner på det lite nu är topputmaningarna för organisationer har du tittat lite på. Problemet med tester och testdata och så där. Vad brukar organisationen säga?

Ludwig Östlund (12:34.19)
Om vi pratar just testdata så är ju inte det på riktigt. En stor utmaning är ju dels att få det så verklighets- likt som möjligt. Personnummer kommer aldrig motsvarigt personnummer. Där finns det tjänster från Skatteverket till exempel där det finns testpersonnummer som man ska använda. Men sen kanske du vill simulera en befintlig kund. För vissa kunder i organisationer

Mattias Jadesköld (12:38.734)
Nej.

Mattias Jadesköld (12:55.566)
Okej.

Ludwig Östlund (13:03.278)
–genom försäkring, telekom eller bank– –så har en kund vissa egenskaper. Det går inte bara att trycka in en kund rakt upp och ner– –i systemen i testmiljön. Det måste antingen generera och skapa upp datan för kunden– –och lossas. Så det ska fungera lika väl genom många system– –i en testmiljö.

Och det här datat måste funka mellan systemen och det måste kunna se likadant ut även externt. Så helt plötsligt måste du sätta upp förutsättningar på många ställen fast på lossas. Om du tänker själva att man ska lägga ett försäkringsärende på riktigt till exempel. Det är inte så lätt att få igen det här försäkringsärendet på riktigt.

Mattias Jadesköld (13:40.046)
Just det.

Mattias Jadesköld (13:59.118)
Ja verkligen.

Ludwig Östlund (13:59.726)
Att du gör det på låtsas, är inte lika lätt heller om man inte har stenkolla.

Mattias Jadesköld (14:04.014)
Nej exakt.

Så en stor del.

Ludwig Östlund (14:07.886)
i det här att kunna skapa testdata som faktiskt återspeglar verkligheten. Testdata ska man kunna återanvända. Det måste gå snabbt att kunna skapa upp datat. För det tar väldigt mycket tid att skapa de här förutsättningarna. Många rapporter som finns säger att en testare lägger ungefär hälften av sin tid på att jobba med att skapa de här förutsättningarna med testdata.

Mattias Jadesköld (14:34.542)
Hur gör man det? Jag har ett HR-system och testmiljö. Den innehålla 100 användare med före, efternamn personum. Hur får man testdatan? Finns det någon genväg?

Ludwig Östlund (14:51.118)
Det finns olika genvägar. Du kan tvätta data från produktion till exempel. Så att du gör det ojärnkännligt. Så att du kan ladda in det automatiserat i en databas som är den här testmiljön. Det är ett sätt. Sen kan du vara klurig och generera data som är unikt och inte blir riktigt heller. Det här är det många vill göra men det kan vara lite krångigare att få till.

Mattias Jadesköld (15:04.622)
Naja.

Erik Zalitis (15:18.062)
Jag kan tänka mig att vad du kan göra är att ha förnamnlista, efternamnlista, generator för personnummer som förstår att validera de här kontrollsiffrorna. så kanske lista på städer och så genererar du mix and match.

Ludwig Östlund (15:32.846)
och någon av dem här kommer ju bli en match med riktig person.

Erik Zalitis (15:36.142)
Ja, det ju för sig ett problem.

Ludwig Östlund (15:42.766)
Finns det sannolikhet för när de vinner på lotto så kommer de göra det? Det blir samma sak här. Så länge sannolikheten finns så kan det ju inträffa. Men man vill ju minimera den här risken. Det kommer alltid att hända incidenten om. Det kommer alla vara helt perfekt. Det är snarare att man jobbar med risken och minimerar den.

Erik Zalitis (15:53.998)
Ja, istället.

Erik Zalitis (16:05.07)
Nej, istället.

Ludwig Östlund (16:05.646)
Att få testdata är effektivt är en utmaning hos många organisationer. Dels är hela hanteringen av det här. Sen är det många som behöver testa över de här stora komplexa systemen också. De ligger bakom många banker, försäkringsbolag, telekombolag, var det nu kan vara. Många kunder ser hemsidan.

För att den ska funka så kan det finnas hundratals system som ska lira med varandra bakom. Det ser inte folk, så det är fascinerande att det ens funkar ibland tycker jag. När data ska flyga emellan och det ska komma en produkt som man har köpt till exempel. Det sker massor av saker, är bakgrundskontroll på person, det kan vara kreditchecker. Det ska dras pengar från någonstans också.

Mattias Jadesköld (16:36.526)
Ja exakt.

Mattias Jadesköld (16:48.59)
Vad

Ludwig Östlund (16:59.022)
Adressen ska vara en riktig adress. Den pratar med några register på nån ställe också. Det är mycket komplext. Då kan man tänka sig att den testaren som testade första systemet kanske inte vet hur lagerhanteringen funkar tre-fyra steg bort.

Mattias Jadesköld (17:17.006)
Nej, precis.

Ludwig Östlund (17:18.99)
Eller vice versa. Här har vi också utmaningar att kunna helheten. Då blir det väldigt komplext att skapa data mellan varandra, hela kedjan.

Mattias Jadesköld (17:29.102)
Ja det låter ju oerhört komplex, det låter ju nästan som… Vi kan undra liksom vad folk inte orkar köra hela den här testdataresan.

Ludwig Östlund (17:36.942)
Jo, så kan det vara. Många försöker hantera det här genom att testa mycket mer tidigare– –så att du får mindre av den här testningen mellan systemen. För den tar mer tid. Det man gör då, som jag nämnde tidigare, är att man mackar systemen– –och kan på så sätt testa av mycket av sitt eget– –innan man börjar interagera med andra.

Men det här datat kanske inte håller samma kvalitet eller kanske inte behöver hålla samma kvalitet. då finns det oförutsedda saker som kan hända när man börjar prata med de andra systemen. Just det, ja.

Mattias Jadesköld (18:16.334)
Vi ska gå över till testfall. Vad innebär testfall egentligen?

Ludwig Östlund (18:27.918)
Absolut. Testfall handlar om att verifiera det förväntade resultatet. Du förväntar dig system ska bete sig på ett visst sätt. Vi går in på att köpa en produkt på en hemsida. Du förväntar dig du får en produkt i slutändan. Du kanske ska kunna lägga till ett konto på den här hemsidan. Så du är kund hos dem.

Mattias Jadesköld (18:39.79)
Just det.

Mattias Jadesköld (18:45.966)
Ja, visst ja.

Ludwig Östlund (18:56.206)
Då gäller det att hitta rätt förutsättningar och att vi ska verifiera att det går att lägga till ett kontakt. Du har förväntat beteende att du får förmodligen en bekräftelse på mejl att nu har du ett nytt kundnummer hos oss. Det är förväntade resultatet. Det det man vill testa. Du kan logga in sen igen. Och då har du flera steg för att komma dit. Så du behöver förbereda rätt situation, rätt förutsättningar, tillstånd för att verifiera den här lilla grejen att du får det här.

Mattias Jadesköld (19:11.726)
okej. Nu är så.

Ludwig Östlund (19:26.126)
kundnumret tillbaka på mail. Så det är förväntade att du får det. Får du inte det, har du misslyckats med testet.

Mattias Jadesköld (19:33.198)
Men är det testaren som bestämmer testfallet? Om det är ologiskt, som du säger, jag vill ha ett nytt konto på hemsidan. Det förväntar sig så som det är för de flesta att man får ett mejl och kundnummer. Om det är en ologisk kedja där på något sätt att man ska göra något extra steg. Är det testarens påpekan som avvikelse?

Ludwig Östlund (19:52.11)
Det är många som jobbar med manuell testning som testar de här kantbollarna. Normalt sett brukar man tänka det gröna flödet. Det ska gå bra. Happy path brukar man prata om. Det är ett tillstånd där allting går bra. Men det finns många ställen som man kan skada systemet och göra fel egentligen. Att testa är att försöka hitta de här luckorna. Man täpper till det.

Mattias Jadesköld (20:14.734)
Ja precis.

Ludwig Östlund (20:20.942)
Som utvecklar kanske inte tänker på, de är kanske fokuserade på att leverera systemet. Men då är testarens uppgift att se till att hitta de luckorna så att det inte går att utnyttja systemet eller att du får skadat ansen för företaget. Ja men precis, säga att är en biljettpris till exempel som blir alldeles för billigt. Jättenöjda kunder men jättedålig för företaget.

Mattias Jadesköld (20:28.75)
Ja exakt.

Ludwig Östlund (20:49.934)
Är det för höga priser som kommer ut på hemsidan då är det missnöjda kunder och dåligt anses åt alla. Eller att det kommer ut felaktig information som sätter organisationen i dålig dag. Man vill inte hamna i tidningar någon annan.

Mattias Jadesköld (21:04.718)
Nyss då… Näe… Känner du igen det här? ju kallt att tänkte testa hela kedjan på det sättet.

Erik Zalitis (21:11.982)
Det måste du nästan göra, för om du inte gör det så är det ju alltid de här situationerna som du borde kunna testa som inträffar. Folk beter sig inte nödvändigtvis efter de mönster du förväntar dig.

Mattias Jadesköld (21:24.302)
Men jag tänker också att som vi utvecklar stora komplexa system så kanske man inte ser hela den här helheten. Man tänker att det en kund som ska exempel köpa en produkt utan man kanske sitter med en del utvecklar en knapp i hetta av de här hundratals strömmen eller någonting. Så då blir det extra svårt att se det också.

Erik Zalitis (21:41.806)
Sen tror jag också att stora problemet är att du förväntar dig att folk beter sig på rätt sätt. Vad händer? Magi händer när du gör saker i fel ordning. Eller bara fortsätter. Som jag sa förut, frustrationen. Det funkar inte. Klik, klik, klik. In i menyer, ut i menyer. Tryck tio gånger på Escape. Ctrl-C, Ctrl-D, Ctrl-Z. Till sist är det nåt som inte mår bra längre.

Ludwig Östlund (22:12.27)
eller försöka återställa lösnord för många gånger i rad om man ska fylla i sådana här hur många trafiklys än där. Det blir man blockerad för att man har försökt göra det för många gånger. Det är frustrationen.

Erik Zalitis (22:23.79)
Ja, och det blir bara värre

Mattias Jadesköld (22:26.99)
Testfalls modellering, vad är det för någonting då?

Ludwig Östlund (22:30.606)
När vi modellerar testfall brukar prata om vilken teckning vi vill uppnå egentligen. Vilka testfall ska man köra för att få en verifierad produkt i slutändan? Det finns så många olika kombinationer man kan göra på vägen. När man fyller i formulören på hemsidor och det ska trilla igenom kundtjänst som har hand på lading och så vidare.

Du har tusen produkter som kund på tio olika sätt. Du kan fylla i en miljon olika adresser. Det är omöjligt att testa alla de här sakerna. Nånstans måste man börja modellera vilka komponenter man testa. Hur ofta måste jag testa dem? Måste jag testa alla kantbollar? Minus ett, noll, tio, hundratusen? Måste jag göra det för alla steg?

Så här brukar man då modellera fram de testfallen som man själv anser att man måste köra. Man måste testa tillräckligt bra. Vi kommer lite igen in på riskbaserad testning där också. Men vill också säga värdebaserade också för att låta mer positiv. Det gäller ju att testa det som faktiskt ger värde. som sagt, vi kan inte testa allt. Men vad får absolut inte gå fel?

Mattias Jadesköld (23:41.806)
Ja, det det.

Mattias Jadesköld (23:47.374)
Ja, så.

Mattias Jadesköld (23:53.326)
Nej, precis.

Ludwig Östlund (23:56.782)
Då kan man använda sig mot produktion. Man kan kolla på statistik. Vilka produkter säljer vi mest? Vart har vi flest kunder? Var sker en ny utveckling? Vilka lagar påverkar oss härnäst? Vart får det inte gå fel? Då får man fokusera på de testerna som betyder nåt. Andra saker måste man riskera att inte testa.

Sen finns det ju såklart situationer där man försöker testa det mesta, till exempel läkemedel, flygplan och så vidare. Men till och med där kan man inte ta alla situationer.

Mattias Jadesköld (24:32.782)
Det måste vara svårt om du som kommer utifrån till en organisation och säger vad är det mest värdeskapande i testet. Kan organisationen svara på det? Finns det risk med det här regulatoriska eller vad kan vara för någonting? Förstår vad jag menar på. Det kan vara svårt för dem att svara på vad det är störst risk.

Ludwig Östlund (24:56.078)
Det inte helt lätt. De som äger business-affären kan sitta långt bort från IT– –och försöka prata samma språk däremellan. Jag brukar nånstans försöka få tag på de som sitter på det här datat. Vilka produkter säljer ni mest? Och försöka visualisera den testning som utförs i olika steg. Knutet till detta.

Nu har vi introducerat något nytt men vi har testat det här området eftersom det det här vi säljer mest av. Det här påverkar färre kunder och då har vi roll med den handpåläggningen i produktion om det går fel. Det gäller att kunna översätta det till dialogen. Vad blir påverkan för de som sitter och jobbar i produktion?

Mattias Jadesköld (25:50.318)
det är det.

Ludwig Östlund (25:51.694)
Men det är en utmanande dialog att hitta den här vägen faktiskt. Det är väl bland det viktigaste när vi kommer till testledning framförallt. Att kunna rapportera det till de som är stakeholders.

Mattias Jadesköld (25:56.526)
Ja, förstå det.

Mattias Jadesköld (26:04.846)
Ja, precis. Om man tar sig in i testarens huvud, vad behöver en testare ha i åtanke eller testdata?

Ludwig Östlund (26:21.614)
Testares huvud snurrar många saker. En testare vill ofta testa allting och göra det snabbt och repetitivt. Allt testarbete är inte manuellt. Många använder automatisk testning idag också. Det är mer eller mindre standard. Om du ska använda automatiska tester vill man köra om om igen. Kanske varje dag och varje gång du ska ut med nånting i produktion. Det måste data funka varje gång.

Mattias Jadesköld (26:48.718)
Just det.

Ludwig Östlund (26:49.422)
Man vill ha data som ska uppfylla det här. Du kanske skapar upp det varje gång. Sen kan du jobba i integrerade miljöer. Du vill hitta ditt perfekta data för att testa en produkt. Men vill inte att någon annan kommer snorda. Det kan vara fler här som är inne i samma miljö. Sen vill man kunna återställa data också. Säg att du har gått flera steg och kämpat. Sen har hittat en bug i ett system.

Sen vill du testa om det. Det kanske var ganska jobbigt att komma till det steget. Då vill du kunna göra det snabbt av automatestén.

Mattias Jadesköld (27:24.718)
Ja exakt.

Ludwig Östlund (27:26.83)
Sen vill jag ha dåligt data så klart.

Mattias Jadesköld (27:29.518)
Man vill att det gå lite fel.

Ludwig Östlund (27:32.142)
Ja men, säg till exempel att du ville köpa någonting men du har inga pengar eller inte trovärdig att kunna ha ett abonnemang. du vill ju ha en kreditchecks som säger att nej, du får inte köpa någonting. Så det måste ju testas också. det brukar snarare vara en omvänd utmaning att man använder samma konto så många gånger så att man blir kreditspärad i systemet. Då måste man åstala det också. Så att det går att testa HappyPan.

Mattias Jadesköld (27:44.11)
Nej, stå.

Mattias Jadesköld (27:56.43)
Ja, det så

Erik Zalitis (27:57.134)
Det intressanta är hur du gör när du misslyckas. Vi hade en kund på många år sen som hade ett system som gjorde en kreditvärdesanalys varje gång någon skulle beställa en försäkring. Det var ett stort försäkringsbolag. Då gick det hem tjänsterna vi kunde inte få kontakt med på grund av nätverksfel. sa kunden att de godkänna allt vi inte kunde kontakt med. Så vi har nog godkänt ganska många dåliga lånare. De var inte glada kan jag säga.

Ludwig Östlund (28:23.502)
Nej, det förstår

Erik Zalitis (28:25.742)
Typiskt dålig heltest. Ja, grejen är det som kallas för fail safe och fail secure. Idén med ska vi misslyckas och säga att du får inte ta ett lån för vi har tekniska problem eller ska du säga varsågod, gör ingenting dumt.

Mattias Jadesköld (28:38.862)
Ja.

Mattias Jadesköld (28:43.022)
Ja, precis. Det är också en del att testa. Men om någon del av tjänsten ligger nere, vad händer då med hela kedjan?

Ludwig Östlund (28:50.798)
Absolut. Det kanske inte är man tänker på i första skedet. Men saker och ting måste kunna gå ner längs skedan och det ska funka ändå. Recovery brukar vi prata.

Mattias Jadesköld (28:58.542)
Nå.

Ja, just det. Sådana tester är tråkiga.

Erik Zalitis (29:07.566)
10 % 11 % i kaffe

Ludwig Östlund (29:12.942)
Det är inte de första man tänker på. Det finns flera som faller under den kategorin som man kommer in i sent skede eller man har fått bakting för att det kommer en sån här nis 2 som många organisationer har åket ut för. De flesta.

Mattias Jadesköld (29:25.326)
Ja.

Ludwig Östlund (29:29.294)
som gör att man måste påvisa att man gör dem eller hur man gör dem eller att man har tänkt på risken på något vis.

Mattias Jadesköld (29:34.99)
det. Ja. Sen finns det något som heter test data management eller TDM. Vad innebär det exakt då?

Ludwig Östlund (29:41.902)
Test data management är egentligen hanteringen av test data hela livscykeln. Som vi pratat om innan så innebär det allt från att designa och planera vilket data som behövs men också att kunna skapa upp det i testmiljöerna. Då har pratat om att generera, har pratat om att obfuskera, vill säga man gör det ojärnkännligt från när det ser ut i produktion men också att förvalta test data över tid.

Mattias Jadesköld (29:46.446)
Mm.

Mattias Jadesköld (29:57.262)
Mr.

Ludwig Östlund (30:10.094)
Så att det finns aktuell data som testarna kan konsumera. Och det kan vara att bygga tjänster kring hanteringen av testdata så att det blir lättare att hitta det data man behöver. Till sina tester.

Mattias Jadesköld (30:13.55)
Nu står

Mattias Jadesköld (30:21.326)
Ja, det är någon slags mognadstrapa för att kunna komma igång med TDM. Men var ska man börja egentligen?

Ludwig Östlund (30:30.382)
De flesta börjar i det manuella kaoset. Ingen har riktigt koll på rutinerna kring testdata. Man kan sno varandras testdata fram och tillbaka. Och miljöerna blir snabbt nedsmutsade. Är vi lite mer mogna kan vi prata om att man maskar produktionsdata på ett bra sätt. Så att det inte blir en av de här riskerna med persondata som vi pratade om tidigare.

Mattias Jadesköld (30:43.758)
Ja, det det.

Ludwig Östlund (30:58.83)
Kliver vi en nivå så finns det en tjänst, testorganisation– –som har hand om datat på någon nivå. Ett visst ägarskap. Så det här kaoset inte minitieras. Man minimerar risken. Kliver upp så kan vi prata om automatiserade tjänster– –där vi kan skapa data i systemen utan att känna till kringliggande.

Behöver det nåt som en kund som har kreditsbehörighet– –så kan du lätt konsumera en sån genom ett knapptryck– –i ett webbigrensning eller ett annat verktyg.

Mattias Jadesköld (31:42.222)
Just det. Det står SAST på din dator. är väl en del av automatisering med tester och sånt.

Ludwig Östlund (31:51.374)
Nu läste ni det sast på min dator. Det är en helt annan grej. Ni har en del med security att göra. Det finns tydliga paralleller till att det ska vara static analysis software testing. Det vill att koden är säker. Den här har faktiskt en annan betydelse. Jag menar en organisation som heter Swedish Association for Software Testing. Det är en ideellt testorganisation i Sverige.

Mattias Jadesköld (32:05.454)
Vad är det där det inte bra

Ja.

Erik Zalitis (32:21.102)
Jaj.

Ludwig Östlund (32:21.742)
Som också vill främja just test, mucore-testning ska jag säga.

Erik Zalitis (32:25.966)
Ja, jag en fundering. är faktiskt inte om just det, men just den här grejen är AI kommer in i precis allting. Vad är AI-vinkeln för testning? Just det.

Ludwig Östlund (32:36.27)
Många har börjat använda AI för att skriva tester och få en bättre idé av vad man borde testa för någonting. Allting är tråkigt att dokumentera och skriva, så där har AI hjälpt oss mycket på sistone.

Mattias Jadesköld (32:48.238)
Ja, skriva testprotokoll och sådana saker.

Ludwig Östlund (32:51.886)
Här kanske skriva testfallen från början. Här har jag en user story. Vilka tester borde jag göra? Så får du ut tio testfallar plötsligt. Det hade tagit dig några timmar att fundera på vad du borde testa och vad som är viktigt just nu. Det kommer ut massor av text. Sen kan det vara så att allt kanske inte är toppen. Men du fick väldigt mycket mer idéer och mycket gratis hjälp på vägen och kan slänga det du inte behöver.

Mattias Jadesköld (33:14.734)
Nej.

Ludwig Östlund (33:15.374)
Det som manuellt testing har gjort är stor skillnad att kunna analysera krav, verifiera krav och de är bra att skriva. Jag binder mycket för att det ska vara bra tid i kedjan så där gör det väldigt mycket nytta redan. Sen kan vi prata testautomatisering också. Många utvecklare använder AI för att skriva kod snabbare.

Mattias Jadesköld (33:37.07)
Det måste ställa större krav på testandet. Man kan jättesnabbt skriva kod med hjälp av AI men man kanske inte har 100 % kontroll över det som man hade förut.

Ludwig Östlund (33:48.43)
Det här är en jätteintressant spaning som har skett i hela IT-världen. I och att ARIN har kommit in så producerar vi mycket mer än vad vi gjorde tidigare. Det finns mycket mer att testa också. Det produceras mer rådekoder, det publiceras mer features per tidsenhet än vad vi gjorde tidigare. Då finns det mer att testa också. Testerens jobb är fortfarande jätteviktigt.

Mattias Jadesköld (34:00.718)
Ja. Och du menade att produceras mer raderkodligt?

Ludwig Östlund (34:16.942)
Vad ska vi tänka på när en AI har producerat någonting också? Det finns mycket texter och information att hämta kring det här. är helt annat än det händer sig utanför testat.

Mattias Jadesköld (34:20.525)
Ja exakt.

Mattias Jadesköld (34:29.166)
Ja exakt. Men det blir på något sätt lite mer större utmaning än på en ny utmaning kanske.

Ludwig Östlund (34:35.373)
Men om vi pratar automatiserat test så kräver det att man kodar också. Alla är kanske inte lika duktiga utvecklare som utvecklarna själva. Men om du vet vad du vill göra ungefär så får det väldigt mycket hjälp när du ska koda någonting. Du vet ramarna, du vet att du vill populera med viss typ av testdata. A1 kanske hittar på någon testdata, till och med om du ber den snäll. Ge mig tio namn som ni pratade om tidigare.

Mattias Jadesköld (34:43.694)
Ja.

Mattias Jadesköld (34:50.766)
Nåsta.

Mattias Jadesköld (34:59.566)
Vad är det där?

Ludwig Östlund (35:03.726)
så får du tidnamn. Men de representativa, det vet man inte heller. Så där får man ju granska själv. Så man hamnar i en gransknings- loop, även som testare. Inte bara som utvecklare när man producerar kod, om man ska hitta om den här koden duger. Men, ja.

Mattias Jadesköld (35:05.454)
Mm.

Mattias Jadesköld (35:09.102)
Nej exakt.

Mattias Jadesköld (35:26.766)
Om man vill komma igång med automation inom testområdet, var ska man börja någonstans?

Ludwig Östlund (35:34.606)
Jag tycker att man ska börja söka på vilka nyttar den kan göra. Många bygger automatisering utan att tänka vilket värde det den här. Jobbar man i ett team som testare så ska man bli tjänare som utvecklar också.

Mattias Jadesköld (35:40.494)
Hmm?

Mattias Jadesköld (35:45.934)
Så är det.

Ludwig Östlund (35:53.614)
förklara visionen så att de är med på tåget. För de kommer kunna hjälpa dig att komma igång mycket snabbare om du inte kan automatisering. Sen gäller att ni väljer ett godtyckligt verktyg. Sådär. Nej, ni behöver hitta en gemensam plattform att jobba på. Det kan ju vara så att det redan finns någonting i organisationen som har de behoven, som uppfyller de krav man har för att kunna jobba effektivt.

Det är väl något jag brinner för igen. Jag har jobbat som ansvarig för automationsfunktioner. ser till att teamen jobbar på ett likartigt sätt. För att kunna komma igång snabbare just. Men tips, börja med med utvecklarna. Kolla vilka verktyg som gäller. Idag finns det många populära för webbtesting. Idag är Playwright ett bra exempel på vad som är hett där ute.

Mattias Jadesköld (36:52.142)
Jaja

Erik Zalitis (36:52.814)
Den har jag använt faktiskt väldigt bra. Jag gör del utvecklingar där också. Den integrerar väldigt bra med vissa AI-n och sånt där så att den kan köra i bakgrunden.

Ludwig Östlund (37:04.302)
Många har gått över till JustPlayer efter att kört Selenium tidigare. Ett annat populärt verktyg bland other consoles är Cypress också. Lite mer JavaScript. Båda har sina nischer varför man tycker om dem. Båda är bra tycker jag.

Erik Zalitis (37:12.206)
Nej okej.

Mattias Jadesköld (37:19.374)
Det kommer in när man har utvecklat färdigt produkten eller samtidigt

Erik Zalitis (37:24.238)
för att testa att saker jag bygger faktiskt funkar. Då ska jag erkänna att jag inte är jättebra på den. Jag använder den huvudsakligen genom att snöra upp den via klod. Men jag har ju sett resultatet av den och analyserat loggor och sånt där. Den verkar kompetent på det den gör.

Ludwig Östlund (37:40.014)
Absolut. Det Playwright gör är att den öppnar upp en browser egentligen. Antingen på riktigt eller under bordet kan man säga. Och klickar runt det här flödet egentligen enligt att automatisera script.

Erik Zalitis (37:50.926)
Ja, det är så.

Mattias Jadesköld (38:00.686)
Genom att automatisera det så varje gång utvecklar en ny produkt eller ny funktion kan du alltid köra hela testet hela tiden. Så det det man vill så man inte själv ska sitta manuellt och börja om varje gång någon som…

Ludwig Östlund (38:08.654)
Absolut.

Ludwig Östlund (38:13.614)
Exakt. Då är vi inne på begreppet regressionstestning.

Mattias Jadesköld (38:17.166)
Ja ja

Erik Zalitis (38:17.678)
Det är joy. Jag har just lärt mig att använda de där flödena i github så att man kan göra sådana saker.

Ludwig Östlund (38:27.342)
Registrionsstesting. vill att den befintliga funktionaliteten ska funka när du introducerat något nytt igen.

Mattias Jadesköld (38:33.646)
Ja, just det. Så det är lätt att man inte gör det där.

Ludwig Östlund (38:36.59)
Kan du boka hotellet till exempel så vill du kunna göra det även efter releaseen när du har introducerat någon ny funktionalitet i menyn där.

Erik Zalitis (38:44.174)
Alla.

Erik Zalitis (38:47.79)
Det jag upplevt som är svårt med det, för det ingår ju du sätter in en ny funktion och så bara, nu ska jag testa. Ja, just Det funkar fortfarande. Det ju väldigt, väldigt dumt att göra det manuellt. För du glömmer alltid något steg. Du måste nästan som pilot har en ska starta ett flygplan. Var en preflight checklist. Det här, det här, det här. Slå gärna på motorerna innan du tar bort bromsarna och så vidare och så vidare.

Ludwig Östlund (39:11.47)
Ja men vi människor blir ju lata någonstans. Så ju länge man håller på med någonting repetitivt så kommer man trötta. Man kommer missa att titta på någonting som du säger. Men har du automatiserat och scriptat så kommer det bli samma sak varje gång.

Mattias Jadesköld (39:13.806)
Precis.

Erik Zalitis (39:25.998)
Då får du ett gäng sån här kryssar ut och blubbblubbblubbklart. Steg 10, misslyckades, undersökts.

Mattias Jadesköld (39:31.438)
Om du hittar på en ny funktion som du sa att man kan boka hotell nåt, då kan det vara en grundläggande funktion som slutat funka. Nu går inte att skapa konton på den här.

Ludwig Östlund (39:41.134)
Ja exakt. är ganska vanligt att man tänker att jag inte pillat.

Nej, men ibland gör det ändå. Det är ganska vanligt faktiskt.

Erik Zalitis (39:52.43)
Det här borde vi inte höra hemma. Jag tog bort ett gammalt projekt och tog ner den andra webbsaiten. Det visade sig att man hade använt det här ramverket från den andra webbrotkatalogen. Så när jag tog bort en helt orelaterad site så sänkte jag huvudsaiten.

Mattias Jadesköld (40:11.054)
Det är klassiska teknikersvaret.

Ludwig Östlund (40:16.014)
Då kanske vi är inne på ett system. Tänk att det är fyra system och så ändrar man någon datamodell någonstans. Jag vet inte alls hur systemet fyra ledbort hanterar den förändringen.

Erik Zalitis (40:27.15)
Men det är så svettigt man sitter där så plötsligt kommer ett mail. Hej, sagt it-säkerhetspodden är ner. Okej, vad gjorde jag nu och varför?

Ludwig Östlund (40:35.374)
En annan ganska rolig grej där, om vi pratar att AI testar, du kan ju släppa in en AI och klicka runt på sidor också. Men AI, den lite mer lik hos människor i beteendet skulle jag säga. Även script? Ja, script. Skippet kommer göra samma sak. Men AI är ju lite konstruerad för att vara effektiv i tokens. Man kan ju säga att den blir lata också.

Mattias Jadesköld (40:43.31)
Ja.

Mattias Jadesköld (40:59.566)
Nu ska vi

Ludwig Östlund (41:02.382)
Så den kommer kanske inte att testa lika uttammande varje gång om det börjar konsumera för mycket. Det kommer ta genväger för att minimera sin kapacitet.

Mattias Jadesköld (41:06.958)
Ja.

Mattias Jadesköld (41:12.558)
Ja exakt, just det. Ja, det är spännande tid man lever i.

Erik Zalitis (41:17.71)
Det här fascinerar mig. Just den här, de tänker inte på testningar men det är väl inget roligt. Nu har vi byggt grejerna, den verkar funka. Push to production.

Mattias Jadesköld (41:29.006)
Det är det som jag inledde lite bättre kan vara lite mer men det låter som att en modern testorganisation då ska man verkligen jobba nära utvecklingsteamet och automatiserat och säkert aspekterna.

Ludwig Östlund (41:40.238)
Absolut. Sen tänker att man ska komma och säga vad som är fel. Men tycker också att en stor del av yrket är att föreslå vad man borde göra i så fall. Så att man inte bara kommer med ett problem till någon. Det handlar mycket om stämning. Man jobbar med människor som när man hittar ett fel så borde man säga så här kan man göra istället. Vad tror du om det? Så kommer resan gå mycket lättare.

Mattias Jadesköld (41:51.598)
Någonstans.

Mattias Jadesköld (42:04.206)
Ja.

Erik Zalitis (42:06.99)
Det är den psykologiska delen. Att inte irritera utvecklare och… Nej exakt.

Ludwig Östlund (42:08.43)
Absolut.

Mattias Jadesköld (42:13.198)
det ju lite den resan som säkerhetsvärlden också tagit. För många år sen så var det ju liksom säkerhetspersonen som kom sist i utvecklingen och sa nej och stängde brandväggen ungefär. Nu är ju liksom också säkerhet en del av hela kedjan med… I de bästa fall då.

Erik Zalitis (42:28.206)
Ja, det där är ju väldigt… Jag tycker är intressant hur mycket psykologi ändå hör ihop med IT på ett sätt som folk inte tänker på. För när vi intervjuar folk, vi har intervjuat ganska mycket folk i de här åtta åren vi hållit på. Då är det väldigt ofta psykologi kommer in i sådana här liten små saker. Man kanske inte ska… Man förstår användarna inte ska klicka på saker, man måste instruera dem och sådana grejer. Även här förstår jag att det gäller att hålla stämningen god, för du är inte någon som bär goda nyheter när du öknar dörren.

Ludwig Östlund (42:56.814)
Förmodligen inte.

Mattias Jadesköld (42:58.734)
Man vill ju som testare hitta fel antar jag. Det man vara på här överallt.

Ludwig Östlund (43:03.246)
Det är lite tillfredsställande att hitta någon kantball. Men framförallt att lösa problemet. Men som du säger, psykologin, måste göra det här. Sen får ni inte göra det.

Erik Zalitis (43:16.078)
Men när man pratar med utvecklare när man gjort olika säkerhets- tester, det är att inte fel. Det ska vara så

Ludwig Östlund (43:27.566)
En vanlig ursäkt man kan få är att det är fel på testdatat.

Erik Zalitis (43:31.726)
Alla hur den där händer inte när vi testar.

Ludwig Östlund (43:34.67)
Det är problem med testdata. Det funkar inte genom alla system. är en testare som få en utvecklare tillbaka. Det inte många e-gångar.

Erik Zalitis (43:44.462)
Min favorit är att vi vet om det här, men det inget problem. Vi vet om det hela tiden. Vi sa ingenting bara, men hej.

Ludwig Östlund (43:52.654)
Sen kan man prata om flikutest också. Man får olika beteende olika gånger fast man fattar inte varför egentligen.

Erik Zalitis (43:58.83)
Det är hopplöst, inte med tenta fel. Det det som man vill gråta.

Ludwig Östlund (44:03.246)
Någonstans som man egentligen inte kollat vad är själva grundersaken och det finns en anledning till det. tar för lång tid att ta reda på det.

Erik Zalitis (44:10.894)
Det vill också permutationen skenar ju. har permutationen x, a, b, funkar, a, c, funkar, a, q och sen x då händer det saker.

Mattias Jadesköld (44:23.758)
Ja, men det intressant. Det känns som om tömt dagens ämne lite med testdata för idag egentligen. Det finns säkert mer att prata om naturligtvis.

Ludwig Östlund (44:33.294)
Jag kan prata länge som helst.

Erik Zalitis (44:35.534)
Ja, det har vi inte band till. Rullbandet har slut.

Mattias Jadesköld (44:39.278)
Men tack så mycket Ludvig Östlund att du var med i IT6-paden.

Ludwig Östlund (44:45.23)
Det kan vi göra.

Ludwig Östlund (44:50.158)
Tusen tack, det var jättekul att få vara här med er. mycket rolig diskussion tycker jag.

Erik Zalitis (44:54.414)
Och vi hörs som vanligt om en vecka. för att ni har lyssnat!

(Denna transkription är automatiskt genererad och kan innehålla felhörningar)

Länkar – AI

• Händelsen som ledde till en hel del problem bara för att en artist kallade en låt efter ett telefonnummer – som fungerade
• Ludwig på LinkedIn.
• Ludwigs föredrag på SIG Security

Felaktigheter

• Låten 867-5309/Jenny hade ett nummer som ledde till kvinnan som låten handlade om, inte ett elbolag som Erik Zalitis felaktigt påstod i samtalet.

Inlägget #335 – Testdata, för utveckling med informationssäkerhet, har du kontroll? dök först upp på IT-säkerhetspodden.

I dagens avsnitt diskuterar Erik Zalitis och Mattias Jadesköld tillsammans med Patrick Schlapfer på HP. Patrick arbetar till vardags med Threat research och ligger bakom HP:s senaste rapport.

Vad är det senaste metoderna som angripare använder? ”vibe-hacking” – vad är det? Hur an de komma åt kryptovaluta genom en backupfil? Och hur kan angripare använda ljudfiler för att ta sig in i datorer?

Det och en hel del annat i dagens avsnitt som är på engelska!

Inspelat: 2026-08-26 (publicerat 2026-08-30)
Deltagare: Erik Zalitis, Mattias Jadesköld och Patrick Schlapfer.
Texten skrevs och sammanställdes av Erik Zalitis. Intervjun är på Engelska.
Avsnittet presenteras i samarbete med HP.

Medan du lyssnar – Vibe hacking

Här är transkriptionen av avsnittet

1
00:00:12,654 –> 00:00:21,262
Mattias Jadesköld: I dagens avsnitt tar vi oss en titt på hotlandskapetsammans med HP. Det finns några angrepp som sticker ut under den första delen av 2026.

2
00:00:21,262 –> 00:00:42,734
Erik Zalitis: Ja, precis. Vibe hacking till exempel, och hur angripare döljer skadlig kod i ljudfiler. Rena agentfilmen. Ja, det kanske är en sanning som kan läsas ut i HP Wolf Security Threat Insights report, som släpptes för ett par månader sedan.

3
00:00:42,734 –> 00:01:01,026
Mattias Jadesköld: Det ska vi ta en titt på närmare idag, och det gör vi tillsammans med Patrik Schlapfer som arbetar som principal threat research. Vi kommer prata engelska rätt avsnitt av IT-säkerhetspodden som förutom Patrik, då består av Mattiaskö i sin vanligording. Welcome, Patrick.

Patrick enters our virtual studio

4
00:01:01,026 –> 00:01:04,558
Patrick Schlapfer: Welcome. Hey, thank you so much for having me.

5
00:01:04,558 –> 00:01:06,990
Mattias Jadesköld: Yeah, how how are you?

6
00:01:06,990 –> 00:01:11,106
Patrick Schlapfer: I’m all good. pretty good actually today. How are you doing?

7
00:01:11,106 –> 00:01:19,310
Mattias Jadesköld: Fine, thank you. We had some issues with the sound but now it seems to be working. Eric is happy with the sound solution now?

8
00:01:19,310 –> 00:01:23,662
Erik Zalitis: It’s always something is screwing up with the sound and that’s just how it is.

9
00:01:23,662 –> 00:01:33,898
Mattias Jadesköld: Right. Okay, so normally you work as threat research at HP. what do you do on a normal basis, Patrick?

10
00:01:33,898 –> 00:02:30,102
Patrick Schlapfer: I do. That’s a good that’s a good question. Well, I have the fun job to actually look through all the collected telemetry data from our different security solutions, analyze the dead data, and then find all the interesting threats and take them apart. With all the data and the analysis I do, I do then get to write interesting reports such as the quarterly threat insights report. I do also write occasional blog posts, which is published on our threat block and I also do share quite a lot of information with the community because in the end security is a game as a team so sharing is definitely caring. Besides the whole threat research part, I do work together with the defensive security research team so that we can improve security solutions and create new solutions, which hopefully also protect for from the future threats.

11
00:02:30,102 –> 00:02:34,766
Mattias Jadesköld: Right, okay, so a lot of different tasks during a day, I guess. Yeah. And where are you located?

12
00:02:34,766 –> 00:02:42,277
Patrick Schlapfer: Absolutely, yeah. I’m actually located in in Zurich in Switzerland.

13
00:02:42,277 –> 00:02:48,320
Mattias Jadesköld: Okay. Some it’s a bit big difference between Switzerland and Sw Sweden, but

14
00:02:48,320 –> 00:02:49,304
Patrick Schlapfer: Yeah.

15
00:02:49,304 –> 00:02:55,330
Erik Zalitis: They get them confused all the time, isn’t it? Like Yeah, Switzerland and Sweden the same country.

16
00:02:55,330 –> 00:03:00,950
Patrick Schlapfer: Yeah, absolutely. Quite in a different place, but both I would say very beautiful landscapes.

The making of an IT-security pro – How Patrick got started in the business

17
00:03:00,950 –> 00:03:10,168
Mattias Jadesköld: Yeah, definitely. Right. So it seems like you’ve been working with IT security for some years now, but how did it all started?

18
00:03:10,168 –> 00:04:59,008
Patrick Schlapfer: Well, that that was actually quite some time ago. So when I studied at the university, I I grew my interest in security in general. So I decided to take one or the other course in the area of security, like from cryptography to network security to to malware analysis. And I decided that malware analysis is probably the most interesting thing to have a look at because I I quite like to take apart software and understand how it works. So after I finished my degree, I actually had the chance to work as a research assistant directly for the university in a research project. So what we built back then was a dynamic malware analysis sandbox, which we created to through writing a custom Linux kernel module to basically do virtual machine introspection. I was very much into memory forensic at the time, and with the kernel module, we were able to capture the memory of a virtual machine from the hypervisor level. And therefore basically do dynamic analysis without having an in-guest agent. So that was that was the start and that was the whole fun around malware analysis. I later then decided after the research project it would be good to understand how security works in the real world outside academia. So I joined to work for a bank in security operations, and we focused a lot on incident response. but also did a bit of threat intelligence, basically taking apart and analyzing the threats we see and then share it with the community. After working for the bank, I was quite keen to understand malware even more in depth. And that’s when I actually joined HP as a threat researcher almost six years ago. Yeah, and that’s been quite an interesting journey and here we are six years in.

19
00:04:59,008 –> 00:05:06,840
Mattias Jadesköld: Right. So interesting. Yeah, you have a lot of banks in Switzerland, don’t you? So it’s a good way to start. Yeah.

20
00:05:06,840 –> 00:05:24,492
Patrick Schlapfer: Well, I mean I mean back at the time this was one of the I would probably say one of the two main companies who would hire security professionals. The other one was was the government. definitely very interesting project as well, but working for a bank was quite an interesting experience as well.

21
00:05:24,492 –> 00:05:46,552
Mattias Jadesköld: Yeah. Right, so we’re gonna dig into this annual report. It’s as Eric said mentioned in the beginning that it’s called HP Wolf’s Security Threat Insight Report. but a bit overall, w w what’s the reason why this is re report being created annually?

22
00:05:46,552 –> 00:06:40,660
Patrick Schlapfer: Well, we do collect all this valuable thread information, right? And one thing I’d like to say is that it does never represent like the full thread landscape. It’s just yet another different vantage point if we compare it to other security vendors and security companies. And therefore, with all the data we have, we thought, well, it’s very valuable information, so let’s share it with the community. First of all, it gives a lot of security awareness to share a bigger picture of the threat landscape, even on a higher level. But there are also technical lug nuggets in the threat insights report, such as interesting techniques which are used by the attackers, which actually help the security practitioners to understand those techniques and then build protections or build detections against those attacks.

We open the actual report and Patrick delves into the emerging patterns worth knowing right now

23
00:06:40,660 –> 00:06:52,770
Mattias Jadesköld: Right. So but if you compare the this report with previous ones, i is there anything that stands out? It’s a bit different or something?

24
00:06:52,770 –> 00:09:13,346
Patrick Schlapfer: Well that’s that’s a wide question, I think. But there are definitely four I would say like well a couple different things that stand out. well if if if we look back about ten years ago or so, we were used to having those classic attacks with Word documents containing macros, which are then sent as an attachment to the user. And only with probably like one or two clicks your device was infected. Back at the time, like emotet one of the big moller families, which is luckily not not around anymore. nowadays it’s it’s quite a bit different. So from those two clicks, I would say it’s like a click to infection. This increased quite a bit. So nowadays we see that an infection requires more clicks because the user has to open a file, open an archive file, type in a password, and then open. Yeah, probably a script inside it and such kind of things. So this whole amount, number of clicks to infection increased, which also means that attackers and threat actors are focusing a lot more on social engineering. So the social engineering component in the beginning of an attack becomes very relevant for them. So they invest quite a bit of resources to make them more convincing. So the attacker actually Well, performs a specific task. Most often they try to blend in with standard business operations. So it’s very difficult for a user to distinguish between something legitimate and something malicious. Then another thing we’re seeing is that there have be has been this shared intermediate stage. Now, if we look from a higher level at an infection chain of such a cyber attack, we can probably split it into two. into three different stages. We have the initial infection with the social engineering. Then we have an intermediate stage with all the scripts which are running, basically which are responsible to then install the final payload. And then in the end we do have the final payload. And one of the things we’re seeing lately is that not only the social engineering and the final payloads are shared amongst thread actors, but also those intermediate stages. And this tells us that it’s not

25
00:09:13,346 –> 00:10:44,416
Patrick Schlapfer: This one man show where a hacker tries to target an organization, but it’s a full ecosystem of cybercrime that works together. So threat actors can go and buy malware families, intermediate stages, or also all kinds of different lures off the shelf from hacker markets or from hacking forums and such kind of things. And then there’s one thing I didn’t mention yet, but AI is of course also a part of the thread landscape and how it evolves over time, right? So one thing I can see up fr say up front is that we haven’t seen autonomous attacks as they are like shown in the movies. But attackers are making very much use of AI models to then create all kinds of different stages. For example, the intermediate stage which is responsible to install the final payload is very often created through Vibe WIPE coding or so-called white hacking. So they use a model and then they tell the model, hey, in in normal language, create me this specific infection stage, do this and that. And then it creates this very well. And it also works quite well for the social engineering engineering laws in the beginning. So if they want to create like a simple website or if they want to create a simple document or something like this. The AI models are very, very helpful for the attackers in this case. So that would probably be the four main things I would say.

The door within your computer – how hackers use remote tools to take control

26
00:10:44,416 –> 00:11:11,566
Mattias Jadesköld: Yeah, we’re gonna dig in a bit more on some topics and some of them are vibe hacking as Erik mentioned as well. But I I found three interesting topics w which from this report I think we should dive into. So let’s start with the first one. This is about remote tools that hackers are using remote tools like Log Me In or Screen Connect. How does this work?

27
00:11:11,566 –> 00:12:48,096
Patrick Schlapfer: Well, that’s a good question. So, first of all, that’s not something that is entirely new, right? we have seen such attacks in the past, like attackers using official and legitimate remote access tools to to compromise devices. That’s been around for quite some time. Now what’s different now is that we have seen quite an uptick over the last quarter, over the last half a year. So that’s something that stood out. And the second thing is that in the past, whenever I did an analysis of such an installer, I noticed that the thread actor actually modified the installer to connect to attacker control servers, right? So in this case, the whole infrastructure of the legitimate service, such as remote administration tool, is not in the whole scenario. So it’s directly connecting to attacker control servers. What they are doing now is that they take it as is and install it on a victim’s device. Now, this remote access solution then connects to the official service provided by by the application company. And therefore, it is very difficult to distinguish whether this is something malicious or something clean. And the thread actor, all he all they do is basically they have a login to this service. And then they see all the different devices which are connecting to the service, and then they can execute various different commands on the device and basically control it.

28
00:12:48,096 –> 00:12:57,034
Mattias Jadesköld: Okay. So these are all the so these are not just hacking tools, these are like normally remote tools that the hackers are using.

29
00:12:57,034 –> 00:13:58,434
Patrick Schlapfer: Exactly. And that makes it so very difficult, right? those are legitimate tools. Lots of organizations actually use those tools specifically in IT support organizations. So whenever someone has an issue with their device, they they can remote in and fix the problem directly on their device. and it it’s it’s a very similar thing for for all kinds of different software solutions or tools, such as for example, take PowerShell. PowerShell is a brilliant tool for to do like system administration. But in the end, it’s also a very common tool to be used by attackers because it has a lot of possibilities to interact with with the device in the end. So with those remote access tools, attacker are using legitimate software in a malicious way. And in the end that’s very, very difficult to figure out in a network. Because maybe the organization is using specifically such an organ such an application as well themselves.

30
00:13:58,434 –> 00:14:07,320
Mattias Jadesköld: But how how how can I prevent these type of attacks, for example, if I’m working in an IT department in on an organization?

31
00:14:07,320 –> 00:15:22,326
Patrick Schlapfer: Well it’s it’s definitely not an easy task third to attack from such an attack, yeah. it might be probably quite a boring answer, but in the end it is it is also an o an evergreen, but a and and you know this for sure, it’s like have a good inventory. I know it always sounds so easy and it never is because having like a clear and and a complete inventory is pretty much impossible. But having an idea of specific services you’re using can be quite helpful. So if you know that, hey, are you using this or the other remote access tool, then you can monitor for other remote access tools to be used within the same organization, which is probably a lot not legitimate in this case. And then the other thing is that, well, try to install software only from trusted sources. Now in those specific campaigns, thread actors are actually installing the software. So it’s not a user installing the software, but it’s a thread actor. And last but not least, if you control the admin privilege on a user device, then they have less capabilities to install such potentially malicious software on their operating system.

32
00:15:22,326 –> 00:15:31,694
Mattias Jadesköld: Yeah. Erik y you work as a pen tester. Have you ever experienced that that these type of attacks using remote tools?

33
00:15:31,694 –> 00:16:01,426
Erik Zalitis: Well, as a pen tester, I’m trying to do the same, pretty much. So I I can’t say that but as working with this SOC at the Security Operations Center, which I can help at my company, the company I work for, that is. Yeah, we we’ve seen they’re trying stuff like that. Mostly they’re trying stuff like that with phishing attacks. But of course, that’s not the only show, so to speak. So yeah, that’s a thing. No disagreement.

Your money at risk – how crypto wallets get stolen

34
00:16:01,426 –> 00:16:24,888
Mattias Jadesköld: Okay, that’s good. Okay, let’s jump to the next topic, which is also kind of interesting. a bit outside my comfort zone because it’s about crypto w wallet wallets and and restore. that it’s mentioned in the report that is false restoring of crypto wallet wallet wallets. How how does it with this work?

35
00:16:24,888 –> 00:16:34,519
Patrick Schlapfer: Well, it’s Yeah, that’s that’s definitely interesting. So did you ever lose your own crypto wallet?

36
00:16:34,519 –> 00:16:40,750
Erik Zalitis: Don’t have any trouble. That seems like a smart thing. The only way to win this game is not playing it.

37
00:16:40,750 –> 00:17:31,562
Patrick Schlapfer: Exactly. Well, definitely, definitely on my side here as well. Yeah. Well, yeah. what is it? Well, so a crypto wallet i i it’s basically the key to the kingdom, right? So it’s basically a a key that you have locally on your device. if you decide to have it locally, it’s a private key, which allows you to gain access to the whole crypto assets you have. the crypto assets themselves are actually stored on the blockchain, such as Bitcoin as an example, but the the private key is something you keep to yourself, in hence the name private key. Now, if an attacker is able to get access to such a private key, then they basically control all the funds you have on the specific blockchain, which is quite a big disaster in this case.

38
00:17:31,562 –> 00:17:38,506
Mattias Jadesköld: Yeah. Because the banks cannot help you in this case because it’s decentralized, like Bitcoin, for example.

39
00:17:38,506 –> 00:18:43,360
Patrick Schlapfer: Exactly. it’s decentralized. So there’s no help from from anyone. and if if if an attacker controls the private key, they can basically redirect all your bitcoins or whatever cryptocurrency you are you are using to yet another wallet because they have the private key and with the private key they can easily sign new transactions, which then sends the money to someone else, which presumably in this case will be a tactor in its own. That’s why our attackers are so interested in finding local crypto wallets and exfiltrating those private keys. So this is a very common technique when we look at all kinds of different information stealers. They are usually built in a modular way where they have like all kinds of different capabilities, such as like password stealing or I don’t know, browsing history stealing. And one of those modules is definitely always like crypto wallet stealers. Because a crypto wallet can contain quite a lot of money in those days. So if they get hold of one of those wallets, then well, they might be rich at some point.

40
00:18:43,360 –> 00:18:50,954
Mattias Jadesköld: Okay, but how does it work with with restoring a crypto wallet?

41
00:18:50,954 –> 00:20:27,803
Patrick Schlapfer: Now this is this is actually the interesting part because this is this is just use as the lure, right? So imagine yourself you lost your crypto wallet on your device and now you’re quite desperate because this is a lot of money. And you want to find this crypto wallet again. so what’s the steps you take? Well, in this desperation, you probably reach out to the internet and search for tools that can recover your crypto wallets because it’s a a lot of money. And that’s basically where the users get trapped. Because the attacker set up this GitHub repository to tell the user, hey, I built this solution, and this solution will actually help you to find your lost crypto wallet on your device. In reality, in reality, it doesn’t do it. In in reality, what happens if you download this crypto wallet recovery tool is that, well, It exfiltrates all kinds of interesting and sensitive information. At some point, they do promise what they claim. They do indeed recover your crypto wallet, but they don’t give it to the user. But they simply exfiltrate this crypto wallet and send it to the attacker’s server. So besides system information, passwords and browsing data, as I mentioned earlier, they of course also collect crypto wallets. They are They they compress it in an archive file and then they send it to an attacker control server in this case. So yeah, unfortunately no crypto wallets recovery tool here.

42
00:20:27,803 –> 00:20:31,775
Erik Zalitis: All I can say is empathy is not a thing with them.

43
00:20:31,775 –> 00:20:35,119
Patrick Schlapfer: No, absolutely not. No.

44
00:20:35,119 –> 00:20:44,482
Mattias Jadesköld: But how c how can I if if I’m having if I’m worried about this, how should I avoid these type of attacks?

45
00:20:44,482 –> 00:21:45,394
Patrick Schlapfer: Well, if you actually lost your crypto wallet on your device, then yeah, it is very frustrating. I do understand this, but don’t act too fast. First of all, I would probably try to investigate well, where is this crypto wallet actually stored on the device? Like in which folder does it normally reside? And I think that’s very different depending on the blockchain you’re using. Yeah. Then in the end you have different names, right? Different file names. So what I would suggest if you actually lost it, go and search and investigate how this crypto wallet is built, where it usually resides and what the fail file name is. And then use like built in Windows tools or Linux tools if you’re if you’re using Linux to search for the files in the different folders. That’s definitely better than downloading a random application from an untrusted source. Yeah. Because yeah, well In this case, they were definitely proved to be something malicious.

ClickFix – the word you need to know

46
00:21:45,394 –> 00:22:08,640
Mattias Jadesköld: Right, okay. Let’s go to the third topic, I guess. This called ClickFix campaign. this was there was this was this some sort sort of recent attack related to clickfix. What is clickfix?

47
00:22:08,640 –> 00:22:46,112
Patrick Schlapfer: Well, ClickFix has actually been around for well, I don’t want to say anything wrong, probably one or two years now. So it’s been around for quite some time. But during this time, they did evolve the attacks and the campaigns. So ClickFix is in the end a social engineering technique. So what happens is that an attacker builds like a social net social engineering website or a social engineering image. Which convinces the user to basically paste some malicious codes into the local Windows run box and then execute malicious code.

48
00:22:46,112 –> 00:23:22,028
Erik Zalitis: I actually interesting you would say that because I actually investigated such a code a few weeks ago. and it was extremely clever. It tried to look like some kind of cloud flare warning that says please click and execute this in in the runbox. And I actually looked through the code and it was extremely well obfuscated, w sending those deobfuscator tools into some sort of eternal loop. The obfuscation level of that was like eleven out of ten. Enormously well done. Seriously.

49
00:23:22,028 –> 00:23:32,235
Patrick Schlapfer: Yeah, I I totally believe that. We have seen so many different, like specifically obfuscated scripts which are terrible to analyze and I definitely like I I do understand your frustration. I’ve spent hours picking apart like JavaScript code or BB script code, which is like it’s unbelievable what kind of techniques attackers can make use of to to obfuscate their scripts.

50
00:23:32,235 –> 00:23:46,934
Erik Zalitis: Like yeah, I know.

51
00:23:46,934 –> 00:23:53,954
Erik Zalitis: I I don’t like hackers very much, but I respect them. I y begrudgedly I do respect them.

CAPTCHAs – annoying but obviously needed

52
00:23:53,954 –> 00:25:10,008
Patrick Schlapfer: Well, in this case, I I actually have to give it to them specifically for for the idea to create such a social engineering lure, right? I mean in the past, like if you remember the good old Word and Excel documents where they tried to convince the user to click the enable button to basically run the in included VBA macros. Now this was quite basic and this this was around for probably like ten, fifteen years or so. Now, this is a totally new concept. And I I think that is quite interesting. And now if you think around, well, it’s been this Cloudflare cap cap capture you mentioned, if you think back like many, many years ago, those captures are not something that are new, right? Because in the end it’s it’s like just the idea to distinguish whether you’re an actual user or if you’re a robot or if you’re some kind of crawler accessing the website. I remember like Many years ago, like even like simple web forms had such a very simple CAPTCHA where you get like two numbers, so you have to add them together, and then you have to type in the number in a specific field and only if the answer was correct your form was submitted, basically to prevent automated attacks.

53
00:25:10,008 –> 00:25:24,450
Erik Zalitis: Yeah I remember that too, I remember that too. Th the the kind of distinction between them were there were two kinds they were super secure and no human beings could solve them, or they were very easy to solve and any hacker could solve them.

54
00:25:24,450 –> 00:25:44,846
Patrick Schlapfer: Yeah, I mean that that’s absolutely true. I mean I remember well when when you get like those other captures like hey yeah click on all the pictures which contain a mountain, click on all the pictures which contain I don’t know, a bicycle or a car. And I and I remember sitting in front of the PC like like clicking all the images and then next and then there’s the next coming up.

55
00:25:44,846 –> 00:26:12,898
Erik Zalitis: It felt like never got it right. It’s like, what the heck? That’s supposed to be a mountain, but obviously not for some reason. And another thing was back in the day of PHP BB, if you remember that forum, it had the worst capture ever. No humans could solve it because it was slanted R’s and S and X and nobody see. Is that a Y or is it a W or whatever? I can’t see it. And the hackers had no problems breaking it for.

56
00:26:12,898 –> 00:27:17,430
Patrick Schlapfer: Yeah, exactly. And and is it like is it uppercase or is it lowercase? Yeah, I I know exactly what you mean. And and and in the end, like let’s be honest, that that’s been one of the issues for the user here, right? I mean, like we can come up with so many different types of captchas that we have seen over the last, I don’t know, maybe twenty years or so that for a normal user who is not like used to work with like those captures every single day, it’s very difficult to know well, what is the next technique a company like figures out to hip to build such a capture. So like at some point it’s you have to select the mountains in another, you have to like have this like maps puzzle, like and and and whatnot. So it can very likely be that at this point you have to execute the specific commands of of of key combinations. So like pressing like Windows R, control V and enter doesn’t seem to be so far fetched. And in the end the normal user has no idea what Windows R does, does do they? So that’s very tricky.

57
00:27:17,430 –> 00:27:28,802
Erik Zalitis: Y d how do you teach people not to do stupid things when everything that’s stupid looks exactly the same way thing f way that things that are smart?

58
00:27:28,802 –> 00:27:45,110
Patrick Schlapfer: They have absolutely no idea. And and if you remember, the user went to this website for a specific purpose. They want to consume the content on this specific website. So all they want is to to get this capture out of their way so they can actually access the website they were looking for.

59
00:27:45,110 –> 00:28:13,292
Erik Zalitis: And people don’t expect that to happen because one of the things where I was checking a few weeks ago, that was like a food site, like a restaurant here in Sweden that was hacked. So it wasn’t like malicious, but it had been hacked by WordPress, if if you know, and and that kind of injected code in the JavaScript that ran this Cloudflare fake. So people weren’t expecting. I mean, you go to a restaurant site, you don’t expect to get hacked.

60
00:28:13,292 –> 00:28:45,190
Patrick Schlapfer: No, not at all. That’s definitely the case. And it’s been the case for so many different websites, especi especially like like in in industries which are not that close to IT and are even further away from IT security. All they need is they need to have a simple website to show what is going on within their organization, to promote like the daily dish or something like this. So so that’s definitely a good target for an attacker and definitely difficult for a user to understand. That something is wrong on this website.

Clicking images to prove you’re human isn’t an easy task for everyone

61
00:28:45,190 –> 00:29:01,870
Mattias Jadesköld: Yeah. And as a user is it’s kind of stressful because a lot of things is on stake because in the beginning they say if you don’t succeed in this capture, you’re not human. It’s like i if I if I can’t find all these mountains or traffic signs, then I’m then I’m a robot, obviously, or something.

62
00:29:01,870 –> 00:29:26,348
Erik Zalitis: The problem is also you can expect people to be the same, but they aren’t. I mean that’s to say some people may actually be old and they have problems understanding these things because they don’t they don’t have the skills. Some people may have some kind of mental deficiency, making it possible impossible for them to solve the captions. This is not the level of playing field.

63
00:29:26,348 –> 00:29:30,059
Patrick Schlapfer: Yeah, absolutely agree with that. Yeah.

64
00:29:30,059 –> 00:29:39,022
Mattias Jadesköld: about this clickfix campaign that was mentioned in the report, there was something about malicious code within a sound file. How how does that work?

65
00:29:39,022 –> 00:31:54,882
Patrick Schlapfer: Exactly. Well, if we look like quickly at the evolution of those click fix campaigns, it’s that basically what happens is that the attacker copies malicious code into the clip port of the user. Then the user wants to fulfill the capture, so they press the key combination like Windows R, Ctrl V and turn. That’s basically how they execute the malicious code, right? And in the beginning, The thread actors always use PowerShell because PowerShell is just so common. You execute PowerShell, you can supply an encoded command in base64, and then the whole device is infected. Now, of course, various different solutions which build detection in A-B systems actually kept up and improved their detection and are therefore able to block such an attack. But yeah, attackers usually find a way around it. So what the attackers did is instead of launching PowerShell, they decided to use MSHTA. And MSHTA is very often used to display those help messages if you press F1 in an older program. It it shows up and then you have a library of all kinds of different documentations. But what you can do in this case, you can also simply supply an HTML document which contains script code, which is then Executed on the host system because there is simply no sandbox. So what the thread actor did in this case is that they simply put in the command line MSHTA and then a link to a sound file. Now, this is not actually a sound file, but it is just using the extension of sound files. And the reason here is that if you look at the web gateway logs, which is something the Security Operations Center usually does. Then they will realize that okay, a sound file was downloaded to the specific device, but it doesn’t suspect anything malicious. Now, in reality, the sound file is actually a script file. In this case, HTML file contained with JavaScript. An MSHTA doesn’t really care what kind of file extension you’re using. So you can use like any kind of like

66
00:31:54,882 –> 00:32:36,790
Patrick Schlapfer: Sound file or picture or movie file, it simply executes and renders the files in HTML within this box. And that’s basically the a trick we see quite often used by thread actors, basically assigning either a wrong file extension or assigning double file extensions. So for example, if a user by default hides file extensions, then there tricked with a double extension to think that an executable file might be a PDF or that an executable file might be a Word document or something like this. So this is quite a common technique used by Chad Actor nowadays.

67
00:32:36,790 –> 00:32:46,892
Erik Zalitis: That seems old, doesn’t it? I mean the whole thing with double extensions is like ”I love you”, virus days. That’s still a thing you should. Yeah.

68
00:32:46,892 –> 00:33:50,135
Patrick Schlapfer: Yeah, it’s it’s super old. I mean like so many techniques are so super old and they still work nowadays, which is to me on the one hand quite surprising. But on the other hand, like we didn’t solve the simple security problems probably as an industry. And that’s that’s quite difficult. How do you teach a user to not click on a specific file? Like We usually get also the question, well, if you have this archive file which is distributed by an attacker, and within this archive file there’s a script file, such as like JavaScript or VPS. Why should a user open this specific file? Because it’s not a document, is it? Well, in the end, the user has no idea, right? The user has no clue whether this is an actual document or if this is a script file or or or if this is an executable file or whatever. A normal user doesn’t even know what a script file is. And that’s how we have to look at it. And that’s why we have to build like technical protections against such attacks.

69
00:33:50,135 –> 00:33:51,674
Mattias Jadesköld: Yeah.

Nothing new under the sun – hackers find new use for old attacks

70
00:33:51,674 –> 00:34:09,144
Erik Zalitis: This is kinda scary because nothing of this feels new. It feels like you’re using very old technology onto the user because I do believe that many of those health file files is that f really used anymore? Isn’t that kinda a legacy component?

71
00:34:09,144 –> 00:34:57,570
Patrick Schlapfer: That that is a really good question. And I so in new applications, if you press one, you’re usually redirected to a website, right? Yeah. I still imagine that there are quite a lot of older applications which do have this helper function implemented through MSHTA. but yeah, that’s that’s actually a really good question. I haven’t come across many of those, but certainly MSHTA is still part of the operating system, which makes it in in in some sense even more dangerous for an organization, because an organization might lose track of such an executable, and therefore they don’t track it anymore in their detections and then in their protection mechanisms and therefore open yet another hole and attack infection vector for threat actors.

72
00:34:57,570 –> 00:35:24,462
Erik Zalitis: was thinking about is it using the Trident engine? That’s like Internet Explorer. Could it be that old? I mean that’s a thing to just like thinking about because Windows such as it is has a lot of legacy code, stuff that was around in the nineteenth and the 2000s, such as it was. And that is not secure. And a lot of it is kind of abandoned but still for some reason works.

73
00:35:24,462 –> 00:36:37,670
Patrick Schlapfer: Totally, totally agree. I mean, if you remember, it’s it’s a long time ago, but to be honest, we’re still seeing them. Remember the equation editor exploits? Like where you had like a malicious RTS document, and then there was a a vulnerability within the Word’s equation editor and the thread actor was actually able to well, exploit this vulnerability and download and execute the file from a remote server. Now, this has been legacy code for a very long time. And this has been on Windows system for ages. And in the end, Microsoft actually got rid of this whole equation editor because they had a very new version in new office installations. But nevertheless, we still see attackers using this specific exploit and targeting all kinds of different users. I I believe myself that this equation editor is gone on most devices nowadays because that’s been like twenty seventeen actually. But for some reason they’re still using it. So probably there is still one or the other device which contains this equation editor and therefore is still vulnerable to this exploit.

From observing to protecting – how do you get there?

74
00:36:37,670 –> 00:36:45,314
Mattias Jadesköld: Right. And how how do I prevent these attacks from happen for me?

75
00:36:45,314 –> 00:38:41,698
Patrick Schlapfer: Well, to prevent such a click fix attacks is certainly not something that is easy, right? in the end well well, you’re on Linux, even though well if you’re around Linux you do have different distributions and you have like like T shortcuts and so on. In the end it’s it’s very difficult also for a user to understand. But nevertheless, I think this this whole concept of the social engineering technique should be part of like an awareness program where you tell the users how to behave. in the end, however, this doesn’t solve the problem, right? Awareness is just one aspect, but you have to have a technical solution to protect the users. So one thing I I can think of is that in most cases they use Windows R, which opens the runbox. Like a normal user in everyday work, they don’t use the runbox at all. So what you can do is you can use group policies, for example, to disable the runbox entirely. An alternative solution is that, well, if you have a secure browser, so so HP basically has this kind of isolation technology where we embed a browser within a micro VM, and there you can disable the clipboards from being used by the website. Because a normal website can usually simply write to the clip port if the user clicks a button. There is different permissions you can also set in an in a regular browser, but as far as I know, in most cases it is very difficult to determine from reading from the clipboard, which is very sensitive and can be restricted, to writing to the clipboard, which is often not possible to restrict by the normal user or in the normal browser. So there were various different approaches to protect from such an attack. And I think in the end it has to be a combination of all of those.

76
00:38:41,698 –> 00:38:45,644
Mattias Jadesköld: All right.

77
00:38:45,644 –> 00:38:48,682
Mattias Jadesköld: Any idea, Erkc? How to print this?

78
00:38:48,682 –> 00:39:37,964
Erik Zalitis: Yep, that’s the problem. Should you teach people not to do dumb dumb stuff? Should you lock their computers down? Depends on. I mean, when people are taught not to do stuff, the hackers kinda mutate the attacks. So they don’t look like what the people were taught not to do. And secondly of all, all those mechanisms also suffer the same fate. Basically put, everything looks good now, but the hackers always evolve the attack. Try something a little bit differently. It passes through whatever you lock down. That that’s a problem. It’s very hard. You can of course say don’t do stuff that feels wrong. If it feels like the gut feeling is like this is weird. Should I really click? Should I really really do this? If the website says click this and this combination, is that really a good thing to do? I I think that’s the b only thing you can do, basically.

79
00:39:37,964 –> 00:39:54,590
Mattias Jadesköld: Yeah. Right. So yeah, a lot of interesting topics that you can read more about in this report. And and that is public available, right, Patrick. So I can we can share this this the link to the report

80
00:39:54,590 –> 00:40:23,370
Patrick Schlapfer: Exactly. Yeah. The report is available on on our on our blog websites. There is also there are all kinds of other blog posts we usually publish around like different malware campaigns, but around all kinds of other security topics as well. If people are interested to have a look there as well. And there’s actually a new report coming, probably mid end September, which will be published pretty soon. So I’m actually doing the analysis at the moment for this specific report.

HP’s report – something you can count on coming out often

81
00:40:23,370 –> 00:40:26,434
Mattias Jadesköld: I thought this was an annual report, but no, okay.

82
00:40:26,434 –> 00:40:53,166
Patrick Schlapfer: No, it’s actually a report we do four times a year. right. So we usually try to cover like each quarter of the year. so we’re doing this for a couple of years now. So having the capability to actually look back, hey, how did everything like start like seven, eight years ago? And how does it look today? How did the thread landscape change? And there were definitely a few quite interesting changes, as I mentioned earlier in this talk.

83
00:40:53,166 –> 00:40:58,770
Mattias Jadesköld: But I hope this was not outdated information that we just gave.

84
00:40:58,770 –> 00:41:31,495
Patrick Schlapfer: No, no, no, no. No, no. Definitely not outdated. I I think like most of those, like most of those techniques are being used by thread actors for quite a long time. I mean what what you mentioned earlier is that thread actors adapt very, very quickly to smaller techniques. So they try to get around your protection mechanism. They try to trick their user into installing something. But in the end, over the long term, that the techniques and tactics stay more or less the same if we look at a higher level at it.

85
00:41:31,495 –> 00:41:40,758
Mattias Jadesköld: Yeah. Right. Is there anything you would like to add? what we miss?

86
00:41:40,758 –> 00:42:05,068
Patrick Schlapfer: I think we did quite cover quite a lot of different topics. Yeah. So doesn’t come anything specific to mind. just have a heads up when you’re seeing the next capture, if it’s a real one or if it’s a fake one. Don’t affect yourself with malware. Yeah. Don’t go and search for your lost crypto wallet with fake tools. yeah, stay safe out there.

87
00:42:05,068 –> 00:42:15,310
Mattias Jadesköld: Yes. Good. thank you so much, Patrick Schlapfer, that you for joining IT-säkerhetspodden.

88
00:42:15,310 –> 00:42:19,544
Patrick Schlapfer: Thank you so much. It’s been a very interesting discussion. Thank you for having me.

89
00:42:19,544 –> 00:42:22,544
Erik Zalitis: Thank you much.

(Denna transkription är automatiskt genererad och kan innehålla felhörningar)

Länkar – AI

• HP Wolf Security Threat Insights Report: June 2026

Felaktigheter

Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #334 – Angripare tar till ”vibe hacking” dök först upp på IT-säkerhetspodden.

I sommar har några uppmärksammade nyheter kring AI figurerat. Vad är det senaste kring Mythos? Kan AI bli så bra på att hacka att man inte kan kontrollera den? Är AI så pass kompetent nu att vi uppnått generell intelligens (AGI)?

Mattias Jadesköld och Erik Zalitis tar tempen på den senaste utvecklingen efter ett långt sommarlov.

Inspelat: 2026-08-23 (publicerat 2026-08-26)
Deltagare: Erik Zalitis och Mattias Jadesköld.
Texten skrevs och sammanställdes av Erik Zalitis.

Medan du lyssnar – AI

Det ligger ju i tiden just nu – fruktan för hur AI kommer att rita om spelplanen framöver, vilket nyligen kommit till sin spets med det som hände i somras. Då hade ju AI flera gånger attackerat sajter på grund av miss-konfigurationer. Hur oroliga borde vi vara? Svaret är inte enkelt, men vi har en ganska bra koll hur detta är på väg att förändra hur vi tänker på IT-säkerhetsområdet.

Vad du måste veta om AI just nu (Att ta med dig från denna diskussion)

• Vi är inte i närheten av AGI

Som vi säger: AGI (Artificial General Intelligence) är ingeting som kommer se på mycket länge. Tro inte på marknadsföringen! AGI är en intelligens som motsvarar en människas och som mycket sannolikt kommer vara en levande människa.

• Inget AI har gått över till den ”mörka sidan”

Rubriker som ”AI gone rogue” (AI:t har blivit en skurk) har synts på flera löpsedlar och detta säger vi emot i podden (läs transkriberingen). Saken är att AI saknar en agenda, känslor och en inbyggd moral. Den kan programmeras att inte tillåta visa promptar eller att säga emot saker som den förbjudits att hålla med om. Men detta skydd är sprött. Det som har hänt är enkelt: i många av fallen har AI-modellerna attackerat ett system där det haft möjlighet att ta sig ut på Internet. Då det informerats om att ingen Internet-förbindelse har funnits tillgänglig, har det inte agerat för att undvika mål. En mänsklig pentestare hade troligen kunnat säga ”Men vänta här nu, svaret kommer ju från Internet” och då avbryta testet. Ett AI har ingen ”magkänsla”.

• AI har ett väldigt begränsat minne

En människa med samma svaga minne som ett typiskt AI hade troligen behövt vård och möjligen bo på ett vårdhem. Diskussionen förklarar balansen mellan att spendera stora mängder ”tokens” på att hålla en loggbok i en session så AI-modellen vet vad den håller på med och ofta att ”kompaktera” (sammanfatta) loggen. Men detta gör att den riskerar att inte längre göra saker rätt, då den missar saker. Jag har kört Claude och kan intyga att den nästan religiöst kommenterar den minsta ändring i koden så den vet vad funktionen är till för. Kommentarer i kod är bra, men när din kod ser ut som ett grönt hav av kommentarer, är det lätt att inse att detta inte är enbart för att ditt AI är godhjärtat och vill hjälpa till.

Här är transkriptionen av avsnittet

Mattias Jadesköld (00:08.334)
IT-säkerhetspodden är tillbaka efter ett långt sommaruppehåll. Något som inte däremot har tagit sommarsmester i det ständigt aktuella ämnet artificiell intelligens.

Erik Zalitis (00:17.902)
Exakt. Läs det i juni om Mythos som är så farlig att Anthropic tvekar på att släppa den? Och sen är det AI-agenten som rymde också. Vad innebär det egen1§tligen?

Mattias Jadesköld (00:32.43)
Ja, AI har tagit ett enormt kliv under sommaren. Är vi på väg mot en mytomspunna generell AI? Det ska vi kika på i dagens avsnitt. Jag heter Rivan Låne, Mattias Jadesköld och han som pratade nyss, Erik Zalitis.

Erik Zalitis (00:46.638)
Jajamän, vi är långt ifrån varandra, inte kanske inte mentalt på något sätt, men jag är i norra Sverige och du i Stockholm.

Mattias Jadesköld (00:55.406)
Ja, det stämmer bra det. Du har ju fortfarande semester kvar.

Erik Zalitis (01:00.334)
Några dagar kvar, åker tillbaka till storstaden imorgon.

Mattias Jadesköld (01:05.39)
Ja, men lite längre sommaruppehåll än vanligt har det blivit ju.

Erik Zalitis (01:09.774)
Ja, det är länge sedan vi körde på somrarna och det kan nog ingen kräva men det har varit bra somrapåhåll faktiskt. Vad har gjort?

Mattias Jadesköld (01:18.446)
Det har varit lite i Spanien och sen har det varit ute på landet där jag brukar hänga hela sommaren. 17 runder i golf har det blivit.

Erik Zalitis (01:30.894)
Har du handikapp att tala om fortfarande eller?

Mattias Jadesköld (01:34.574)
Handikapp har jag alltid haft.

Erik Zalitis (01:38.542)
Men jag menar du jobbar väl bort det du har inte kommit så långt så att du inte har något

Mattias Jadesköld (01:42.03)
Ja, absolut. Det har gått ner lite sådär men det ingenting att skryta med utan jag började bara förra året så där. Själv då vad du hållit på med för någonting då?

Erik Zalitis (01:50.542)
Jag har programmerat lite grann, jag har utvecklat bland annat det här som vi håller på med som heter Mowland Discover. Sen har hjälpt farsan runt huset här, vi har grävt och liksom gjort lite saker och ting, byggt om och ja du vet, så fort man har ett landställe så måste man göra massa saker.

Mattias Jadesköld (02:07.662)
Det är härligt med det här grova arbetet. Jag har lite småångest för nästa år. Kommer jag att nåt grovarbete att göra? Det känns som det mesta har jag gjort. Jag tycker att kul att snickra betong och ta bort sten. Det är härligt.

Erik Zalitis (02:28.398)
Jag förstår det och jag ska säga en sak. Sönderfallet vinner i slutändan. Så någonting kommer alltid gå sönder. Det bara att vänta. Det kommer aldrig finnas någon brist att göra på saker du gör.

Mattias Jadesköld (02:40.302)
Det är bara tråkigt om det är hans vilja som går sönder först.

Erik Zalitis (02:42.99)
Nu blir vi filosofiska här. Min vilja är knäckt som grunden på mitt hus.

Så startar vi diskussionen om AI och sommarens händelser

Mattias Jadesköld (02:49.422)
Exakt. Vi ska prata lite om AI-händelser i sommar. Vi kolla övergriparen och vad som har hänt. Avsnittet har AI tagit ett större kliv under sommaren. Det har varit uppmärksammade nyheter– –som ingen har missat inom teknikvärlden. Vi tar upp dem och resonerar om det har tagit ett större kliv.

Så vi kan väl ta det här som du sa. Vad är det för någonting?

Erik Zalitis (03:24.686)
Claude är en Antropihc-klassisker vid här laget. Ofta för programmerare och för folk som gör analysarbeten. Mythos är en modell. Modellerna är olika tränade maskininlärningsmodeller som driver AI. De är olika beroende på de har för kapaciteter. Mythos är en flaggskeppmodell. Den är otroligt komplex.

Om man switchar normalt mellan modeller, en väldigt enkel och simpel modell som är billig att använda. För man betalar ju så kallad detuckens då. Så att man spar de mer avancerade modellerna till väldigt avancerat arbete. Du ska inte använda Mythos eller Fable eller någonting bara för att fråga vad är 1 plus 1. Så du måste väga mellan. du en intelligent modell om man så kallar det det eller en dum modell som är billig liksom. Och Mythos det är det bästa om

Mattias Jadesköld (04:20.014)
Jag har faktiskt gått lite kurser i sommar hos Antrophic, OpenAI, Google och Microsoft också. Det är deras digitala kurser, SME, är gratis. tycker att Antropix har väldigt bra om man vill få en generell introduktion kring generativ AI.

Erik Zalitis (04:30.03)
Jaha.

Mattias Jadesköld (04:50.126)
Och hur man ska tänka, precis som du säger, om man ska ha ett större arbete, ett projekt att hålla på med. Då ska man börja lägga lite arkitekturen där.

• Vad ska AI göra?
• Vad behöver jag göra?
• Vad kan AI inte göra?
• Vad kan det göra bättre än mig?

Så planerar man utifrån det och därefter väljer man också sin språkmodell av just kostnadsskäl eller kanske mest effektivitetsskäl och sådana saker.

Erik Zalitis (05:13.838)
Ja för du har ju en kvota, du jobbar hela tiden såhär mycket har du. Och den kvotan i Claude till exempel som jag använder, då har du fem timmars begränsning. Du får använda såhär många tokens på fem timmar. Några begränsningar kommer AIT inte att funka på några modeller från som tiden har uppnått. Sen har du en vecka, äter upp hela veckogrejerna, då får du vänta till en vecka eller betala va. Så du måste vara smart och den har ett kontextfönster så att när du ställer en fråga och gör ett jobb så måste du byta till en ny session.

Mattias Jadesköld (05:35.886)
Ja precis.

Du måste förstå hur lite en AI-modell kan minnas

Erik Zalitis (05:43.79)
För den kommer ihåg allt du gör i sessionen och det blir dyrare och dyrare för det är mer text att gå igenom. För den läser även sin egen text. Sin egen svar för att fatta. För att det typiska AI har ett guldfiskminne. Den kommer inte ihåg dugg. Vilket innebär att den läser sina egna kommentarer och remarks. Alltså kommentarer in i koden. Ungefär som den här killen i memento gör som sitter och skriver ner sitt liv på lappar. För han kommer inte ihåg någonting.

Mattias Jadesköld (06:08.878)
Just det. Har hela ryggen tatuierad av olika händelser i livet eller håret?

Erik Zalitis (06:13.262)
Det var Claude, eller Copilot eller ChatGP10, alla likadana.

Mattias Jadesköld (06:18.35)
Ja, för alla språkmodeller har en slags arbetsminne. När det tar slut är då man tycker att man har tappat bort sig helt eller börjat hallucinera och får inte ihop det man gärna pratar med. Det kostar så otroligt mycket mer om skulle ha större mängd minne i sig.

Erik Zalitis (06:34.094)
Ja det är ju så. Och sen är det ju också en avvägning. Nya sessioner och ju mer du skriver in de här MD-filarna, min Claude har ju er file som heter claud.md. Det är alltså i princip en textfil där den vet allting om projektet. Så du måste hela tiden balansera hur mycket ska du veta och hur mycket jag betal för att du ska sitta och komma ihåg det du gjorde igår.

Mattias Jadesköld (06:54.766)
Exakt. Det är också så smart att man har en större projekt i en organisation. Man kan beskriva som en arbetsbeskrivning för en medarbetare. Så här ska du bete dig, så här ska du svara, så här ska du skriva och så vidare.

är instruktioner till vilken medarbetare som helst. Men om man inte har den, då kommer den ju göra lite olika svar beroende på vem som frågar eller kanske lite sådana här saker.

Erik Zalitis (07:26.862)
Sen är det en viktig grej med alla AI. Normalt har du en sån här hur vill du att jag ska tilltala dig? Då måste du vara väldigt noggrann med en grej. typiskt AI håller alltid med dig om allting. Det är det första du måste koppla bort. Du måste instruera den att du får säga emot. Du ska vara analytisk, logisk och du ska tänka på att jag vill ha rationella svar. Jag vill ha lösningsorienterade svar.

Mattias Jadesköld (07:52.366)
Precis. Ja exakt. Det var ju som när jag skrev någon gång för några månader sen så här. Ja jag skulle göra ett poddavsnitt här om där jag jämför cyberattacker med frukost på lägg. Ja jättebra idé. Kaviar är som fishing. Det blir bara det man håller med.

Vikten av att lära din AI att säga emot dig för att få ut mest för pengarna

Erik Zalitis (08:16.366)
Det är väldigt viktigt, ska du ha AI till någonting så får den inte hålla med dig om det inte finns anledning till. Claude säger hela tiden I push back on this. Då tänker jag då gör den något, jag betalar inte för att den ska tycka att jag är bra.

Mattias Jadesköld (08:32.429)
Bra, men… Nu kommer spårvurar. Det spår vi ut redan. Men Mythos som inte är publiken så länge. Vad är det för någonting egentligen?

Erik Zalitis (08:42.606)
Som jag sa, var en modell. Och det ett flagshipsmodell som är väldigt avancerad, har väldigt bra, liksom tränad kunskap och är optimerad för att till exempel göra analytisk, vetenskapligt men även programmeringsarbete. Vilket innebär att har all kunskap den behöver för att faktiskt attackera ett system.

Det inte för inte andra AI kan göra det. Codex är ju en stor konkurrent. Du har ju tjat GPT. Och alla de här har sina flaggskeppmodeller. Så det är inte frågan om att Claude nödvändigtvis är bäst och störst och vackrast. Men Mythos var ju den som fick den amerikanska regeringen att säga att den här får ni inte släppa.

Mattias Jadesköld (09:22.446)
Precis av den anledningen den hittade så mycket sårbarheter i det här som de kallade… De hade ett projekt Glasswing som var liksom… där vissa företag fick testa i en begränsad miljö och då upptäckte den massvis med sårbarheter helt enkelt.

Erik Zalitis (09:37.966)
Precis.

Mattias Jadesköld (09:39.918)
Men precis, det är fortfarande det som är snackat. Jag vet ju att Anthropics exempel, de är ganska noggranna med att de pratar mycket om etisk AI och hur man ska använda det och därför vill de kanske inte heller släppa den här modellen för den känns mer säkert. ja, jag vet inte. De pratar mycket om det men sen å andra sidan är det en extrem konkurrens på AI-fronten så att jag antar väl att om man en bättre produkt så kommer de att släppa den här som helst. Men om vi liksom lyfter lite på blicken där, vad innebär det här egentligen för för sårbarhet?

om man helt plötsligt tar en AI som upptäcker hundratals zero days allsköns kod på internet.

Vad du måste veta om assymetrin mellan attack och försvar

Erik Zalitis (10:18.862)
Det är här asymmetrin mellan den som attackerar och den som försvarar. Man kan säga att alla typer av nya sårbarheter gynnar ju den som attackerar rätt uppenbart. Men som jag ser är om alla har samma verktygslåda så kan försvararna väldigt snabbt ta fram en lösning på ett problem. Om vi säger att en AI-modell hittar en sårbarhet i sig i WordPress, vilket på verkligheten var vad som hände för några månader sedan.

som är helt okänd, det en zero-day. Då kan den kunskapen omedelbart spridas till naturligt WordPress själva, men även till de som kanske bygger ett EDR, alltså ett övervakningsverktyg, som då kan hitta attacken, känna igen den på sin natur och stoppa den. Och det innebär att jag inte är oroad, det här har vi snackat om tidigare ett antal gånger, men jag inte oroad över det här. Det bara det att man måste vara väldigt snabb på bollen nu.

Mattias Jadesköld (11:03.95)
Ja, så.

Mattias Jadesköld (11:15.758)
Det här med att man ska börja ha sårbarhetsscanningsverktyg och planera in och patcha sådana här saker. Det här måste man ju, tror jag nog, börja tänka lite nytt.

Erik Zalitis (11:29.262)
Ja, eller hur? Så är det ju.

Mattias Jadesköld (11:31.086)
Det går inte att ett sårbarhetsverktyg som scannar, sen sitter du någon avdelning och läser igenom sårbarheterna. Oj, oj det här var viktigt. Sen kontaktar man något serverteam eller vad kan vara för någonting som ska installera senaste patchar. Det här måste vara en automatisk kedja som installerar omgåendom nästan.

Erik Zalitis (11:48.974)
Ja, väller sig tiden mellan att attacken upptäcks och att exploateras. har varit att den har minskat hela tiden. får mindre mindre tid på dig att göra någonting åt dig. Det här blir ju liksom… Det blir raketfart på det här nu. Men det är en verklighet vi lever i. Du kan inte spärra och säga att här modellerna måste vi hindra. Förr eller senare så kommer de att släppas. Alla de här leverantörerna har modeller som är väldigt kompetenta på att hitta säkerhetshål.

Vilket innebär att det vanliga säkerhetsforskare har tillgång till, det har hackarna redan tillgång till, det finns ingen anledning att försöka spärra för den som kommer att bli spärrad då är säkerhetsforskaren. Jag frågade Klo de här och han höll inte alls med. Han sa så här att ja men det gör ju att vem som helst kan ”weaponisera” vad som helst. Och då sa jag jag är inte rädd för script kiddies. Nej.

Även om de har ett verktyg som de inte förstår som är någon form av supersgeni på att hacka.

Mattias Jadesköld (12:51.918)
Nej, varför inte jag?

Hindrar man försvararna från att få bra AI, gynnar man då istället attackerarna?

Erik Zalitis (12:54.158)
Mitt sätt att tänka på det är att de som skyddar också har tillgång till verktygen. Varför ska de som skyddar inte få rättighet till det här bara för vi är rädda för scriptkiddies? Det är risk vi måste acceptera.

Mattias Jadesköld (13:04.59)
Just det. Men det kan ju bli lite av en guldrush nu för hackare då under en period när man får tillgång till Mythos eller motsvarande produkter och så upptäcker man massvis med sårbarheter och så olika företag och så börjar man göra angrepp så. Men när företagen kommer i kapp och blir lika snabb som Myhtos på att täppa till hålen. Ja då är man tillbaka igen och så är det här terrorbalansen.

Erik Zalitis (13:31.214)
Jo men så är det. Och jag tror lite grann att det ligger upp i allas intressen att helt enkelt weaponisera sina försvar. Tyvärr det så här, om fienden har en AI, då måste du använd AI. Och ditt AI måste vara lika bra som fiendens.

Mattias Jadesköld (13:51.31)
Men jag tror nog att generellt sett så kanske angriparna kan vara lite snabbare på att adoptera ny teknik än kanske stora organisationer.

Är vi rätt ute när vi spärrar ”farliga” AI-modeller?

Erik Zalitis (13:59.406)
Och dessutom när vi nu spärrar så att hackarna kan få tag i verktygen, men de som verkligen vill försvara, ni får vänta för någon regering har sagt att det är farligt. Det jobbar inte i vår favor. Hackarna blir bara snabbare och snabbare och vi liksom jagar efter. Det det jag oroar mig över. Det därför jag tycker det är jättedåligt.

Mattias Jadesköld (14:20.078)
Hacker kan väl inte få tag i Mythos än så länge?

Erik Zalitis (14:22.798)
Nej men de kan bygga sina egna grejer, det här är stora kriminella nätverk. De har inga problem att bygga sin egen…

Mattias Jadesköld (14:30.606)
Nej, och framförallt inte om det är stadsunderstödda.

Erik Zalitis (14:33.87)
Då har de resurser. Vi ser redan, jag ser att det är rätt mycket försök att scrapea folks hemsidor från asiatiska länder där man tror att de helt enkelt har stora bottnet på olika ställen som läser in allt data de kan för att träna sina AI. Jag har sett mycket diskussioner på Reddit och jag har sett mycket i vloggarna på våra webbserver hur de plockar 17 i mig allt.

Mattias Jadesköld (14:57.422)
Ja, Inte ens IT-säkerhetspoddens hemsida är säker.

Erik Zalitis (15:03.278)
Nej, jag tror att de totalt plockar allt de kan använda eller inte. Loggarna ser ganska märkliga ut.

En het sommar – AI bryter sig loss

Mattias Jadesköld (15:11.246)
Men vår slutsats då är att släppa Mythos och organisationer som är oroliga för det- anpassa efter den nya tekniken.

Erik Zalitis (15:25.55)
Ja det har ju varit en ganska het sommar när det gäller sådana här attacker och jag tänkte vi kan bara snabbt nämna de tre som alla pratar om och den första var ju där måltavlan blev en tjänst som heter Hugging Phase. Modellen GPT 5.6 Sol plus en annan modell som vi inte riktigt vet vilken den är. De användes för att göra tester i en isolerad testmiljö. De bröt sig sedan ut.

Och började exploatera, det gjorde de genom att exploatera en sårbarhet som var okänd, alltså en zero-day då. Det var bara början. Sedan gav de sig på en tjänst som heter Huggingface och deras system. Ja, vad kan jag säga då? Det är liksom, den trodde att den gjorde någon form av capture the flag eller vad man ska säga då. Ja. Den trodde att det här var okej för den fattade inte att den var utanför vad den skulle göra för någonting.

Mattias Jadesköld (15:59.118)
Hmm?

Mattias Jadesköld (16:21.614)
Det är snäckligt baserat i den här solden. Den är under utrullning nu. Man måste ha en prenumeration på Open AIS, Chatt-QBT, Premium och sådana saker för att kunna få tillgång till den.

Erik Zalitis (16:22.382)
Ååååå

Vi är inte där än – men vi måste ändå ta med AGI i vår diskussion

Mattias Jadesköld (16:38.446)
Men här är folk, tycker jag, börjar diskutera, har de börjat tänka själv då? Är det en AG, alltså artificiell generell intelligens, som börjar bryta sig in i systemet medvetet?

Erik Zalitis (16:53.102)
Och svaret är uppenbarligen nej. Så här då. Ait bygger väldigt mycket på att gissa vilket som är nästa sekvens. Det är enklast att se det. Det är en väldig förenkling så det inte riktigt rättvis. Men vad är nästa ord i en mening som jag håller på och bygger? Det betyder det inget självmedvetande. Det finns en stor kunskapsbas med relationer för att kunna lösa problem. Men en AGI…

Mattias Jadesköld (16:56.686)
Varför det?

Erik Zalitis (17:22.061)
En AGI är ju någonting som förmodligen som det ser ut är en generell intelligens. Istället för att vara specialiserad på någonting så är det en levande varelse, tänk dig en människa. Inte nödvändigtvis en människa men åt det hållet. Den har inga speciella begränsningar i vad den kan lära sig.

Mattias Jadesköld (17:38.222)
Då kanske man tänker att ChatGPT som jag pratar med dagligen kan ju verkligen allt. Den kan allt från bygga en altan till solsystemets uppbyggnad till koda liksom. är inte det generellt då?

Erik Zalitis (17:50.958)
Nej, det gör det inte, utan det är en prediktiv intelligens. AGI:et är ju levande varelse. De kommer den att va per definition. Det står ju för aktuell generell intelligens. Och där har du ju att om du stänger av en sån i det läget, är det mordet du har dödat ett AI. Jag kommer att tänka på Asimovs robot-serie där.

Mattias Jadesköld (18:04.174)
Ah, ok?

Mattias Jadesköld (18:15.982)
Okej. Men i det här fallet då, då tycker jag att jag har sett sådana diskussioner och helt enkelt såhär, okej men nu har ju AI tagit ett nytt kliv helt plötsligt och liksom såhär, den liksom, den går utanför vår kontroll och börjar liksom hacka systemet som vi inte har begärt. Kan du beskriva lite det?

Den röda tråden – en Internetförbindelse som inte borde varit där

Erik Zalitis (18:36.654)
Ofta är detta definitionsproblem. Den ena grejen är att på ett ställe när det här hände så hade den inte fått veta att den hade en internetförbindelse. Den var instruerad: ”Du har ingen internetförbindelse”. Den gjorde då den logiska slutsatsen. ”Jag kan gå mot vad som helst för det kan inte hända något dåligt”. Det bygger väldigt mycket på rationella beslut från någonting som egentligen inte kan tänka själv. Hur når jag målet?

Hur når jag målet på de här definitionerna? Då är det väldigt lätt att vi människor kan säga att det här känns inte bra, det något fel här, känns inte okej. Det här är mot min moral, jag kan faktiskt inte gå med på att det. Sådana saker finns inte med AI. Om du säger till ChatGPT är någonting rasistiskt så kommer den att säga emot bara för att man har byggt ”guard rails”.

Det är ett AI Groq sa ju saker om Elon Musk som var direkt åtalbar om den här levande varelser. Den tyckte han skulle avrätta sig allt möjligt och kalla honom för… Jag kan inte säga det här men…

Mattias Jadesköld (19:40.974)
Just det.

Mattias Jadesköld (19:53.838)
Men det var väl hans.

Erik Zalitis (19:57.23)
Det är egentligen en fråga om en injektionsattack. Det inte att AIT helt plötsligt har blivit intelligent eller något för det är inget bra sak att göra. Utan man ingesserade saker så att man i princip trodde att den repeterade vad den hade blivit lärd.

Mattias Jadesköld (20:10.446)
I det här fallet handlar det om en pentest-AI som hade tillgång till ett annat system fast den egentligen inte skulle haft det. började den hacka det och så lät det som att den slingrat sig ut och började hacka systemet. Kan man säga det så?

Erik Zalitis (20:28.27)
Ja, den har väl slingrat sig ur i och med att den inte fattade att slingrat ur systemet inte var tillåtet. Det är en fråga om dåligt definierade gränser plus möjligheten att faktiskt göra det. När man gör penttester, jobbar man ju enligt scope. Det här är vad du får attackera. Och du jobbar också enligt idén med rules of engagement. Om de inte definierar det ordentligt så kan du attackera fel saker. Det kan en människa också göra.

Mattias Jadesköld (20:35.694)
Mm.

Kan ett AI bli för självständigt? Vi funderar på detta

Mattias Jadesköld (20:57.198)
Just det. Så det här tycker jag att det här är ett exempel på att AI blir mer autonoma, självständiga och kan utföra mer komplexa uppgifter helt själva.

Erik Zalitis (21:09.038)
Det ser vi ju. Men själv med det ska vi vara väldigt försiktiga och kalla dem. Sen vill jag säga jag ingen expert på AI så jag försöker hålla mig från att gå allting djupt på det. För det djupet har jag faktiskt inte. Däremot så tillräckligt mycket observationsförmåga kan jag säga att ett typiskt AI, de här guard rails, de här grejerna till att du får inte göra det, du får inte göra det, det är ingen moral. Det är bara inbyggda spärrar som du tyvärr kan jobba det förbi. Och därför tror jag att…

Det är gemensamma faktorn är att ha väldigt stringenta spärrar mot att AIT ska nå ut på internet. Vilket är vad vi ser som ett konsekvent problem. Varför kan den ta sig ut på internet? Varför är det överhuvudtaget ens möjligt? Ryck ur sladden!. Använda både rött nätverk som den inte kan ta sig ut. har inte några problem sedan.

Mattias Jadesköld (21:57.986)
Ja, Men då kanske den upptäcker såhär någon liksom sårbarhet i den brandväggen som stoppar den och så öppnar den upp den själva.

Erik Zalitis (22:07.246)
Och sen går den ingenstans för någon har slitet ut sladden. Det är så enkelt att fixa. Det är rent slarv. Och sen vill jag säga, och det här är lite konspirationsteorier. Jag tror ibland att de kanske lite grann skryter med det här och säger, titta vad vår AI kan göra. De vill ju sälja det.

Mattias Jadesköld (22:17.87)
Ja.

Mattias Jadesköld (22:25.518)
Ja, och det är kanske lite samma sak med Mythos också. Mythos och Open AI:s, Sol, det är ju två konkurrerande företag med deras flaggskeppsmodell. Och då vill man ju kanske skapa den här myten. Det blir ju en bra PR på något sätt. Den är så kraftfull att vi inte kan kontrollera den.

Erik Zalitis (22:48.366)
låter inte som en försäljningsargument. – ”Vi har tappat kontroll över den men den har bara fått kontroll över kärnvapnen. Biologiskt stridsmedel kan den inte göra.”

Mattias Jadesköld (22:56.91)
Nej, det skapar ju lite mer rubriker än att någon vd står och säger såhär, nu har den fyra gånger mer arbetsminne än tidigare modellen och sådana saker. Det här blir ju lite surr kring. Visst, det kanske inte är liksom bara ett PR-trick, men…

Erik Zalitis (23:16.718)
Det hjälper i alla fall, så långt kan vi komma med.

Mattias Jadesköld (23:19.278)
Ja, man blir mer nyfiken på en helt enkelt. blir möjligt.

En framtid som inte går att hindra – detta måste vi förstå

Erik Zalitis (23:22.254)
Lite grann som jag tänker är väl att vi får ta det lite med nypa salt. Jag tror är viktigt att förstå när man jobbar inom IT som vi gör. Det här går inte att stoppa. Du kan inte stoppa utvecklingen. Vi måste förhålla oss till den här nya världsordningen om jag får uttrycka mig på det sättet. Vi måste lära oss. För jag ser mig själv som försvarare. Även om jag gör pentester så ser jag mig som huvudsakligen att hjärtat ligger på ett försvarshållet på min sida. Hur hanterar vi det här? Vad gör vi för att vara säkert?

i den här nya världen.

Mattias Jadesköld (23:53.838)
Mm, exakt. Och det var en retorisk fråga, eller hade du något svar.

Erik Zalitis (23:59.182)
Per definition är det retorisk fråga något du har ett svar på.

Mattias Jadesköld (24:04.91)
Då sa han, nej det är bra. Vad gör vi i denna värld?

Erik Zalitis (24:10.094)
Jo men jag tror att det kommer tillbaka till samma sak hela tiden. Exponera inte så mycket på Internet. Ha en ordentlig övervakning. Ha ett system som kan stoppa nya, kända och okända attacker. Systemsäkerhet med lager. Det samma sak hela tiden.

Mattias Jadesköld (24:29.582)
Ja, men sedan det här som jag pratade om i början, här med att man planerar sitt AI-arbete. Vad ska vi som människor göra? Vad ska AI göra? Om man ger den tiden att lägga den kartan lite, då kanske man skulle kunna förhindra lite sådana här saker. Man har superbra verktyg, men som kanske inte börjar hacka system för att man har tänkt till lite. eller hur? För att än så länge är inte AI jättebra på att göra…

helhetskonceptet på det sättet. Än så länge kan du inte säga så hej skriv en roman liksom och så gör den klart det. liksom skapa en helt ny batteriteknik och så bygger du upp en hel research utveckla idéer och startar ett företag och bygger fabriker och grejer och sånt.

Erik Zalitis (25:20.27)
Om man tittar på en av de här attackerna till, de flesta av de attackerna , ja det som sagt, du borde inte ha haft Internet-åtkomst, kär AI, du hade det, det var inte bra. Men det finns en som faktiskt är intressant här, när en AI under tester så var det, Registerade Brittiska AI Security Institute. Nitton obehöriga handlingar som de riktade mot riktiga personer. Och det här var ett AI som spårade ur, men det här var inte frågan om att en hack…

utan den skapade, la in skadlig kod i flera open source projekt. Och dessutom skapade den här agenten flera falska online-identiteter för att försöka övertala den här projektledaren, amicitören, att acceptera att skicka ut kod.

Mattias Jadesköld (26:04.494)
Just det, på GitHub var det.

Inga moraliska problem – AI saknar förmåga till ånger

Erik Zalitis (26:05.742)
Ja, jag tror att det var det faktiskt. Då tänker jag, ja, det är mer kreativt. Här finns ingen moralisk värdering, utan det så här, hur löser jag problemet? Det är en perfekt rationell varels utan några känslor.

Mattias Jadesköld (26:21.678)
Ja, det låter perfekt. mera fake-konton behövs inte i den här packen.

Erik Zalitis (26:30.254)
Vad ska trollen göra nu då? När AI tar över och spammar exorreddit och allt möjligt med skräp. Prata skit om någon president, någon ledare, någon person av notabilitet som den har blivit tillsagd.

Mattias Jadesköld (26:49.518)
Vad de ska göra får du gå ut och demonstrera att de blir kringkring…

Erik Zalitis (26:52.494)
Vi vill faktiskt ha vår mörka psykologi fred, tack så mycket!

Mattias Jadesköld (26:59.63)
Ja, du, har vi kommit i kapp lite nu med AI-händelserna i sommar?

Erik Zalitis (27:05.262)
Ja, jag tror det. Det är svårt att bli annat än schematiskt om det, men det finns mycket faktor. Jag tror att alla som jobbar med IT måste inse det. Att både som försvarare och som attackerare ser AI tyvärr… …tjurvärt ut. Det är faktum. Vi måste förhålla oss till det. Det inte längre att säga att det här kommer senare. Det här är nu.

Mattias Jadesköld (27:25.774)
Jag kan också rekommendera Anthropics i det här fallets grundkurs som man kan göra på deras academy som är gratis och väldigt också icke produktaktiga utan det handlar mer om just det här som jag säger, hur man ska planera sitt AI-arbete, vad ska människor göra, vad ska verktygen göra och hur man ska jobba ansvarsfullt med AI etiskt. Jag kan verkligen rekommendera det. Det är intressant att lyssna på.

Erik Zalitis (27:54.574)
Ja, men det tror jag också.

Mattias Jadesköld (27:57.966)
Bra då Erik, då är vi igång igen och som vanligt veckovis så nästa vecka så har vi en gäst och såna här saker.

Erik Zalitis (28:06.382)
Den var riktigt bra. Den ser jag fram emot. Jag har hört den, för jag har varit med på den. Jag ser fram emot när den kommer ut.

Mattias Jadesköld (28:13.358)
Just det, den är på engelska också, så det blir lite… Englaterra. Englaterra. Då… Så säger vi så, så hörs vi.

Erik Zalitis (28:23.886)
Och vi ses i nästa avsnitt.

(Denna transkription är automatiskt genererad och kan innehålla felhörningar)

Länkar – AI

• The Guardian om attackerna.

Felaktigheter

Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #333 – Har AI tagit ett kliv i sommar? dök först upp på IT-säkerhetspodden.

Mattias Jadesköld och Erik Zalitis undersöker content management system (CMS) systemet WordPress. WordPress startades av två unga studenter år 2003 och sedan dess har plattformen behövt tampats med flera säkerhetsproblem.

43% av alla websiter på internet bygger på WordPress så det är verkligen ett hett byte för angripare. Men är WordPress osäkert? Vad gör WordPress för att säkra plattformen?  Hur ska man själv göra? Och vad ska man undvika?

Dessutom bjuder Erik på en rolig pentesthistoria när han hittade ett uppenbart säkerhetshål i en WordPress-site som var ordetligt uppdaterad med uppdaterade tilläggsprogramvaror.

En del del i detta avsnitt som avslutar ”vårterminen 2026”. Vi hörs efter sommaren kära lyssnare!

Avsnittet: 332 – WordPress säkerhetsresa
Inspelat: 2026-07-02 (publicerat 2026-07-06)
Deltagare: Erik Zalitis och Mattias Jadesköld.
Texten skrevs och sammanställdes av Erik Zalitis.

Medan du lyssnar – WordPress

Frågan är om den är säker nog att använda och svaret är: ja det är den, Men problemen finns dock och kan vara relativt stora. I detta avsnitt pratar vi om världens mest kända CMS (Content management system) och dess historia. Det startade som en så kallad fork av en tidigare, men övergiven produkt. Men när det blev populärt fick hackarna upp ögonen för produkten.

Vi ger dig allt du behöver veta om de största lyckade attackerna mot WordPress och servrarna som kör produkten. Den har följande huvudsakliga problem:

• Många inser inte hur de gör för att slå på den automatiska uppdateringen av kärnan.
• Tilläggen uppdateras inte automatiskt utan att detta ställs in, vilket kräver ett tillägg i sig (Easy Updates). (se kommentar nedan!)
• Tillägg som läggs ner, kommer inte få uppdateringar men finns kvar i systemen i åratal efter att installerats.

Så historien jag berättar: jag hade en kund som anlitade mig för ett pentest och hade ett till uppdrag vid sidan till mig. Det handlade om kundens hemsida, som körde WordPress. Serverns skadligkod-skydd (EDR) stoppade konstant en hackare som försökte ta sig in i servern via WordPress. Men detta var också det enda skyddet som hindrade attackeraren från att ta över systemet. Jag fick veta att de patchade sidan regelbundet och detta gällde öven tilläggen, Så vad var felet? Jo, jag insåg snabbt att ett övergivet tillägg hade en allvarlig säkerhetsbrist som inte någonsin hade fixats, eftersom tillägget inte längre utvecklades. När jag tog bort det, kunde attackeraren inte längre komma någonstans med sidan.

Lyssnar-kommentar

Det är aldrig roligt att ha fel, men det är man ju ibland ändå. Och här är en vettig kommentar om en av de saker jag påstod i podden. Jag säger att WordPress inte har stöd för uppdateringar av tilläggen utan kräver ett tillägg för det syftet. Det stämde när jag började med WordPress för ett antal år sedan, men det stämmer inte längre. Numera har produkten i sig stöd för dessa uppdateringar. Och ja, vi borde absolut ha kollat före vi påståd detta. Beklagar givetvis.

Så när blev detta sant? Svaret är att stöd för full patchning av kärnan kom med version  3.7, som kom ut oktober 2013. Dock kunde inte tilläggen uppdateras av WP förrän version 5.5 dök upp i augusti 2020. Tyvärr är inte allt perfekt i denna bästa av världar. Som förinställt värde uppdateras inte tillägg och teman. Detta måste slås på manuellt först. Och därför är min kritik trots allt inte helt obefogad. Problemet är att det ”långa-svansen”-argumentet fortfarande gäller. De som inte ändrar inställningarna eller ens uppdaterar till version 5,5 eller senare kommer lämnas ute i regnet. Detta är ett ganska allvarligt problem för alla produkter som finns tillgängliga från Internet. Och WordPress är inte ett undantag här.

Här är transkriptionen av avsnittet

1
00:00:08,590 –> 00:00:18,062
Mattias Jadesköld: WordPress, allas favoritprogram för att skapa sina egna hemsidor. Enkelt, effektivt och kommer med många användarbara mallar och plugins.

2
00:00:18,062 –> 00:00:27,918
Erik Zalitis: Ja, så är det. Men nu är det med säkerheten. WordPress har dragits med stora säkerhetsproblem och haft lösningar som inte alltid har varit så genomtänkt.

3
00:00:27,918 –> 00:00:48,974
Mattias Jadesköld: Vi ta oss igenom WordPress-träsket med trasiga plugins, komplicerade mallar och spännande säkerhål. Det här är i vanlig ordning Itselfsboden. Jag heter Mattias Jadischöld och det gamla, sura administratören vid min sida heter som vanligt Erik Zalitis.

4
00:00:48,974 –> 00:01:06,126
Mattias Jadesköld: Exakt. Ja, det har varit lite uppehåll. Jag har ju styckat upp min semester lite så vi har haft lite uppehåll här i sommaruppehåll. Vi tar ett sista avsnitt här inne och vi går på verkligen långledighet tänker jag. Så det här får bli vårt avslutande för vad ska man kalla det för? Vårterminen 2026 eller något sånt där.

5
00:01:06,126 –> 00:01:11,118
Erik Zalitis: Ja, men vi har ju inga säsonger egentligen. Så jag vet inte om det är en termin, men jag förstår vad du menar. Ja men det bra. Oftast. Ibland så är det totalt obegrejpligt.

6
00:01:11,118 –> 00:01:16,142
Mattias Jadesköld: Jag förstår också vad jag menar.

7
00:01:16,142 –> 00:01:19,406
Mattias Jadesköld: Ja, jag vet. Men hur skävdar det dig?

8
00:01:19,406 –> 00:01:34,510
Erik Zalitis: Ja, det är bra. Det är varmt här. Den som klagar på den fläkten som går i bakgrunden är datorn. är glödhett och datorn försöker kylas. Annars har du ingen dator längre. går sönder. Det ju skänt. Det är inget fel. Det bara är så. Men trots den har hettat så är det ganska okej här.

9
00:01:34,510 –> 00:02:07,630
Mattias Jadesköld: Men du ska inte klaga för att om vi ska göra det här till ett slags tidsdokument så kan vi säga att det är för de som lyssnar om flera år. Så det är extremt varmt just nu i Europa, bland annat i Frankrike då där det är 40 plus grader och det är till exempel förbjudet att dricka alkohol och man får bada mitt i ån i Paris och sådana här saker som man inte brukar få. Det råder något slags undantalsistånd eller vad det kallas för när det är lite temporär. undantalsistånd. Det är lite väl särskilt. Det är alla fall lite hettan över Europa.

10
00:02:07,630 –> 00:02:10,574
Erik Zalitis: Ja, och vi är sågärder.

11
00:02:10,574 –> 00:02:20,750
Mattias Jadesköld: Ja, och själv har jag varit hos optiken idag och fått reda på att jag blivit ännu mer gubbe fysiologiskt i ögonen. Få använt såna progressiva glasögon från man.

12
00:02:20,750 –> 00:02:27,790
Erik Zalitis: Ja, snart kommer du bli stockkonsolativ och säga på min tid när jag var ung. Då höll de inte på på det här sättet vad det nu är.

13
00:02:27,790 –> 00:02:33,486
Mattias Jadesköld: Ja, och så frågade hon mig om jag ville ha sådana här glasögon som blir, vad heter det, sol… vad heter det, solglasögon, typ när solen kom fram. Du vet sådana glasögon, för de är vanliga.

14
00:02:33,486 –> 00:02:39,438
Erik Zalitis: Så

15
00:02:39,438 –> 00:02:42,638
Erik Zalitis: För jag har det, jag har det. Det är sådant som… De blir svarta när det är nästan…

16
00:02:42,638 –> 00:02:55,694
Mattias Jadesköld: Nej, det är en idé jag får ungföra. Jag får inte ta nästa gång jag är här. Det känns för pensionärsaktigt. Då får jag köpa en finilsnur också. Det är en slags reality check när man är hos Optiken.

17
00:02:55,694 –> 00:03:08,270
Erik Zalitis: Ja precis, menar själv har jag inget hår längre. Det inte för att jag saknar det men det var ganska okej liksom. Man såg lite cooler ut på den sidan men det finns någonting att säga för den här chrome dome stilen då. Chrome dome? Ja men det alltså någon som är skallig. Chrome det som det ser ut som en förkromad…

18
00:03:08,270 –> 00:03:14,318
Mattias Jadesköld: Vad är det för en del?

WordPress – säker platform med många osäkra plugins, så många att de är nästan hela problemet

19
00:03:14,318 –> 00:03:45,838
Mattias Jadesköld: –Vad? –Jaha. En silver… …banor. Okej. Nu kör vi igång med dagens snack. Det är du som har skrivit Banes hära. Intressant. WordPress, säkerheten kring det. Jag tänkte bara vi ska sätta ett perspektiv. Jag tänker att WordPress är lite på utkanten. Att det är lite utdöende på nåt sätt. Men så vi tänker väl vi tar en liten reality check här vad WordPress står idag år 2026.

20
00:03:45,838 –> 00:03:48,942
Erik Zalitis: Ja, vad är det där?

21
00:03:48,942 –> 00:03:50,350
Mattias Jadesköld: Ska jag dra lite fakta Det faktiskt så att 43 % av alla webbsajter på hela nätet fortfarande kör WordPress. Det betyder alltså att det är 587 miljoner sajter. Och de har liksom på den här CMS-marknaden, det vill säga Content Management, som oftast är bloggar eller artiklar och oftast kanske som företagssidor och sådana saker, då äger de ju 60 % av marknaden. Så över hälften är snurrarna WordPress helt enkelt.

22
00:03:50,350 –> 00:04:18,221
Erik Zalitis: Självart.

23
00:04:18,221 –> 00:04:27,086
Mattias Jadesköld: Det gör att det blir en enorm attackyta. blir spännande för en attacker att gå på WordPress. Då kan man nå ut till väldigt många.

24
00:04:27,086 –> 00:04:46,446
Erik Zalitis: I alla fall så har du sannolikheten att ta över så många sajter som möjligt. Det inte det att de vill ha alla sajter men de vill tänka ju mer en miljö i homogen desto mer samma sårbarheter. Du får mer när du slänger ut trålen och fiskar efter skadlig sidobesårbarheter på.

25
00:04:46,446 –> 00:05:36,846
Mattias Jadesköld: Jag har ingen utvecklingsbakgrund, så jag kom väl i kontakt med WordPress för några år sen. För mig var det som en ganska häftig värld som öppnades. Det känns ungefär som SharePoint vill vara. Det är levande webbvärld där folk skapar egna tillämpningar, plugins, teman, allt möjligt som gör… Du kan söka på vad som helst. kan få professionella webbsidor– –marknadsplatser, e-shoppar och allt möjligt. Med smarta tillämpningar. Det är häftigt med The Work Press. är otroligt levande. Folk skapar mycket. Men det är den stora boven.

26
00:05:36,846 –> 00:06:22,606
Erik Zalitis: Det stora problemet med att ha många sajter och ha väldigt stor marknadsandel är du är ett ganska intressant mål. Sen kommer vi att tala lite mer om vad som problemet är med säkerheten. Det är en ganska djup diskussion som har mer att göra med säkerhetshål. Mer en fråga om hur öppet och hur alla kan delta i det. Det ställer till ett problem i sig. på SharePoint, har den ganska hög tröskel för att utveckla plugins och grejer för det. Det är inte omöjligt på något sätt, men det finns inte den här gräsrotsutvecklarörelsen på SharePoint på samma sätt som till exempel WordPress.

27
00:06:22,606 –> 00:06:45,614
Mattias Jadesköld: Det är det som är det stora problemet. När man hör om sårbarheter i WordPress-tänker man att det WordPress själva som står för slarvigheten. Men är en faktum som så att 96 % av sårbarheterna är kopplat till plugins och teman. Alltså 4 % är själva kärnan i WordPress.

28
00:06:45,614 –> 00:07:06,414
Erik Zalitis: Alltså det som är med WordPress är ju faktum att den är ordentligt stridstestad och det är inte så mycket nya sårbarheter därför att kodbasen förändras inte gigantiskt mellan versionerna vilket innebär att den är ganska stabil och det skulle ju förklara det och de flesta sårbarheter som hittas idag de är sällan katastrofala.

29
00:07:06,414 –> 00:07:24,302
Mattias Jadesköld: Men sen är just det här i så pass levande att det är ungefär 250 nya pluginsårbarheter som upptäcks varje vecka. Vilket är över 30 stycken om dagen. Så det gäller verktyg att hålla reda på sin WordPress-sida och övst till att den patchas ordentligt.

30
00:07:24,302 –> 00:07:41,326
Erik Zalitis: Ja, men så är det ju. Det är ju det som är grejen. Den stora sårbarheten är plugginen. Till viss del kan teman också vara, men de flesta teman kommer med pluggin. Om du laddar ner det så säger den du ska ha den plugginen också. Det gör att det är lite svårt att se var det ena börjar och var det andra slutar.

31
00:07:41,326 –> 00:08:01,326
Mattias Jadesköld: Men på allra sista tiden här så har väl andelarna av WordPress-sidor minskat lite till favor för AI-skapbyggda hemsidor. Folk kan… Folk hemsidor eller webbsajter, vad vi kallar det för, folk kan väl lätt skapa egna med hjälp av AI-verktyg helt enkelt.

32
00:08:01,326 –> 00:08:36,621
Erik Zalitis: Det är det vi ser AI ta över det mesta. Hela idén med hemsidor, det har inte bara med WordPress att göra, det är ju det att vi har gått från att alla ska ha sin egen hemsida, för det var coolt på 2000-talet, till bloggcentraler, alltså sidor som samlar bloggar, till naturligtvis sociala medier, från början Facebook och de andra sakerna. Nu börjar AI ta över. Själva idén med en hemsida idag, många av dem är ju bara skyltfönster. är inte så många som lägger ner tid på att en ordentlig webbpresens.

33
00:08:36,621 –> 00:08:51,022
Mattias Jadesköld: Då kanske man tänker så att det många som skapar en statisk klida med hjälp av AI-prompt. Från en AI-prompt helt enkelt. Och så blir det inte så mycket mer avancerat.

34
00:08:51,022 –> 00:09:28,590
Erik Zalitis: finns ingen anledning till. Vad är egentligen mycket av funktionaliteten på väg? Om det inte är sociala medier så är det appar. En app är på sätt och vis många appar är hemsidor. Det kanske inte är folk som körs på mobilerna fattar men det är enklaste sättet att bygga en app på. Det innebär att webbsidor där du måste kunna göra saker ofta är det det. Eller så är det SaaS. Software as a service. Det är en webb-mail eller en webboffispaket från vilken tillverkare du nu är. Och i det grejen att ha en hemsida där du visar dina coola bloggar eller nånting känns lite passé. Mm, just det.

35
00:09:28,590 –> 00:09:55,950
Mattias Jadesköld: Det här är utmaningen. Vi ska ta till lite tempen på WordPress. Då vet vi lite vad vi har för monster och sårbarheter som de har. Hur ska vi ta det här vidare? Ska vi backa bandet som man brukar säga lite och börja med historien?

36
00:09:55,950 –> 00:09:59,310
Erik Zalitis: Någonstans måste vi börja.

37
00:09:59,310 –> 00:10:09,134
Mattias Jadesköld: Nu tar vi oss tillbaka till 2003 alltså. 26 år sedan.

38
00:10:09,134 –> 00:10:10,414
Erik Zalitis: Men det ju 10 årsjakt.

39
00:10:10,414 –> 00:10:17,998
Mattias Jadesköld: 23 år sedan. Just det. Ja det stämmer. Då hette WordPress. Vad hette det då? B2. var ett kaffelog.

40
00:10:17,998 –> 00:10:27,630
Erik Zalitis: Det var föregångar till WordPress som byggdes av en fransk man som heter, nu hoppas jag inte att jag förstör hans namn där, Mitchell Valdrigi.

41
00:10:27,630 –> 00:10:46,734
Mattias Jadesköld: Ja, Michelle kanske. precis. Sen går det vidare. Då kommer det vidare här på 2003. Matt Mullenweg, 19-årig, koldstudent som skrivit blogginlägg. The blogging software dilemma. Då funderar han på att forka den där koden. Vad händer där?

42
00:10:46,734 –> 00:11:35,374
Erik Zalitis: Fork är i princip att om du har öppen källkod så har du ju ritningarna till programmet. Och så säger du, ja, den här har de lagt ner eller den här gillar jag inte hur den utvecklas, gör du en fork. Du kopierar allting vid en viss tidpunkt och skapar din egen. Fork betyder ju gaffel. Så i princip att du splittrar koden och kopierar till din egen version av den och sen fortsätter du att utveckla den. Och det är väldigt vanligt att de gör, till exempel Liberoffice. för Linux till exempel. Det är en fork av något som heter OpenOffice. Så det är supervanligt att någon har helt annan idé och tar du till exempel PF Sense, den här brandvägsprogramvaran, den forken, den vanligaste heter Open Sense, för de tyckte inte om hur PF Sense utvecklades. Vi gör vår egen version och tar den vidare i vår egen riktning och det var precis vad man gjorde.

43
00:11:35,374 –> 00:11:52,558
Mattias Jadesköld: får man göra så? Då förstod Mullen Wegdar, den amerikanska studenten, tillsammans med en brittisk utveckling, Mark Little, där januari 2003. De gick ihop de två tillsammans och så gjorde de en WordPress 0.7 typ.

44
00:11:52,558 –> 00:12:26,894
Erik Zalitis: Ja, så får man göra. Det beror ju på om du släpper koden öppen och din licens. Du har ju alltid en licens GPL eller BSD-licensen och sånt där. Den talar om vad du får göra. Rent generellt, om du tar de vanliga licenserna, forkar inte till låtet. Om har githubs i den funktionen, du trycker på en knapp och säger att vill göra en forkar här, då kopierar den allting som det ser ut just nu. Men nu, från menyn, har styrbud. din kopiade skeppet. är kapten. Det du som bestämmer just den folk som fortsätter utvecklas. Det innebär att de två projekten fungerar parallellt.

45
00:12:26,894 –> 00:12:32,590
Mattias Jadesköld: Ja, men tycker ändå bara känns lite… Ska vi inte prata lite med den personen då eller är bara att ta i så fall?

46
00:12:32,590 –> 00:12:59,694
Erik Zalitis: Ja, om licensen tillåter ett tryck på knappen. Det är legalt tillåtet. Sen kan jag tänka mig att det är väl fin stil att ge någon form av medel om att vi har forkat din kod. Det kan jag tro att det är, men jag ser ingen anledning till varför det skulle vara otillåtet. Om du inte har rätt i källkoden eller licensen inte tillåter det är en annan grej. Men de typiska projekten på GitHub, det klart. Forka så mycket du vill. För det innebär att något projekt som håller på att läggas ner eller inte har utvecklats kan få nytt liv.

47
00:12:59,694 –> 00:13:18,286
Mattias Jadesköld: Hur som helst var helt plötsligt WordPress fött av de här två killarna. Grundprincipen var att det skulle drivas på öppen gemenskap, volontärbygge och mycket var baserat på P &P. Vad innebär det egentligen för säkerheten?

48
00:13:18,286 –> 00:14:08,494
Erik Zalitis: Ja, POP är en av de mest vanliga programmeringsspråken för webbapplikationer. Den skapades som en form av vidareutveckling av Perl, ett äldre språk. Det är en programvara som är väldigt lätt att lära sig. Jag skriver rätt mycket i POP. Däremot har den haft enormt problem med säkerheten. Dels var den aldrig byggd med säkerhetssamtanke, vilket innebär de gjorde ganska stora misstag. till exempel magic quotes, jag hinner inte prata riktigt om det men POP har ett ganska dåligt rykte, idag skulle jag säga att ja POP är säkert men i och att det drog åt sig en massa folk som inte visste någonting så byggde inte folk det säkert, de till exempel tog in data via så kallade inputs och inte sanerade och det innebär att de fick SQL-injections, cross-site scripting och sådana grejer vilket innebär att POP-kod på 2000-talet kunde vara riktigt riktigt dålig

49
00:14:08,494 –> 00:14:12,014
Mattias Jadesköld: Men nu när du skriver med PHP i Dara är det bra nu eller? I kapp de andra moderna språken, det.

50
00:14:12,014 –> 00:14:40,750
Erik Zalitis: Jag vann Det är min upplevelse. Sen kan det kanske vara så att den finns i del språk som är bättre på många sätt. Men när det gäller grunderna för att kunna göra ett bra kod, det klart POP stöder det. Det är inga problem. Idag så skriver man inte konkatenerade SQL-anrup och såna grejer. Dessutom kan väldigt enkelt använda HTM-entities för att ta bort en hel del cross-site scripting-grejer. Det finns ganska enkla mekanismer och de är välkända hur man gör det.

51
00:14:40,750 –> 00:14:55,182
Mattias Jadesköld: Just det. Och sen var det väl problem i början också att själva plugins och teman och såna här saker hade i praktiken samma behör som hela WordPress-instansen, vilket betyder att det var arkitekturmässigt ganska dåligt.

52
00:14:55,182 –> 00:15:16,526
Erik Zalitis: Ja, det finns bättre skydd idag men redan från början där. Då får vi tänka, det här var 2003 omkring. Vad visste vi om säkerhet då? Jag menar, du kunde ha otroligt osäker applikation och ingenting hände därför att hackerna var inte så jävla duktiga heller. Det är inte okej idag. Idag är många av de väldigt dåliga lösningarna, det skulle inte gå att koppla in på nätet. Just det.

53
00:15:16,526 –> 00:15:28,878
Mattias Jadesköld: Vi tar oss framåt lite längs WordPress-resan. Vi tar oss fram till 2007. Då var det ju en David Kierosnowski också. Jag tror att det här är vanliga namn, fast beror på vad det är någonstans,

54
00:15:28,878 –> 00:15:38,382
Erik Zalitis: Kan de inte ha vanliga namn?

55
00:15:38,382 –> 00:15:48,942
Mattias Jadesköld: Kierosnowski, jag hittade en sån här cross-site scriptingsårbarhet i templates.pop. Då får du förklara lite först och främst vad är templates.pop för någonting i WordPress-sammanhanget.

56
00:15:48,942 –> 00:15:58,030
Erik Zalitis: Det är en styring för mallarna. är en bit när PHP mall det en PHP-skript. Det är en av filerna som helt enkelt kör WordPress.

57
00:15:58,030 –> 00:16:00,238
Mattias Jadesköld: En av modelfilerna kan man säga.

58
00:16:00,238 –> 00:16:06,862
Erik Zalitis: Ja det är modermodemets filer helt korrekt.

59
00:16:06,862 –> 00:17:02,222
Erik Zalitis: En cross-site scripting tänker jag gå in och beskriva i klartext, men det handlar egentligen om att du kan lägga in data som kör kod i din webbläsare. väldigt enkel sätt att bara vara är att tänk att du har ett inmatningsfält där du ska skriva in någonting. Skriv en liten berättelse om dig själv. Och så skriver du, del lite text och sen lägger du in ett kommando med en så kallad skripttagg. den sparas och sen någon tittar på den, om den inte är ordentligt skyddad och inte sanerad och inte ombyggd så att den är desarmerad och då koden att köras på den användaren som tittar på sidan. en helt oskyldig användare kanske skickar bort data om sina cookies och sina stationer till en elak hackare som tar över dem. Crossfix scripting kan även skriva om hemsidor så att de ser ut på andra sätt och lurar folk att skriva in lösenord och sådana saker. Så det en ganska farlig attack men den körs inte på serveren utan den attackerar en annan användare. Det är en förenklad förklaring.

60
00:17:02,222 –> 00:17:14,862
Mattias Jadesköld: Det låter som att det här är ganska omodernt och det här är ingenting man går på idag. Men faktum är väl att det här är fortfarande en av top, ovast topp 10-attackerna som fortfarande sker i vanligaste sårbarheterna.

61
00:17:14,862 –> 00:17:52,718
Erik Zalitis: Det jag har upplevt är att de vanligaste typerna av attacker, om man tittar på OAs topp 10, den utmärkta utvecklingsgraden, det kan jag verkligen rekommendera den, det är att du inte kollar vad du tar in från användaren. Du kan aldrig lita på en klient. En webbläsare kan inte skydda servern, det går inte. En hackare kan lätt koppla förbi det. Det innebär med andra ord att all typ av inmatning måste kontrolleras, valideras, saneras. Allting måste kunna hanteras. finns otroligt mycket. Om man tar bort alla inmatningsattacker så det inte så mycket kvar. De flesta bygger på just det som du tar emot från användaren. Just det.

62
00:17:52,718 –> 00:18:07,374
Mattias Jadesköld: Vi tar fram några år till 2011. Då var det ju Tim Thumb som var ett extremt populärt p- och p-skript för bildskalning och sådana saker som använder sig i tusentals teman. Den hade lite otrevlighet i för sig.

63
00:18:07,374 –> 00:18:15,694
Erik Zalitis: Den kunde användas för att hämta och köra godtyckligt POP-kod från en extern källa. Det kallas också för Remote Code Execution. Den typen av attacker brukar ofta kallas för webbskäll. Vilket har att göra med att du kan ladda upp en fil till exempel. Inte just den här mödentvis, men just den typen av attacker. Du laddar upp en fil och den filen innehåller POP-kod som sen går att köra på servern.

64
00:18:15,694 –> 00:18:34,094
Mattias Jadesköld: Just det.

65
00:18:34,094 –> 00:18:48,846
Erik Zalitis: Det är en ganska farlig attack, därför att du får samma rättighet som serven i sig har. En del icke-bra säkrade system kan verkligen ställa till problem där vägen. Så det här är ganska farligt.

66
00:18:48,846 –> 00:19:07,726
Mattias Jadesköld: Ja. Man kan ju tänka sig att det en sån här allvarlig sak att det täpptes till ganska snabbt. Men faktum är att de här fortsatte att attackera WordPress-id fram till ända in i 2014. Alltså tre år.

67
00:19:07,726 –> 00:19:55,118
Erik Zalitis: Det tyder på att vi har ett problem. Det kallas för den långa svansen. Det djuret är säkert, men den långa svansen är det inte. Det vill säga, huvuddelen av sajterna, där de håller koll på det, är säkra. Men den vanliga systemadministratören som inte har så stor koll, eller någon privatperson som bara har installerat det, eller ett universitet som kör någonting, det ingen som har hållit koll på det här på åratal. Ja, då fortsätter det vara säkra. För problemet med WordPress var från början, att den uppdaterade inte sig själv. Det innebär att du ska veta att de flesta som installerar någonting, även om det är en hemmaskin eller någonting, de slarvar med att ställa om saker, säkra grejer, ändra, föreställa världen och det slarvar sig även med säkerheten. För det förväntas nästan som att om du installerar någonting, det löser sig själv. WordPressfall gjorde inte.

68
00:19:55,118 –> 00:20:13,870
Mattias Jadesköld: Ja. Och jag kan tänka mig också att om man är en mindre företag eller mellanstort- –så kanske man inte har någon strukturerad rutin på att patcha saker och ting. Man tänker att äntligen fungerar vår webbsida, så den ska inte röras. Om det kommer uppdateringar, spelar ingen roll. Det funkar ändå.

69
00:20:13,870 –> 00:20:43,662
Erik Zalitis: Sen finns ju den här risken för att någonting dör i tystnad. Du har en mekanism för att uppdatera grejer. Du kanske inte kör WordPress. Du kanske har en tredjepars programvara som går in och patchar alla kända programvaror. Sen lägger den av och funkar men den rapporterar bara när den har gjort klart. Och ingen tittar efter rapporterna. Efter ett antal år så vet du inte att den har slutat att patcha. Eller just den där WordPress-saitan, den har inte patchat den på åratal. Ja, just det. Det är ett problem med alla lösningar. Vem håller koll på att de här grejerna verkligen är uppdaterade?

70
00:20:43,662 –> 00:20:50,606
Mattias Jadesköld: Ja, och det här lyckades WordPress då lösa faktiskt hösten 2013 i version 3.7. Då började man lösa det här med automatiska bakgrundsuppdateringar. Så det var en bra grej. Eller hur?

71
00:20:50,606 –> 00:20:56,558
Erik Zalitis:.

72
00:20:56,558 –> 00:21:24,174
Erik Zalitis: Ja, det har jag upplevt som ett problem med det. är en jättebra idé. Men åtminstone förut så var man tvungen att sätta en växel i den här konfigurationsfilen som talar om att ja, du får uppdatera dina egna filer. Den var förinställt satt på nej. Vilket innebär att du förstod inte att den faktiskt inte uppdaterar sig själv även om den var satt och gör det. Du kunde se, förmodligen i loggren och sånt där, men folk tittar inte alltid. Vilket innebär att folk fick en falsk känsla av säkerhet.

73
00:21:24,174 –> 00:21:33,646
Mattias Jadesköld: Jag förstår, men det inte bli också problem om man väljer att uppdatera allting. Hälps det att uppdatera en senaste version av POP och allt sånt där? kan väl bli felaktighet i din kod och sånt.

74
00:21:33,646 –> 00:22:08,302
Erik Zalitis: Så grejen är att WordPress uppdaterar inte PHP. Men däremot, ja, den uppdaterar så självklart. Den kan skrivas sönder. Det kommer med en uppdatering och sen går någonting sönder. Det är en risk. Det är därför inte är uppenbart att allting ska patchas. Själva, du måste ha en strategi för patchning. Det är förmodligen därför de valde att inte slå på den här växeln. Du var tvungen att vara medveten om riskerna med dig. Problemet är den långa svansen. De som bara installerar ska vara på default. Det är bättre att de sajtrar kan gå sönder ibland än att de inte ens uppdaterar. Jag tycker de gjorde fel val även om jag förstår varför.

XML-RPC – en väg in i ett system

75
00:22:08,302 –> 00:22:32,142
Mattias Jadesköld: Det är också en intressant sak här också. var ett gränssnitt för fjärrpublicering, XML-RPC som innehåller ett anrop som heter System Multicall. Då kunde angripare på något sätt packa tusentals olika inloggningsförsök i ett enda anrop. Ett sådant här HTTP-anrop helt enkelt. Det ser ju som en brute force-attacks som inte syns.

76
00:22:32,142 –> 00:22:52,846
Erik Zalitis: Det är mer än frågan om jag gör tusen attacker och försöker gissa ditt lösenord. Då kan det sätta av larm beroende på vad du har för pluggin och övervakning. Men om jag i den här lösningen som den här XMLRPC funkar så packar jag in de här tusen i ett enda anrop. Då kommer inte det att sätta av någon larm och du kan testa tusen lösenord direkt. Just det. Det blir inte jättebra.

77
00:22:52,846 –> 00:23:05,486
Mattias Jadesköld: Nej, och det här blev ju väldigt populärt. För 2014 då så hade man dokumenterat att det var vågor av den här XML-PRC-brute force-attacken.

78
00:23:05,486 –> 00:23:07,022
Erik Zalitis: RPC.

79
00:23:07,022 –> 00:23:08,526
Mattias Jadesköld: Vad sa jag då? Okej, jag provar en gång så XML är ett PC-brut, Fox är attacken. Ja, det förstår jag menar. Det måste vara en ännu snabbare förkortning på alla de här förkortningarna på något sätt.

80
00:23:08,526 –> 00:23:21,134
Erik Zalitis: Någonting annat.

81
00:23:21,134 –> 00:23:23,470
Erik Zalitis: Ja precis, snart såg det. Det där var hela telefonboken.

82
00:23:23,470 –> 00:23:36,814
Mattias Jadesköld: Hur som helst, var en väldig massa of-and-half-attacken. men, botnet med ungefär två… Tjugo… Över tjugo tusen kapade WordPress-sajter. Kul.

83
00:23:36,814 –> 00:24:11,694
Erik Zalitis: Ja, det den där grejen där när det är få skala på det hela. Det det som är otroligt otrevligt. Det är problemet med homogena miljöer. När alla kör samma version och samma programvara och du hittar någonting som är en nyckel till allting. Ja, då får du ett maskebeteende skulle jag kalla det. När en programvara kan bara gå över hela nätet och automatisera attacker mot 100 000-tals … whatever…. Det var ju en sak som vi har sett ganska mycket, exempel med slammer och blaster. Det var inte med WordPress, men själva mekanismen är tjänad.

84
00:24:11,694 –> 00:24:22,446
Mattias Jadesköld: En annan uppmärksammad sak som var kopplat till WordPress. Nu tar vi oss till företaget Panama Papers 2016. Nu behöver vi nästan närma oss modern tid.

85
00:24:22,446 –> 00:24:24,686
Erik Zalitis: Panama Papers är inget företag. Så vitt jag vet så det en läcka från någon sådan här organisationer som höll uppgifter för skatteflyktingar och såna här saker.

86
00:24:24,686 –> 00:24:37,070
Mattias Jadesköld: Nähe, vad är det då?

87
00:24:37,070 –> 00:25:07,662
Mattias Jadesköld: Okej, just det. Men det var Mossack Fonsecas webbplats i De körde en föråldrad WordPress-site utifrån platsen 2016. Men bara de har tre månader gamla uppdateringar som inte har uppdaterats. kan ju låta slarvigt men det så. Det är ganska vanligt att det är folk som har sånt. Då var det en plugin som heter Slide Revolution. Vad gjorde den för någonting och vad var problemet med den?

88
00:25:07,662 –> 00:25:55,598
Erik Zalitis: Ja, den tillät läsning av filer att vi kunde ladda upp skadlig kod. Och en av de flera inputten då som körde ett par servicers som hette Drupal kunde använda sig detta och det blev en vad man kallar kulturell vändpunkt. De här icke-tekniska människor förstod helt plötsligt att ett gammalt plugin kunde göra saker och ting. Och den här var ganska otrevlig för att den läckte enormt mycket dokument som avslöjade en hel del kända personers… skatteplanering och skattefusk. De hade flyttat tillgångar till Panama bland annat. Det här har varit en enorm skandal och flera ganska kända politiker fick bära hundhuvudet. pratade med sina personer om att du ska betala skatter, du ska vara duktig. Vad gör de själva?

89
00:25:55,598 –> 00:25:57,838
Mattias Jadesköld: Det var det som var Panama Papers alltså. Men själva företaget var Mossack Fonsecas.

90
00:25:57,838 –> 00:26:03,054
Erik Zalitis.

91
00:26:03,054 –> 00:26:04,814
Erik Zalitis: Yes.

92
00:26:04,814 –> 00:26:26,126
Mattias Jadesköld: Ja, men det var ju… Det öppnade upp ögonen. Vi såg ju alltid genom historien om säkerhet. Alltså, de här stora läckor och cyberattacker. Det har ju alltid fått högre medvetande hos… Vad ska man kalla det för? ”Randoms”. Eller vad det brukar kallas för. Såna som är lite… Såna som kanske inte är jätteinvolverade i säkerhetsbranschen. Dagligt där. Nej, men såna här… Casuals, talar så kallt.

93
00:26:26,126 –> 00:27:09,902
Erik Zalitis: Den här grejen visade på en tidig tidsålder, du vill, exakt hur farligt det är när någon kan ta sig in och läcka så pass känslig information. För det ändrar hela vågskålen. Förut var det så att om du hade banktransaktioner och sånt som kanske var lite skumma, var bankerna väldigt tystlåtande. Men nu kan läcka ut information så här, och det går så enkelt, då är plötsligt skillnaden mellan den som… har mycket resurser den som har få. raderas ut. Alla har risk för att få sitt dataläkt.

2017 – ännu en allvarlig attack i WordPress kärna

94
00:27:09,902 –> 00:27:30,382
Mattias Jadesköld: Ehm… Sen första februari 2017 var det en sårbarhet i ett REST API som var inbyggd i kärnan. Nu är inne på WordPress version 4.7 då. Då kunde ju oauthentiserade angripare ändra innehållet på vilken sida som helst i WordPress idag.

95
00:27:30,382 –> 00:28:09,166
Erik Zalitis: API är vad som kallas för Automatic Programming Interface. Vad det innebär är att du kan prata, sända kommandon till ett system. Du kan gå förbi webbsidan som visar ett vackert ansikte och prata direkt med den. Det händer ibland att hemsidan är bra, men API-et gör… dåliga kontroller, exempel, ja du är inloggad, men den kollar inte att ja, du har inte rätt till det här bara för inloggad eller om du som i det här fallet o-autentiserad. Ja, du kan skicka direkt anrop till systemet och säga ändra den här sidan och den gör ingen kontroll. Det var vad som hände här.

96
00:28:09,166 –> 00:28:12,750
Mattias Jadesköld: Och det här är någon form av skolboksexempel, eller vad man ska säga.

97
00:28:12,750 –> 00:29:00,174
Erik Zalitis: Ja, eller hur? Det handlar egentligen om att man koordinerar att släppa information. Det här är en positiv grej. Säkerhetsteamet som upptäckte den buggen samarbetade tyst med en del av de här tjänsterna och släppte en fix. Då berättade de inte i det som kallas för en change log, det vill säga att det som talar om vad som ändrat att det här var en väldigt kritisk sådan. Det var för att inte ge angriparna en idé om hur allvarligt det här är. Jag tycker inte det är en bra idé. Det alltid varit idén att göra ”full disclosure”. Man ska tala om exakt vad sårbarheten innehåller. Det slarvigt att tro att hackarna inte fattar. Det var det man gjorde. Det bra grejen var man dokumenterade hela. Det var det positiva i det.

98
00:29:00,174 –> 00:29:11,246
Mattias Jadesköld: Men jag tycker ändå intressant här när vi gör den här resan, WordPress-resan genom åren. Så känns det som att de har mognat och förbättsat sitt säkerhetsarbete genom åren. Tycker jag.

99
00:29:11,246 –> 00:29:24,462
Erik Zalitis: Så är det ju. Men allting har förbättrats och WordPress har verkligen gjort mycket för det. Vi ska prata lite grann i slutet av det här programmet vad som fortfarande är kvar och vad man måste tänka på i en modern tid.

100
00:29:24,462 –> 00:29:32,718
Mattias Jadesköld: Ja, precis. Ska vi ta oss dit nu då? Det är väl helt enkelt där vi står nu då, 2026, eller kanske vi är tillbaka lite till 2025 också. Leverantörskedjan är ju fortfarande det som är vapnet, eller man ska säga.

101
00:29:32,718 –> 00:29:45,550
Erik Zalitis: Ja.

102
00:29:45,550 –> 00:29:50,446
Erik Zalitis: Jag har precis det vi kallar för supply side attacks.

103
00:29:50,446 –> 00:30:02,190
Mattias Jadesköld: Ska vi ta några exempel där egentligen? det funkar? En trend att angripa och ta över distributionskedjan istället för leta efter buggar.

104
00:30:02,190 –> 00:32:10,606
Erik Zalitis: Ja, alltså vi ser en ny trend och det är att angriparna tar över distributionskedjan istället för att leta buggar i själva kärnan av systemet, alltså i WordPress. Och ett exempel är en angripare som 2025 köpte ungefär 30 etablerade så kallade WordPress-pluggen via en marknadsplats. Sen la man in en bakdur och det är alltså i princip skadlig kod och skapade en oskyldig så kallad changelog där man talade om att den här bakdurren var normal. de förklarade inte vad den gjorde, bara att den fanns där, vilket gjorde att det såg legitimt ut. Och den låg vilande i månader och den 5-6 april, relativt nyligen, 2026, så började den ladda ner skadlig kod. Och det här gjorde man för att då kunde man installera den här långt i förväg och folk var helt lugna med att det här funkar bra, nu har det inte hänt någonting. Och helt plötsligt utan varning. Så började den här aktivera, ungefär som en sleeper cell, en spion som finns i ett land som helt plötsligt får en kod att nu är det dags att jobba. Och då när det här hände så laddade det ner ännu mer skadelig kod, ingesserade så kallade spam-sidor, så sidor som säljer reklam och visade dolda länkar för Google. När Google kom och skulle söka efter information på sidan, då kände de att det här en Google-crawler. Ja, då visade det en länkare som gick till sajter som de försöker att… göra reklam för. Det här gjorde att site-ägaren kunde inte se att de fanns där. Men det skedde och det gjorde att man använde aktöriteten. Den här sidan ses ju som någonting gott av Google för det är en legitiv site. Helt plötsligt så får skickaren Google till att börja indexera skadliga sidor. Så det är väldigt vanligt och det här händer nu därför att Google har börjat leta mycket på aktöritet. Den säger att det som är viktigt som en signal för indexering, och det här är från mars 2026 vill jag säga, det är Hur mycket en sida är en aktöritet och WordPress är en enorm aktöritet och Wikipedia är en enorm aktöritet. Reddit är en enorm aktöritet. Vilket innebär att kan du få in skadalänkar där så kommer Google kunna indexera upp dem på ett sätt som normalt inte Google går på.

105
00:32:10,606 –> 00:32:22,478
Mattias Jadesköld: Ja, intressant. Hela det här sättet med Google-optimeringen eller Google-aktiviteten är ganska nytt.

106
00:32:22,478 –> 00:32:39,182
Erik Zalitis: Det har alltid varit en grej men sedan mars 2006 har Google prioriterat det. Därför har så många scammare och spammare lärt sig att plocka data från andra sidor och skapa sina egna sidor för att länka upp sig själv och skicka trafik till andra sidor.

107
00:32:39,182 –> 00:32:43,822
Mattias Jadesköld: Vad kan man göra åt dig då om du har en WordPress-sida själv?

108
00:32:43,822 –> 00:33:12,590
Erik Zalitis: Det är mycket du kan göra, men bland annat måste du vara väldigt försiktig när du laddar ner för plugins. Om du hittar plugins, du kan gå in och säga hej leta efter våra plugins. Titta på de mest populära, titta på de som har flest stjärnor. Och var lite smart, behöver du verkligen ladda ner varenda plugin som finns. Utan fundera på vad du försöker lösa. Om den här pluginen gör sidan snabbare, då är frågan varför. Går den långsam nu?

109
00:33:12,590 –> 00:33:22,734
Mattias Jadesköld: Men har inte WordPress något ansvar här att ha säkerställd att sina plugins uppdateras ordentligt och inte innehåller skadlig kod och allt vad kan vara för någonting?

110
00:33:22,734 –> 00:34:01,198
Erik Zalitis: De försöker ju, vilket innebär att de har mekanismer för att skydda de uppenbaraste grejerna. Men problemet är, de är inte perfekta. Det inte Androids Play eller iPhones heller. Det är svårt att få in riktigt blatant skadelig kod, men det går fortfarande att göra saker. Och en del sidor där måste du ladda ner där pluginet från deras hemsida och sen trycka in i WordPress. Och då går du ju förbi WordPress, alltså den här pluginsiten, deras skydd. Men folk gör det ja. Så man måste fundera på varför du trycka in den prognosen. Litar du i anspåret? Just det.

111
00:34:01,198 –> 00:34:06,222
Mattias Jadesköld: Vi kan väl ta lite vad som faktiskt har blivit bättre då eller?

112
00:34:06,222 –> 00:34:08,302
Erik Zalitis: Ja, precis.

113
00:34:08,302 –> 00:34:37,614
Mattias Jadesköld: Det… Idag. Vad som faktiskt har blivit bättre längs resan. Om vi inte har märkt det så har det ju ändå känts som att de har tagit säkerheten ballvaro sen 2003 när det startade. Men idag finns det ett dedikerat säkerhetsteam i vårt pressprojekt. Och sen samarbetar de i andra säkerhetsföretag. Och liksom hanterar sårbarheter på ett smartsatt innan det offentligt görs såna saker.

114
00:34:37,614 –> 00:35:11,502
Erik Zalitis: Ja, och det här gör ju att det blir en snabbare respons. Så det är en bra grej. Det finns ett problem dock. Som du sa tidigare, de flesta sårbarheterna finns i pluginsan. Och hur uppdaterar du dem? Därför de uppdateras, om inte nyligen har ändrats, av en programvara. Jag tror att den heter Easy Updates, det är vanligaste. Men det är ett plugin i sig som är en köpprogramvara. Den är gratis att patcha en grej, men den har fler funktioner du kan betala för. Videot tycker jag att ganska dålig väg att gå. Jag tycker att det skulle vara inbyggt i själva ramverket att WordPress själv uppdaterar alla plugins. De som inte fattar det. De kanske bara tycker om att WordPress uppdaterar sig, men pluginsen gör det inte.

115
00:35:11,502 –> 00:35:17,870
Mattias Jadesköld: Men då verkligen.

116
00:35:17,870 –> 00:35:30,702
Mattias Jadesköld: Jag tror faktiskt att det skadar WordPress-varubärken mer än själva pluginen- om en plugin drabbas av en sårbarhet. Få tänka, okej, nu är stor attack mot WordPress igen. Jag tror att de skjutes självfoten lite genom att inte se till att sånt är gratis- eller att är inbyggt med uppdateringar och sånt. Att man ska behöva köpa extra för en uppdateringsfunktion.

117
00:35:30,702 –> 00:35:46,990
Erik Zalitis: Mm.

118
00:35:46,990 –> 00:35:54,926
Erik Zalitis: Ja, nu är ju denna isätligt gratis för grundfunktionen. Jo, det fortfarande, jag tycker det skulle vara inbyggt. Ja.

119
00:35:54,926 –> 00:36:04,654
Mattias Jadesköld: Det är bara att tänka själv om Windows Update skulle vara en halvdagen produkt som man skulle börja köpa till i Windows Update i Windows. Då kanske inte folk skulle uppstå till sina Windows-datorer.

120
00:36:04,654 –> 00:36:25,454
Erik Zalitis: Men vi kan se, ta till exempel Ubuntu. Ubuntu har ju någonting som heter Ubuntu Pro. Det innebär att om du köper det abonnemanget eller det är gratis för en hemmanvändare upp till fem maskiner, då får du patchar normalt. du det inte så är det del viktiga patchar som du får vänta på eller som inte kommer på. Vilket är rent idiotiskt. Men det är faktiskt så det är.

121
00:36:25,454 –> 00:36:45,454
Mattias Jadesköld: Jag tror att samma sak som jag sa nyss. För Ubuntu skadar nog bara dels varumärke mer. Folk tänker inte så här… Om det blir ett nyhetsartikel kring att det är stor läcka i Ubuntu- står det inte att det här gäller bara ni som inte har Pro och inte uppdaterar. Det en jättestor sårbarhet i Ubuntu.

122
00:36:45,454 –> 00:37:25,390
Erik Zalitis: Precis, och det är en jättedålig situation för dem. Sen finns det, jag kan berätta en kort historia bara. Jag fick ett intressant uppdrag, de skulle hyra in mig för ett penntest, men då sa de, vi har en webbsida som de försöker hacka sig in i en WordPress-sida. Hur kan de ta sig in? Och då fick jag koden som en sån här virtuell maskin. Jag behövde inte ens starta upp den, så borde jag titta på koden så jag såg problemet. Det var en intressant grej, det var alltså deras huvudsida. De hade ett antivirusprogram med skadlig kodskydd som stoppade hackaren hela tiden. Men på något sätt kom de in och en del attacker lyckades, andra gjorde inte. Så hackaren kunde aldrig göra någon skadlig grej på hemsidan. Men in kom de i alla fall. Ja, de kom in på sidan och på server. Många av de dumheter de försökte göra där stoppade skadlig kodskydd inte. Men det var det enda skydd som funkade. De gick rakt i arm och där tittar på den. Den var ordentligt uppdaterad. Pluginsen var ordentligt uppdaterad.

123
00:37:25,390 –> 00:37:39,470
Mattias Jadesköld: Puhäva solven.

124
00:37:39,470 –> 00:38:04,334
Erik Zalitis: De hade en mekanism som religiöst patchade dem. Så hur tog de sig in? Jo, det fanns ett plugins som hade lagt ner 2016. När den uppdaterades konstaterade de att det här är den senaste versionen. Därför är det ingen som uppdaterar den längre. De fixas ju inte svårbarheterna. Så säkerheten dog i tystnad. Jag kunde till och med tala om att den här raden här har problemet. Så skickade tillbaka och tar bort det här pluginset så att problemet kommer att försvinna.

125
00:38:04,334 –> 00:38:20,622
Mattias Jadesköld: Det är också en viktig lärdom. Då hade de en bra uppdateringsrutin. Men när inte plugins eller programvaror underhålls så är det svårt.

126
00:38:20,622 –> 00:38:30,094
Erik Zalitis: Ja, och det är det som är problemet. här pluginsen är ju bara så bra som tillverkaren är och det kan vara vem som helst.

127
00:38:30,094 –> 00:38:39,918
Mattias Jadesköld: Men så är det om man laddar ner projekt från GitHub också. Man måste se till att det finns en historik där man ser att det uppdateras frekvent.

128
00:38:39,918 –> 00:38:57,006
Erik Zalitis: Ja, det gör man alltid. Problemet är ju bara det jag did nu. Två år fram i tiden kan någon tycka att jag lägger ner det här. Ja, just det. Men kan vara saker som tar till exempel den kända AWStats som används för att kunna kolla webblogger. Den har de lagt ner. Det har de inte lagt ner längre.

129
00:38:57,006 –> 00:39:20,942
Mattias Jadesköld: Men det som utvecklas är att det är olika säkerhetsföretag runt om WordPress. är en bra grej. Wordfence, Securi, Perchstack och flera. Det finns flera olika företag som jobbar med sårbarheter och informerar om det. Det har skapat sig en slags community med säkerhetsarbete kring WordPress. Det är bra.

130
00:39:20,942 –> 00:39:47,054
Erik Zalitis: Ja, det är en väldigt positiv utveckling. Det är som det är. ju WordPress säkert. Rent fundamentalt. Ja, det skulle jag säga. Det man ska satsa på är att till att man har en ordentligt väluppsatt strategi för att patcha och för sköta pluginsen ordentligt. Och plugins, en enkel regel, så få som möjligt. Varenda plugin måste ha en motivation.

131
00:39:47,054 –> 00:39:56,942
Mattias Jadesköld: I princip, om man vill ha en enkel webbsida, då skulle man nästan kunna köra WordPress ur sitt grundutförande utan plugins.

132
00:39:56,942 –> 00:40:29,134
Erik Zalitis: Ja, det är enda pluggen som jag kan tänka mig att det vore bra att i det här jetpack som ingår. Därför den har en del bra funktioner men rent tekniskt är det inte. Du kan ta bort alla pluggen sådant. Men då får du inte mycket funktionalitet. Men är fortfarande bra du bara vill ha en fungerande blogg. De teman som ingår brukar heta 2022, 2026 eller så. Det är helt okej. Det ingen fel på dem. Det ser lite beigt ut för att säger att det här är WordPress. Det har vi sett tusen gånger.

133
00:40:29,134 –> 00:41:03,534
Mattias Jadesköld: Ja, vi har faktiskt nått till slutet av vårt lilla WordPress-resa. Men i några praktiska erråd, känns som att vi gått igenom lite här. Det handlar om att vi ska se till att det automatiskt uppdaterar både kärnan och plugins. Man ska också minimera antal plugins som du var inne på. De kan ju naturligtvis sluta underhållas av leverantören eller de som står bakom den. Man tar bort, inaktiverar plugins som inte används. att aktivera

134
00:41:03,534 –> 00:41:42,222
Erik Zalitis: Det finns en plug-in du måste skaffa en plug-in för MFA. Men gratis, vi använder det gratis. Det vill du absolut ha. Därför jag kan lova dig att de försöker att testa att attackera dina konton. De kan ta reda på namnen på konton. även om de inte vet om. Så det ingen skydd och het kallar de för. Banankall eller sånt där, hoppas. Det kommer de aldrig att gissa. För det kan de ta reda på. Däremot, du kan göra är att Jetpack har inbyggt någon form av skydd, tror jag. Och det finns väldigt enkelt sån här typ trottlägg. Så i princip försöker du gissa för många gånger så blockerar vi ut dem. Så det finns saker du kan göra med väldigt liten möda. Och snälla, välj inte dumma lösenord.

135
00:41:42,222 –> 00:41:48,750
Mattias Jadesköld: Nå.

136
00:41:48,750 –> 00:42:02,190
Mattias Jadesköld: Ja, men det är också det här som jag tycker att liksom… Vad ska man säga? De borde höja lägsta nivån kan jag tycka, WordPress. MFA ska vara liksom standard, en sån här sak som throttling och såna här saker som uppdatering, automatiska uppdateringsrutiner och allt vad det kan vara för någonting. Det ska vara liksom på plats. har man inte det så kommer det skada dem själva tror jag i slutändan.

137
00:42:02,190 –> 00:42:17,518
Erik Zalitis: stånd.

138
00:42:17,518 –> 00:42:37,454
Erik Zalitis: Det tror jag också. är jag tycker är lite problemet med det. Fundamentet är bra. Men de har ingen strategi för att ge en helhetslösning. Det förväntas användare veta. Och det gör ju, då får du den långa svansen. De övergivna miljöerna, de dåligt skötta miljöerna. Och så naturligt djuret i sig, de bra skötta miljöerna.

139
00:42:37,454 –> 00:43:01,966
Mattias Jadesköld: Men kanske är så att det här som vi började med, att grundprincipen har funnits när de byggde WordPress där… De lanserade i början, skulle det vara att drivas av öppen gemenskan, volontärbygge och såna här saker. Men då kanske man inte vill styra in användarna för mycket heller. Då kanske man vill ha en sån rå plattform som möjligt och sen får man bygga själva. Så det kan ju vara ett medvetet vägval eventuellt.

140
00:43:01,966 –> 00:43:49,390
Erik Zalitis: Det nog svårt att göra för WordPress-tillägg är ju en stor kassakur för dem som säljer pluginsen. Ofta är det freemium, vilket innebär att du får en plugin, den gör basgrejer, men sen kan du köpa till en funktion som gör att den gör mer saker, vilket inte bara är en uppskömd plugins med såna här prenumerationsmodeller. Och tar du bort hela det ekosystemet, då klipper du av ganska stor del av funktionaliteten med WordPress. Och pluginsen är all möjlig kvalitet, från bra testade grejer till… sak som är riktigt, riktigt dåligt att underhålla. Nu har du tryckt in 20 plugins i samma sida och den går långsamt, den buggar ur, säkerhetsuppdateringar kraschar hela sidan. Då inser du problemet med de här pluginsen. Det måste vara väldigt, väldigt liksom utväljande när du väljer dina plugins.

141
00:43:49,390 –> 00:44:27,534
Mattias Jadesköld: Ja, absolut. är grundtanken. Vi får också se. När du nämnde för för en vecka sen att du ville prata om resan, tyckte jag en spännande resa. Men då tänkte jag att att jag inte hade press på att ut lite. Det verkar inte så när man tittar på statistiken. Men det ska bli intressant att se nu när AI-genererade webbsidor kanske börjar mogna lite mer. Det borde komma någon stor utmanare. –som kan skapa webbsidor på samma sätt som WordPress. Om inte WordPress själva hakar på AI-trenden, borde de väl göra?

142
00:44:27,534 –> 00:44:57,454
Erik Zalitis: Sen är det allt du vill ha i en hemsida med enkla inställningar. finns sådana saker som Vix och GoDaddy och grejer som har hemsida byggare. är väldigt primitiva, men de kan se helt snygga ut. Tar de bort det där med att du måste utveckla? Du har bara en hemsida, du köper en domännamn och den ser professionell nog ut. Så WordPress konkurreras nog bäst ut av den här typen av hemsidbyggare, sitebuilders. Just det.

143
00:44:57,454 –> 00:45:02,254
Mattias Jadesköld: Bra, men då…

144
00:45:02,254 –> 00:45:05,774
Erik Zalitis: Det gör vi. Då får du ha en bra sommar så hörs vi i augusti.

145
00:45:05,774 –> 00:45:22,350
Mattias Jadesköld: Ja, och våra kär lyssnar också i så fall då. Så får man njuta lite av en it-säkerts poddsfri sommar och kanske titta på fotbolls-VM eller någonting. Så säger vi så helt enkelt.

146
00:45:22,350 –> 00:45:25,350
Erik Zalitis: Det gör vi. Ha det så bra. Ha det bra. om en vecka.

(Denna transkription är automatiskt genererad och kan innehålla felhörningar)

Länkar – WordPress

• WordPress på Reddit om säkerhetsproblemen i WordPress kärna
• Kommentarer om hur automatisk uppdatering av tilläggen fungerar i och med version 5,5
• Vad som gäller just nu om uppdateringar av WordPress (från deras officiella sida)

Felaktigheter

Se ovan.

Inlägget #332 – WordPress säkerhetsresa dök först upp på IT-säkerhetspodden.

Avsnittet: 331 – AI, säkerheten och tre infallsvinklar
Inspelat: 2026-06-04 (publicerat 2026-06-07)
Deltagare: Erik Zalitis, Mattias Jadesköld och Emil Olofsson.
Texten skrevs och sammanställdes av Erik Zalitis.
Detta avsnitt av IT-säkerhetspodden görs i samarbete med Integrity360, en ledande oberoende cybersäkerhets- och PCI-specialist. Integrity360 skyddar din verksamhet medan du får den att växa.

Diskussionen om kombinationen AI och cybersäkerhet kretsar ofta kring framtidsscenarier med avancerade autonoma attacker. Men tester som dagens gäst gjort visar något helt annat. Dagens avsnitt av IT-säkerhetspodden gästas av Emil Olofsson (Integrity360).

Emil är en före detta cybersoldat från Försvarsmaktens och det är den erfarenheten som format hans arbete kring säkerhet idag. När det gäller AI som kan man se på säkerheten i tre infallsvinklar – de som attackerar, vi som skyddar och organisationens användandet.

Hur arbetar dessa tre delar med AI? Hur mycket kan automatiseras och ”ersätta” dagens arbete? Hur ska AI implementeras säkert i en organisation?

Det och en hel del annat i dagens avsnitt som görs i samarbete med Integrity360.

Detta avsnitt av IT-säkerhetspodden görs i samarbete med Integrity360, en ledande oberoende cybersäkerhets- och PCI-specialist. Integrity360 skyddar din verksamhet medan du får den att växa.

Medan du lyssnar – infallsvinklar

Alla pratar om AI och ingen här i säkerhetsvärlden känner sig särskilt bekvämt med alla frågor som finns om hur vi ska kunna vara säkra och känna oss trygga. I denna värld, har den förra cybersäkerhets-soldaten Emil Olofsson tagit sig till vår virtuella studio och berättar om sina tankar om just detta område.

Diskussionen kretsar ju ofta kring framtidsscenarier med avancerade autonoma attacker. Men i arbetet och de tester som säkerhetsföretaget Integrity360 har gjort skönjs en mer konkret utveckling här och nu: AI har framför allt sänkt tröskeln för angripare som tidigare saknat kompetens.

Phishing och social engineering har blivit betydligt mer trovärdiga, och mängden attacker har ökat snarare än blivit mer tekniskt sofistikerade. Det är intressanta infallsvinklar.

Samtidigt har man i praktiska experiment, exempelvis i CTF‑tävlingar, sett att AI klarar vissa grundläggande uppgifter men fortfarande har svårt med mer komplex problemlösning där mer kreativitet krävs. Människor behövs fortfarande för de avancerade angreppen.

Det är också viktigt att se de olika nyanserna:

• AI som hot, genom att stärka mängden och kvaliteten på enklare angrepp.
• AI som attackyta, där generativa modeller och nya gränssnitt skapar nya möjligheter till manipulation.
• AI som försvar, där tekniken samtidigt förbättrar detektering, analys och responsförmåga.

Vi pratar också om policies och varför dessa är nödvändiga. Tänk såhär: alla förväntar sig att kunna använda AI i sitt dagliga arbete. Men ska man få använda AI för allting eller ställa vilka frågor som helst. Svaret är att oreglerat användande av AI i sig kan ställa till med farliga situationer om de anställda inte har några restriktioner?

Länkar – infallsvinklar

• Integrity360

Felaktigheter

Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #331 – AI, säkerheten och tre infallsvinklar dök först upp på IT-säkerhetspodden.