AI är redan en del av den operativa verktygslådan för flera statligt kopplade hackergrupper. I den nya rapporten AI Statecraft and Cyberthreats in 2026analyserar TrendAI hur aktörer med koppling till Kina, Ryssland, Nordkorea och Iran redan integrerar AI i sina cyberoperationer och hur ländernas olika AI-ekosystem påverkar deras möjligheter. Ett av de tydligaste exemplen kommer från Kina, där TrendAI har observerat en misstänkt Kina-kopplad aktör som använde en AI-agent för bland annat intern kartläggning, stöld av inloggningsuppgifter och lateral förflyttning. När tillgången till den västerländska modellen stördes bytte aktören till Xiaomis kinesiska MiMo-V2.5-Pro.
Fallet visar hur ett växande utbud av inhemska AI-modeller kan göra kinesiska aktörer mindre beroende av västerländska tjänster. Det kan också innebära att mer skadlig AI-användning sker utanför västerländska AI-leverantörers insyn, vilket gör det svårare att upptäcka och stoppa.
–Vi ser en tydlig förändring i hur statliga hackergrupper använder AI, säger Andreas Christensen, VP Norden på TrendAI. Det handlar inte längre bara om att få hjälp med enstaka uppgifter, utan om att använda AI genom flera delar av en cyberattack. Samtidigt visar utvecklingen i Kina att begränsad tillgång till västerländska AI-modeller inte behöver stoppa angriparna, de kan enkelt byta till andra modeller.
Rapporten visar också hur andra statligt kopplade aktörer använder AI utifrån sina respektive förutsättningar. Ryssland använder tekniken för att skala upp och effektivisera bland annat kartläggning, programmering och utveckling av skadlig kod. Nordkoreanska aktörer kombinerar utländska AI-tjänster med lokalt driftade modeller och har bland annat använt AI för falska identiteter och anställningsbedrägerier. Iranska aktörer använder i sin tur kommersiella AI-tjänster för bland annat målkartläggning, social manipulation, sårbarhetsanalys och utveckling av offensiva verktyg.
För svenska företag och myndigheter innebär utvecklingen framför allt att etablerade cyberattacker kan genomföras snabbare, mer automatiserat och i större skala. När angripare dessutom kan växla mellan olika AI-modeller blir det mindre relevant att försöka identifiera vilken modell som används. I stället blir det viktigare att upptäcka själva beteendet, exempelvis snabb automatiserad kartläggning, försök att komma åt autentiseringsuppgifter och lateral förflyttning i nätverket.
