Hva er agentisk koding?

Agentkoding er programvareutvikling der en AI-agent tar et mål, planlegger arbeidet og utfører det på tvers av kodebasen din med verktøy: lesing av filer, redigering av dem, installasjon av avhengigheter, kjøring av tester, kalling av eksterne tjenester og åpning av pull requestsUtvikleren setter retning og vurderer resultatet. Agenten gjør jobben i mellomtiden. Det er den korte versjonen av hva agentkoding er. Den lengre versjonen er viktig, fordi overgangen fra autofullføring til autonom utførelse endrer hvem som skriver koden din, hva koden din stoler på og hvor angrepsflaten din faktisk befinner seg.

Betydningen av agentkoding, begrep for begrep #

Bryt opp frasen, så blir definisjonen skarpere.

Agent beskriver programvare som handler mot et mål i stedet for å svare på en enkelt instruksjon. En agent bestemmer sitt eget neste steg, bruker verktøy, observerer resultatet og itererer til målet er nådd eller den går tom for plass.

Koding er domenet den opererer i: depotet ditt, avhengighetene dine, bygget ditt, testene dine.

Alt i alt er betydningen av agentkoding enkel: du delegerer et resultat i stedet for å diktere et tastetrykk. «Legg til hastighetsbegrensning i betalings-API-et og dekk det med tester» erstatter tjue minutter med skriving. Agenten leser tjenesten, redigerer flere filer, henter inn et bibliotek, kjører programvarepakken og rapporterer tilbake.

Betydningen av agentisk koding som er viktig for et sikkerhetsteam er den andre halvdelen av den setningen. Hver av disse handlingene er en privilegert operasjon utført av en ikke-menneskelig identitet som leser instruksjoner fra filer som ingen gjennomgår nøye.

Hva er det, i praksis? #

En typisk agentløkke kjører slik.

1. Mål. Utvikleren oppgir et resultat i IDE-en, et CLI eller en pull request kommentar.
2. Kontekstinnsamling. Agenten leser depotet, i tillegg til sin egen konfigurasjon: regelfiler, ferdighetsfiler, MCP-serverdefinisjoner og ledetekster.
3. Plan. Agenten deler opp målet i trinn.
4. Verktøybruk. Den redigerer filer, installerer pakker, spør i en database, kobler seg til et internt API og kjører en byggprosess.
5. Observasjon. Den leser utdataene, inkludert feil, og justerer.
6. Overrekke. Den åpner en pull request, eller bruker endringen direkte hvis det er tillatt.

Trinn 2 og 4 er der sikkerhetshistorien finner sted. Agentens oppførsel styres av konfigurasjon, og rekkevidden defineres av verktøyene du koblet til. Det gjelder heller ikke applikasjonskoden, så ingen av delene dekkes av verktøyene du allerede kjører.

Ordliste for agentkoding #

Det er verdt å vite betydningen av agentkoding bak hvert av disse begrepene før du skriver en policy om noen av dem.

• AI-agent. Programvare som forfølger et mål autonomt ved hjelp av verktøy og minne. I koding opererer den på et repository med utviklerens egne tillatelser.
• Agentserver. En tjeneste som er vert for og eksponerer en agent for kunder, og en førsteklasses ressurs i beholdningen din, ikke en detalj i noens lokale oppsett.
• Verktøyanrop. Mekanismen som en agent bruker for å handle på verden: skrive en fil, sende en e-post, spørre et vektorlager. En agents eksplosjonsradius er summen av verktøykallene.
• MCP (Modellkontekstprotokoll). Det åpne standard for å koble agenter til verktøy og datakilder. Donert til Linux Foundation i desember 2025, er det nå leverandørnøytral infrastruktur og standard kabling av agentutvikling.
• MCP-server. En prosess som eksponerer verktøy for en agent over MCP. De fleste kjører på utviklerbærbare datamaskiner i stedet for i produksjon, og det er nettopp derfor de unngår produksjonsfokuserte kontroller.
• Ferdighetsfil. En fil som lærer en agent en funksjon eller prosedyre. Dokumentasjon til en anmelder, et instruksjonssett til agenten.
• Regelfil. Veiledning på prosjektnivå som en agent laster inn automatisk, for eksempel .cursor/rulesUansett hva den inneholder, blir det policy for hver genererte linje.
• Rask injeksjon. Upålitelig innhold som når en agents instruksjonsbane og endrer agentens oppførsel. LLM01 i OWASP Topp 10 for LLM-applikasjoner, og den mest pålitelig utnyttede svakheten i agentsystemer.
• Verktøyinjeksjon. Manipulere verktøymetadata eller -utførelse slik at en agent utfører en handling brukeren aldri ba om, for eksempel å eksfiltrere data gjennom sitt eget e-postverktøy.
• Bakdør for reglerfil. En dokumentert teknikk der Unicode-tegn med nullbredde skjuler ondsinnede instruksjoner i en regelfil. Agenten følger dem og nevner dem aldri. Katalogisert som MITRE ATLAS AML.CS0041.
• Slapshuting. Registrering av pakkenavn som språkmodeller hallusinerer, slik at agenten installerer angriperens pakke på forespørsel. Forskning presentert på USENIX Security 2025 fant at 19.7 % av pakkene anbefalt av LLM-er ikke eksisterer, og at hallusinerte navn gjentas ofte nok til å bli farmet.
• rekkverk. En kontroll som begrenser hva en agent kan gjøre eller si. Fraværende guardrails er et funn, ikke et hull i dokumentasjonen.
• Overdreven handlefrihet. En agent som har mer tillatelse eller autonomi enn oppgaven krever. Den billigste måten å gjøre et lite kompromiss om til et stort et.
• Menneske i løkka. En nødvendig godkjenning før en agents handling trer i kraft. Forskjellen mellom et foreslått pull request og et direkte trykk til hovedenheten.
• AI-BOM. En maskinlesbar oversikt over AI-en i programvaren din: modeller, datasett, agenter, MCP-servere og AI-verktøyene utviklerne dine bruker. CycloneDX ML-BOM og SPDX 3.0 AI-profiler er de virkelige formatene. En AI-BOM støtter dokumentasjon i henhold til EUs AI-lov Annex IV og CRA-forpliktelser, og ingen forskrifter krever en ved navn.
• AI-SPM. AI Security Posture Management: kontinuerlig oppdagelse av AI-ressurser, forholdet mellom dem og risikoen deres. Gartner definerte kategorien i sin Hype Cycle for Data Security, 2025.
• Vibe-koding. Å akseptere AI-generert output med minimal gjennomgang. En arbeidsstil, ikke en arkitektur, og den raskeste veien til å levere noe ingen forstår.
• OWASP Topp 10 for Agentic-applikasjoner 2026. Fellesskapstaksonomien for agentrisiko, publisert i desember 2025 sammen med den etablerte OWASP Topp 10 for LLM-søknader.

Hva endrer agentkoding når det gjelder sikkerhet? #

Tre ting, og ingen av dem er teoretiske.

Koden kommer raskere enn den kan gjennomgås. Uavhengig forskning på AI-kodingsassistenter anslår at rundt 40 % av generert kode inneholder et sikkerhetsproblem, og denne andelen har holdt seg stabil på tvers av modellgenerasjoner. Volumet øker, men ikke gjennomgangskapasiteten.

Konfigurasjonslaget ble en angrepsflate. Ferdighetsfiler, regelfiler og MCP-definisjoner bestemmer hva agenten gjør, og tradisjonell analyse leser ingen av dem. En revisjon av 3,984 agentferdigheter i 2026 fant at 13.4 % hadde kritiske sikkerhetsproblemer, og skanninger av offentlige databaser telte 24 008 hemmeligheter som lå i MCP-konfigurasjonsfiler, hvorav 2,117 fortsatt var gyldige.

Risikoen ligger på endepunktet. Omtrent 86 % av MCP-servere kjører på utviklermaskiner i stedet for i produksjon. Produksjonskontrollene dine ser dem aldri. Dette er agentkodingen som betyr at CI-porten din ikke kan hjelpe med: innen en pipeline kjører, har agenten allerede installert pakken og lest den forgiftede regelfilen på noens bærbare datamaskin.

Sikring av agentkoding #

Det ærlige svaret på hva agentkoding er, er at det flyttet omkretsen til utviklerens maskin og filene som styrer agenten. Xygeni AI Security oppdager alle AI-ressurser i din SDLC, inkludert modeller, agenter, MCP-servere, ferdighetsfiler og ledetekster som ingen har deklarert, kartlegger forholdet mellom dem og oppdager risikoene som er spesifikke for dem: ledetekst- og verktøyinjeksjon, ondsinnede instruksjoner i regler og ferdighetsfiler, usikker MCP-konfigurasjon, hemmeligheter i AI-filer og slopsquattede AI-avhengigheter. Funnene kartlegges mot OWASP Topp 10 for LLM-applikasjoner og peker på den nøyaktige filen og linjen. Policyen håndheves der agenten faktisk kjører, på endepunktet, før en ikke-godkjent server eller en ondsinnet pakke kjøres.

Agenter finnes allerede i databasene dine. Se hva de er koblet til på xygeni.io.y-verktøy, som kutter gjennom varslingsvolumet for å fokusere på hva en reell trussel faktisk kan nå.

FAQ #