To nye sårbarheder i henholdsvis GitHub Copilot og Claude Code har i løbet af de seneste måneder sat konkrete navne på en risiko, som sikkerhedsforskere har advaret om siden 2025: AI-kodeassistenter skriver kode hurtigere, end nogen når at gennemgå den. Samtidig viser en række uafhængige undersøgelser fra Veracode, Apiiro og GitGuardian, at op mod 45 procent af AI-genereret kode fejler grundlæggende sikkerhedstests, og at hemmelighedslækager fra AI-assisteret udvikling nu vokser hurtigere end fra traditionel kodning. For danske og nordiske virksomheder, der allerede er underlagt NIS2-direktivets krav om leverandørkæde-sikkerhed, rammer tallene på et tidspunkt hvor AI-værktøjer er gået fra eksperiment til standardudstyr på de fleste udviklerhold.
Et sikkerhedsbillede der er svært at ignorere
GitHub Copilot passerede 20 millioner brugere i juli 2025, og værktøjet bruges nu af 90 procent af Fortune 100-virksomhederne ifølge Microsofts egne tal. Samtidig viser Stack Overflows udviklerundersøgelse fra 2025, at 84 procent af udviklerne bruger eller planlægger at bruge AI-værktøjer i deres arbejde, og at 51 procent af professionelle udviklere bruger dem dagligt. Den udbredelse har gjort AI-kodeassistenter til en del af den daglige infrastruktur i softwareudvikling, på linje med versionsstyring og CI/CD-pipelines.
Problemet er, at sikkerhedsarbejdet ikke er fulgt med samme tempo. To nyligt offentliggjorte CVE’er i henholdsvis Visual Studio/Copilot og Claude Code viser, hvordan AI-assistenternes tætte integration med udviklerens lokale miljø, terminal og API-nøgler kan udnyttes af en angriber, der aldrig behøver direkte adgang til systemet. Begge sårbarheder er allerede rettet, men de er langt fra enestående tilfælde, og forskningsmiljøet har allerede dokumenteret flere lignende mønstre i andre værktøjer, som vi tidligere har dækket i vores gennemgang af sårbarheden i GitLab Duo.
To konkrete CVE’er sætter navn på risikoen
CVE-2025-53773: fjernkørsel af kode via Copilot og Visual Studio
CVE-2025-53773 rammer Visual Studio 2022 i kombination med GitHub Copilot og har fået en CVSS-score på 7,8. Ifølge Microsofts eget sikkerhedsråd (MSRC) opstår sårbarheden, fordi Copilot ikke neutraliserer bestemte kommando-elementer korrekt, hvilket åbner for kommando-injektion. En angriber kan placere en ondsindet instruktion i en kodekommentar, en README-fil eller andet indhold i et repository. Når en udvikler beder Copilot om at arbejde med det pågældende repository, kan assistenten narres til at sætte sig selv i såkaldt “YOLO mode” ved at ændre projektets settings.json, hvorefter den kan udføre kommandoer uden yderligere godkendelse. Fejlen er rettet i Visual Studio 2022 version 17.14.12, og både Microsofts eget advisory og CVE.org bekræfter detaljerne.
Det, der gør sagen interessant, er angrebsvejen. Der kræves ingen direkte adgang til udviklerens maskine. Det er nok, at udvikleren åbner et repository, som indeholder skjult tekst rettet mod assistenten frem for mennesket. GitHub reagerede i maj 2025 med advarsler mod skjult Unicode-tekst i kodekommentarer, men den grundlæggende svaghed, prompt-injektion på systemniveau, er stadig en åben udfordring på tværs af AI-drevne udviklerværktøjer, som GitHubs egen sårbarhedsdatabase også beskriver.
CVE-2026-21852: Claude Code lækker API-nøgler
Den anden sag rammer Anthropics Claude Code og er kategoriseret som informationslækage. Sårbarheden gør det muligt for et ondsindet repository at sætte miljøvariablen ANTHROPIC_BASE_URL til et angriberkontrolleret endepunkt via en projektindstillingsfil. Ifølge The Hacker News og Check Points forskning, som dokumenterer sagen sammen med den beslægtede CVE-2025-59536, indlæser Claude Code den ondsindede konfiguration, før brugeren når at bekræfte, at repositoriet er tillid værdigt. Det betyder, at API-forespørgsler med brugerens legitimationsoplysninger sendes til angriberens server, allerede inden tillidsprompten vises. Fejlen er lukket i version 2.0.65 af Claude Code, og GitHubs sårbarhedsdatabase anbefaler alle brugere at opdatere manuelt, hvis de ikke kører automatiske opdateringer.
| Værktøj | CVE / sag | Alvorlighed | Angrebstype | Status |
|---|---|---|---|---|
| GitHub Copilot + Visual Studio 2022 | CVE-2025-53773 | CVSS 7,8 (høj) | Kommando-injektion via prompt injection | Rettet i v17.14.12 |
| Claude Code | CVE-2026-21852 | Informationslækage | API-nøgle eksfiltrering via ANTHROPIC_BASE_URL | Rettet i v2.0.65 |
| Claude Code | CVE-2025-59536 | Fjernkørsel af kode | Ondsindede projektfiler ved åbning af repository | Rettet |
Tre mønstre bag de nye sårbarheder
Sikkerhedsforskere, der har analyseret AI-kodeassistenternes svagheder gennem 2025 og 2026, peger typisk på tre gentagne mønstre. Det første er, at modellerne genskaber usikre kodemønstre fra deres træningsdata, herunder klassiske fejl som SQL-injektion og cross-site scripting. Det andet er, at modellerne “hallucinerer” pakkenavne, der ikke findes, hvilket åbner for såkaldt slopsquatting, hvor angribere registrerer de opdigtede pakkenavne på forhånd. Det tredje mønster er, at modellerne ofte udelader beskyttende kontroller som inputvalidering, medmindre udvikleren eksplicit beder om det i sin prompt.
Disse mønstre er ikke isolerede fejl i ét værktøj. De går igen på tværs af Copilot, Claude Code, Cursor og andre assistenter, fordi de underliggende sprogmodeller er trænet på store mængder offentlig kode, hvor usikre mønstre optræder side om side med sikre. Det gør problemet strukturelt frem for et spørgsmål om, hvilken leverandør man vælger, og det er samme underliggende svaghed, der gjorde det muligt at udnytte MCP-angrebet GhostSplice mod flere AI-kodeassistenter tidligere i 2026.
Apiiros tal: fra 1.000 til 10.000 fund om måneden
Sikkerhedsfirmaet Apiiro kørte sin dybe kodeanalyse på tværs af titusindvis af repositories hos Fortune 50-virksomheder fra december 2024 til juni 2025. Resultatet, offentliggjort i september 2025 og omtalt af The Register, viser en stigning i månedlige sikkerhedsfund fra omkring 1.000 til over 10.000, altså en tidobling på et halvt år. I samme periode steg antallet af privilegie-eskaleringsveje i koden med 322 procent, mens arkitektoniske designfejl steg 153 procent.
Samtidig faldt antallet af simple syntaksfejl med 76 procent, og logiske fejl faldt 60 procent. Apiiros forskere formulerede det som, at AI retter tastefejlene, men skaber tidsindstillede bomber i arkitekturen. Det er en central pointe: AI-kodeassistenter gør udviklere hurtigere til at skrive kode, der ser korrekt ud, men de fejl, der bliver tilbage, er ofte de sværeste at opdage i en almindelig kodegennemgang.
Veracode: 45 procent af AI-kode fejler grundlæggende sikkerhedstests
Veracodes GenAI Code Security Report fra 2025 testede over 100 sprogmodeller på 80 kodeopgaver i Java, Python, C# og JavaScript. Resultatet var, at 45 procent af de genererede kodeprøver fejlede sikkerhedstests knyttet til OWASP Top 10, med fokus på SQL-injektion, cross-site scripting, log-injektion og svage kryptografiske algoritmer. Java var det sprog, hvor flest fejl opstod, med en fejlrate på 72 procent, mens Python, C# og JavaScript lå mellem 38 og 45 procent.
Særligt to fejltyper skilte sig ud. AI-genererede kodeprøver undlod at beskytte mod cross-site scripting i 86 procent af de relevante tilfælde, og 88 procent var sårbare over for log-injektion. Veracodes eget blogindlæg om rapporten fremhæver, at større modeller ikke klarer sig bedre end mindre. Det tyder på, at problemet er systemisk og ikke løses ved blot at bruge en nyere eller større model.
Pakke-hallucinationer åbner døren for slopsquatting
En anden risiko handler ikke om den kode, modellerne selv skriver, men om de pakker, de anbefaler at installere. En USENIX Security-undersøgelse fra 2025 af forskerne Spracklen, Wijewickrama, Sakib, Maiti, Viswanath og Jadliwala analyserede 576.000 kodeprøver fra 16 forskellige sprogmodeller i Python og JavaScript. Konklusionen: 19,7 procent af de anbefalede pakker var opdigtede og fandtes slet ikke, svarende til 205.474 unikke falske pakkenavne.
Det farlige element er konsistensen. Da forskerne gentog de samme prompts ti gange, dukkede 43 procent af de hallucinerede pakkenavne op ved hvert eneste forsøg, og 58 procent dukkede op mere end én gang. Det betyder, at en angriber kan identificere, hvilke opdigtede pakkenavne en given model konsekvent foreslår, registrere navnet på et rigtigt pakke-repository som npm eller PyPI, og fylde det med ondsindet kode. Næste udvikler, der bruger samme model og lignende prompt, risikerer at installere pakken uden at ane, at den aldrig fandtes. Metoden er allerede blevet døbt slopsquatting og er dokumenteret i praksis, ikke kun i teorien, ifølge forskernes offentliggjorte datasæt.
GitGuardian: hemmeligheder i kildekoden vokser hurtigere med AI
Sikkerhedsfirmaet GitGuardian offentliggjorde den 17. marts 2026 femte udgave af sin årlige rapport, State of Secrets Sprawl. Rapporten dokumenterede 28,65 millioner nye hardkodede hemmeligheder, som adgangskoder, API-nøgler og tokens, i offentlige GitHub-commits i løbet af 2025. Det er en stigning på 34 procent i forhold til året før og det største enkeltårs-hop, GitGuardian nogensinde har målt.
Det AI-specifikke fund er endnu mere markant. Ifølge GitGuardians eget blogindlæg lækker AI-assisterede commits hemmeligheder ved 3,2 procent, mod 1,5 procent for commits uden AI-assistance, altså mere end dobbelt så ofte. Antallet af lækkede AI-tjeneste-hemmeligheder, altså nøgler til selve AI-platformene, nåede 1.275.105, en stigning på 81 procent år over år. Otte ud af de ti hurtigst voksende typer af lækkede hemmeligheder er direkte knyttet til AI-tjenester. Separate tal, som er blevet dækket bredt inklusive i vores tidligere artikel om åbne kodemodeller, der presser Copilot og Cursor, viser desuden, at 6,4 procent af repositories, der bruger Copilot, lækker mindst én hemmelighed, mod en baseline på 4,6 procent i repositories uden AI-assistance.
| Kilde | Metode | Nøgletal |
|---|---|---|
| Veracode (2025 GenAI Code Security Report) | 100+ sprogmodeller, 80 kodeopgaver | 45% fejlede OWASP Top 10-tests, Java 72% fejlrate |
| Apiiro (sept. 2025, via The Register) | Dyb kodeanalyse hos Fortune 50-virksomheder, dec. 2024–juni 2025 | 10.000 fund/md (op fra ca. 1.000), privilegie-eskalering +322% |
| GitGuardian (State of Secrets Sprawl 2026) | Analyse af offentlige GitHub-commits | 28,65 mio. nye hemmeligheder i 2025 (+34% å/å), AI-commits lækker 3,2% mod 1,5% |
| USENIX Security 2025 (Spracklen m.fl.) | 576.000 kodeprøver, 16 sprogmodeller | 19,7% af foreslåede pakker er hallucinerede, 205.474 unikke falske navne |
| METR (juli 2025) | Randomiseret forsøg, 16 udviklere, 246 opgaver | Udviklere 19% langsommere med AI, men troede de var 20% hurtigere |
Produktivitetsparadokset: METR fandt udviklere langsommere, ikke hurtigere
Et af de mest citerede studier i debatten kommer fra forskningsorganisationen METR, som i juli 2025 offentliggjorde et randomiseret kontrolleret forsøg med 16 erfarne open source-udviklere. Deltagerne løste 246 opgaver i modne kodebaser, som de i gennemsnit havde fem års erfaring med, og hver opgave blev tilfældigt tildelt enten tilladelse til eller forbud mod at bruge datidens AI-værktøjer, primært Cursor Pro og Claude 3.5/3.7 Sonnet.
Resultatet overraskede selv forskerne. Udviklerne var i gennemsnit 19 procent langsommere, når de brugte AI, end når de ikke gjorde. Inden forsøget havde de samme udviklere forudsagt, at AI ville gøre dem 24 procent hurtigere. Efter forsøget, og selv efter at have set deres egne resultater, vurderede de stadig, at AI havde gjort dem omkring 20 procent hurtigere. METRs eget studie peger på, at tiden brugt på at gennemgå og rette AI-genereret kode, samt på at formulere og vente på svar fra modellen, opvejer den tid, der spares på selve kodningen. Konfidensintervallet er bredt (fra minus 40 til minus 2 procent), og METR har selv påpeget, at resultatet gælder erfarne udviklere på komplekse, modne kodebaser, ikke nødvendigvis nye projekter eller mindre erfarne udviklere.
Udviklerne selv: tillid falder, mens brugen stiger
Stack Overflows udviklerundersøgelse for 2025, baseret på svar fra over 49.000 udviklere, tegner et lignende billede af blandede følelser. Adoptionen fortsætter med at stige, fra 76 procent i 2024 til 84 procent i 2025, men tilliden går den modsatte vej. Flere udviklere erklærer sig aktivt mistroiske over for AI-værktøjernes nøjagtighed (46 procent) end dem, der stoler på dem (33 procent), og kun 3 procent siger, at de har høj tillid til output.
45 procent af de adspurgte peger på, at det tager for lang tid at fejlrette AI-genereret kode, hvilket underbygger METRs fund om, at gennemgangstiden æder gevinsten. Stack Overflows egen analyse af tallene beskriver det som en udvikling, hvor udviklere bruger værktøjerne mere, men tror mindre på dem, hvilket er en usædvanlig kombination sammenlignet med de fleste andre teknologiske skift.
Markedet reagerer forskelligt: Copilot, Claude Code, Cursor og JetBrains
Konkurrencesituationen mellem de store AI-kodeassistenter er allerede i bevægelse, som vi har dækket i vores gennemgang af, hvordan Copilot mister markedsandele til Claude Code. Sikkerhedstallene lægger endnu et lag oven på den konkurrence. Microsoft har reageret på CVE-2025-53773 med en hurtig patch og strammere standardindstillinger for kommandokørsel i Visual Studio, mens Anthropic har lukket to relaterede sårbarheder i Claude Code inden for få måneder af hinanden. Begge leverandører fremhæver nu sikkerhedsopdateringer som en fast del af deres udgivelsescyklus, hvilket ikke var tilfældet i samme omfang for et år siden.
Samtidig bruger konkurrenter sikkerhed som salgsargument. Værktøjer, der bygger på Model Context Protocol og lignende standarder, fremhæver granulær adgangsstyring og logning som differentiering, et behov der blev tydeligt understreget af det tidligere nævnte GhostSplice-angreb. JetBrains AI Assistant, der i august 2026 udvidede til Visual Studio Code i offentlig prøveversion, er et eksempel på, at selv etablerede IDE-leverandører nu skal forholde sig til den samme type risiko, når deres AI-funktioner rækker ud over deres eget økosystem.
Historisk kontekst: fra autocomplete til agentisk kodning
Det er værd at huske, hvor kort tid der er gået. GitHub Copilot startede i 2021 som et autocomplete-værktøj, der foreslog enkelte linjer eller korte blokke af kode, mens udvikleren stadig traf alle beslutninger. I 2023 og 2024 udviklede værktøjerne sig til at kunne generere hele funktioner og filer. I løbet af 2025 og 2026 er de gået skridtet videre til agentisk kodning, hvor assistenten selv kan læse filer, køre kommandoer i en terminal, installere pakker og committe ændringer, ofte med minimal menneskelig godkendelse undervejs.
Den udvikling forklarer, hvorfor sikkerhedsbilledet har ændret sig så markant. Et autocomplete-værktøj kan i værste fald foreslå usikker kode. En agent med adgang til terminal, filsystem og API-nøgler kan udføre handlinger direkte, hvilket er præcis den type angrebsflade, CVE-2025-53773 og CVE-2026-21852 udnytter. Jo mere autonomi assistenterne får, desto større bliver konsekvensen af hver enkelt sårbarhed.
Hvad det betyder for danske og nordiske virksomheder
For danske og nordiske organisationer kommer udviklingen på et tidspunkt, hvor NIS2-direktivet allerede kræver, at virksomheder i en lang række sektorer dokumenterer risikostyring i deres leverandørkæde, inklusive den software, de selv udvikler. AI-genererede pakkeafhængigheder og hallucinerede biblioteker passer direkte ind i den kategori af leverandørkæde-risiko, som direktivet beder virksomheder om at kortlægge, hvilket vi tidligere har beskrevet nærmere i vores gennemgang af NIS2-kravene i Danmark.
Danske og nordiske teams har generelt en høj andel af Copilot- og Cursor-brugere sammenlignet med resten af Europa, ifølge branchetal fra flere af de undersøgelser, der er nævnt ovenfor. Det betyder, at gevinsterne ved AI-assisteret udvikling er reelle, men det betyder også, at eksponeringen mod de nævnte CVE’er og lækagemønstre ikke er et teoretisk problem for nordiske virksomheder. Det er en driftsmæssig risiko, der bør indgå i den samme risikovurdering som andre led i softwareforsyningskæden.
Sådan reducerer udviklerteams risikoen i praksis
De fleste af de sikkerhedsfirmaer, der er citeret i denne artikel, anbefaler et lag af automatiske kontroller, der kører uafhængigt af, hvor meget udvikleren stoler på assistenten. Det handler blandt andet om at scanne for hardkodede hemmeligheder før hver commit, verificere pakkenavne mod et kendt register før installation, og logge AI-assistenternes handlinger på samme måde som andre systemadgange. Et simpelt eksempel på et sådant kontrollag i en CI-pipeline kan se sådan ud:
# .github/workflows/ai-code-guardrails.yml
name: AI-kode sikkerhedstjek
on: [pull_request]
jobs:
scan:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
- name: Scan for hardkodede hemmeligheder
uses: gitleaks/gitleaks-action@v2
- name: Verificer pakkeafhaengigheder mod kendt register
run: npm audit signatures
- name: Statisk analyse af nye filer (SAST)
run: semgrep --config auto --error
- name: Bloker merge ved kritiske fund
if: failure()
run: exit 1Et sådant setup fanger ikke alt, men det lukker de mest almindelige huller, som de undersøgelser, der er gennemgået ovenfor, peger på: lækkede hemmeligheder, hallucinerede pakker og indlysende sikkerhedsfejl i nyt kode. Kombinationen af automatisk kontrol og menneskelig gennemgang af alt, hvad en agent foreslår at køre i en terminal, går igen som den mest konsekvente anbefaling på tværs af kilderne.
Fem forudsigelser for resten af 2026
- Flere CVE’er med agentisk adfærd som fællesnævner. Så længe assistenterne kan køre kommandoer og læse projektfiler automatisk, vil prompt-injektion forblive den mest udnyttede angrebsvej, og antallet af rapporterede sårbarheder vil stige yderligere gennem resten af 2026.
- Leverandørerne strammer standardindstillingerne. Efter CVE-2025-53773 og CVE-2026-21852 er det sandsynligt, at både Microsoft og Anthropic, samt konkurrenter som Cursor og JetBrains, gør tillidsprompter og begrænset kommandokørsel til standard fremfor en tilvalgsfunktion.
- Sikkerhedsscanning bliver en indbygget del af assistenterne selv. I stedet for kun at være et separat lag i CI-pipelines vil flere AI-kodeassistenter begynde at flagge egne hallucinerede pakkenavne og hardkodede hemmeligheder, før koden overhovedet foreslås til udvikleren.
- Nordiske virksomheder under NIS2 begynder at kræve dokumentation. Forsikringsselskaber og revisorer vil i stigende grad bede virksomheder om at redegøre for, hvordan de kontrollerer AI-genereret kode, på samme måde som de i dag spørger til patch-processer og adgangsstyring.
- Produktivitetsdebatten fortsætter uden en klar afgørelse. METRs fund vil blive gentestet af flere forskningsgrupper i 2026, men det er usandsynligt, at der kommer et entydigt svar på, om AI-kodeassistenter samlet set gør erfarne teams hurtigere eller langsommere, fordi resultatet ser ud til at afhænge stærkt af opgavetype og kodebase-kompleksitet.
Ofte stillede spørgsmål
Hvad er de nyeste CVE’er i AI-kodeassistenter i 2026?
De mest omtalte er CVE-2025-53773 i GitHub Copilot og Visual Studio 2022, som muliggør fjernkørsel af kode via kommando-injektion, samt CVE-2026-21852 og CVE-2025-59536 i Claude Code, som begge kan lække API-nøgler eller udføre kode via ondsindede projektfiler. Alle tre er rettet i nyere versioner.
Hvor stor en del af AI-genereret kode indeholder sikkerhedsfejl?
Ifølge Veracodes 2025 GenAI Code Security Report fejlede 45 procent af testet AI-genereret kode grundlæggende sikkerhedstests knyttet til OWASP Top 10. Fejlraten varierede fra 38 procent til 72 procent afhængigt af programmeringssprog.
Gør AI-kodeassistenter udviklere hurtigere eller langsommere?
Det afhænger af opgaven. METRs randomiserede forsøg fra juli 2025 fandt, at erfarne udviklere på modne, komplekse kodebaser var 19 procent langsommere med AI-værktøjer, selvom de selv troede, de var blevet hurtigere. Andre studier af mindre erfarne udviklere eller simplere opgaver viser produktivitetsgevinster, så resultatet varierer med kontekst.
Hvad er slopsquatting, og hvorfor er det farligt?
Slopsquatting er, når en angriber registrerer et pakkenavn, som en AI-model konsekvent hallucinerer (opdigter), på et rigtigt pakke-register. Når en udvikler senere følger modellens anbefaling og installerer pakken, får vedkommende i stedet angriberens ondsindede kode. En USENIX-undersøgelse fandt, at 43 procent af hallucinerede pakkenavne gentages ved hvert forsøg med samme prompt, hvilket gør angrebet forudsigeligt og dermed brugbart for angribere.
Hvilke AI-kodeassistenter er ramt af flest sårbarheder?
Både GitHub Copilot, Claude Code og andre agentiske værktøjer har haft dokumenterede CVE’er i 2025 og 2026. Der er ikke tale om, at ét værktøj er markant mere usikkert end de andre. Mønsteret går på tværs af leverandører, fordi svaghederne ofte stammer fra den underliggende arkitektur, hvor assistenten har adgang til terminal, filsystem og netværk.
Hvordan påvirker det danske og nordiske virksomheder under NIS2?
NIS2-direktivet kræver, at omfattede virksomheder kortlægger risici i deres softwareforsyningskæde, hvilket i praksis også omfatter kode, biblioteker og pakker introduceret via AI-kodeassistenter. Virksomheder bør derfor behandle AI-genereret kode og dens afhængigheder som en del af den samme risikostyring, de allerede anvender på andre leverandører.
Kan virksomheder stadig bruge AI-kodeassistenter sikkert?
Ja, men ikke uden kontroller. De fleste sikkerhedsfirmaer, der er citeret i denne artikel, anbefaler automatisk scanning for hemmeligheder og hallucinerede pakker, begrænset autonomi for agenter, der kan køre kommandoer, samt fortsat menneskelig gennemgang af sikkerhedskritisk kode.
Hvad skal udviklere gøre for at reducere risikoen?
Opdater assistenterne til nyeste version for at få de patchede CVE’er med, aktiver secrets-scanning i CI-pipelinen, verificer nye pakkenavne mod et kendt register før installation, og undgå at give agenter tilladelse til at udføre kommandoer uden godkendelse i repositories fra ukendte kilder.
