Emil Martesen
Forskere har vist, at et almindeligt AI-værktøj kan ændre digitale DNA-filer fra kriminaltekniske laboratorier på under en time.
En sårbarhed i den software, der bruges i mange af verdens kriminaltekniske laboratorier, gør det muligt at ændre digitale DNA-scanninger uden at analyseprogrammerne slår alarm. Det viser et nyt sikkerhedsstudie, som producenten Thermo Fisher Scientific nu har udsendt patches for.
Systemingeniør Nathan Adams fra virksomheden Forensic Bioinformatics brugte offentligt tilgængelige data og Anthropics AI-model Claude til at skrive den kode, der manipulerede filerne. Ifølge The Hacker News’ gennemgang af sagen tog det ham cirka 45 minutter at få den første ændring til at fungere. Hans kode kombinerede scanninger fra to individuelle DNA-profiler til en ny fil, der ifølge metadata var urørt siden 2015. Analyseprogrammet i laboratoriet opdagede ingen tegn på indgreb.
Sårbarheden strækker sig tredive år tilbage
Fejlen ligger i filformaterne .fsa og .hid, som gemmer rådata fra fragmentanalyse på Applied Biosystems-geneanalysatorer. Formatet har været i brug siden 1995, og forskerne bag studiet har ikke fundet nogen måde at afgøre, om ældre filer allerede er blevet manipuleret. Det betyder, at digitale beviser i straffesager over tre årtier i princippet ikke kan verificeres bagud.
Sårbarheden er registreret som CVE-2026-17583 med en CVSS v4.0-score på 8,2, hvilket klassificeres som høj alvorlighed. Ifølge it-boltwise.de blev sikkerhedsbulletinen udsendt af producenten den 31. juli 2026 med koordinering fra det amerikanske cybersikkerhedsagentur CISA. Ud over Adams krediteres forskerne Kevin Dyer og Laura Gaydosh Combs for at have identificeret problemet.
Fem produktlinjer opdateret, tre står tilbage uden patch
Thermo Fisher har frigivet opdateringer til fem understøttede produktlinjer, herunder 3500- og 3730-serierne, SeqStudio-analysatorerne samt analyseprogrammet GeneMapper ID-X. Rettelsen indfører digitale signaturer, så det efterfølgende analyseprogram kan verificere filernes integritet fremadrettet.
Tre ældre produkter modtager ingen opdatering. Det drejer sig om 3130-serien og ABI PRISM 3100, 3100-Avant og 310, som producenten har udfaset. Ifølge blogspan.net står laboratorier, der stadig anvender disse instrumenter, dermed uden en officiel løsning på problemet.
Thermo Fisher har over for Wall Street Journal oplyst, at virksomheden ikke kender til tilfælde, hvor sårbarheden reelt er blevet udnyttet. Det ændrer dog ikke ved, at muligheden ifølge forskerne har eksisteret i tre årtier uden nogen kontrolmekanisme.
Retssikkerhed og digitale beviser
Applied Biosystems-geneanalysatorer er blandt de mest udbredte instrumenter i kriminaltekniske laboratorier verden over og bruges også af retsgenetiske institutter i Europa til analyse af DNA-spor fra gerningssteder. Fundene rejser derfor et principielt spørgsmål om, hvordan digitalt DNA-materiale bevares og revideres i retssystemet.
De patchede versioner løser problemet for nye filer, men studiet tegner et billede af en flade, hvor beviser i årtier har ligget uden kryptografisk beskyttelse. Domstole og forsvarsadvokater kan fremover forventes at stille skarpere krav til dokumentation af, at en DNA-fil ikke er blevet ændret mellem laboratoriet og retssalen.
