Tekoäly ei ole tietoturvan loppu, sanoo Kyberturvallisuuskeskuksen johtava asiantuntija – tavallinen käyttäjä näkee sen päivitysten tahdissa

78 tietoturvakorjausta, 87 CVE-tunnistetta, yksi päivitys. Sen verran Apple pakkasi iOS 26.6:een ja iPadOS 26.6:een.

Mobiili.fi kertoi maanantaina Applen julkaisseen 26.6-käyttöjärjestelmäversionsa, ja korjausten määrää kuvattiin poikkeuksellisen suureksi. macOS Tahoe 26.6 paikkaa yli 150 haavoittuvuutta. Vanhemmat versiot Sequoia 15.7.8 ja Sonoma 14.8.8 saivat kumpikin 138 listattua korjausta.

Edellisenä päivänä Yle oli julkaissut kolumnin, joka päättyy juuri tähän tahtiin.

Juhani "Jussi" Eronen, Traficomin Kyberturvallisuuskeskuksen johtava asiantuntija, muotoilee lopun näin.

– Keskittymällä virheiden korjaamiseen puolustaja pysyy tietoturvan kilpajuoksussa rikollisten edellä tekoälystä huolimatta. Tavalliselle käyttäjälle tämä näkyy vain yhä tihentyvinä ohjelmistopäivityksinä.

Kolumni on Erosen omalla nimellä varustettu kirjoitus Ylelle, ei Kyberturvallisuuskeskuksen kannanotto. Yle esittelee kirjoittajan Jussi Erosena ja pelkkänä tietoturva-asiantuntijana eikä mainitse Traficomia lainkaan. Keskuksessa Eronen on ollut töissä vuodesta 2006, ja siteerasimme samaa asiantuntijaa viime perjantaina toisessa yhteydessä.

Sama työ tehtiin Oulussa jo 2000-luvun taitteessa

Kolumnin lähtökohtana on huhtikuinen kohu. Anthropic kertoi Claude Mythos -mallistaan ja Project Glasswing -hankkeestaan, jossa tekoäly löysi tuhansia vakavia ohjelmistovirheitä ja kykeni myös hyödyntämään niitä. Hälytyskellot soivat Euroopan keskuspankkia ja G7-maita myöten.

Eronen ei innostu. Hän muistuttaa, että osa arvioijista piti Mythosta markkinointitemppuna.

Oulun yliopiston OUSPG-ryhmässä tehtiin vuoden 2000 tienoilla samaa työtä käsin. Satojen valmistajien ohjelmistoista kaivettiin virheitä, ja Yhdysvalloissa pelättiin tuolloin al-Qaidan kyberhyökkäyksiä.

– Tekoälyä voikin ajatella vain uudeksi työkaluksi ohjelmistojen tietoturvan tutkimiseen.

Luvut ovat karua luettavaa. Laadunvarmistuksen jälkeenkin koodissa on pahimmillaan noin kymmenen virhettä tuhatta riviä kohti, ja Windowsin kokoluokaksi arvioidaan 50–100 miljoonaa riviä. Kymmenet miljoonat kehittäjät kirjoittavat päivittäin miljoonia rivejä lisää.

Raportoitujen haavoittuvuuksien määrä on moninkertaistunut. Eronen laskee sen VulnCheckin kaltaisen seurannan ja tekoälyavusteisen löytämisen ansioksi.

– Silti tekoäly ei ole toistaiseksi paljastanut ohjelmistojen heikkouksista mitään täysin uutta ja ennennäkemätöntä.

Kiire on valmistajilla, ei kuluttajilla

Kenelle kolumnin varoitus sitten osoitetaan? Otsikko antaa hetkeksi väärän vaikutelman, sillä kiire koskee ohjelmistotaloja.

Eronen toteaa, että tekoäly löytää virheitä samaan tapaan kuin ihmisasiantuntija. Pullonkaulaksi paljastuu tietoturvaosaamisen niukkuus. Valmistajien pitäisi ottaa tekoäly käyttöön nimenomaan virheiden korjaamiseen, ei pelkkään etsimiseen.

Toinen puoli, josta kolumni vaikenee

Kolumni puhuu ohjelmistovirheistä. Sanat huijaus tai kalastelu eivät esiinny siinä lainkaan, ja rikollisilla tarkoitetaan koodin aukkoja hyödyntäviä hyökkääjiä.

Sosiaalisen manipuloinnin puolella kuva on toinen. Kyberturvallisuuskeskus antoi toukokuussa keltaisen varoituksen tekoälyllä tehostetusta Microsoft 365 -tilien kalastelusta, kun ilmoituksia kertyi huhtikuussa 2026 yhteensä 87. Keskusrikospoliisi varoitti heinäkuussa poliisin nimissä soitetuista deepfake-videopuheluista.

Helsinkiläinen Hoxhunt mittasi kalasteluviesteistä tekoälyn jälkiä. Osuus nousi marraskuun 2025 neljästä prosentista 56 prosenttiin joulukuussa 2025 ja asettui 40 prosenttiin tammikuussa 2026. Yhtiö korostaa itse mitanneensa vain pinnallisia tunnusmerkkejä, ei kontrolloitua vertailua ihmisen ja koneen kirjoittamien viestien välillä.

Kumpaakaan tapausta kolumni ei mainitse. Jää nähtäväksi, kumpi puoli painaa lopulta enemmän.

Traficomin oma vuosipuoliskokatsaus kesäkuulta tukee Erosta nopeuskysymyksessä. Katsaus kertoo, että haavoittuvuuksien hyödyntäminen alkaa usein hyvin nopeasti julkistamisen jälkeen ja jopa ennen sitä. Samassa katsauksessa todetaan myös näin: "Tekoäly on noussut kansainvälisesti yhdeksi merkittävimmistä kyberturvallisuuteen vaikuttavista tekijöistä vuonna 2026."

Mitä tehdä

Mitä tavallinen käyttäjä voi tästä kaikesta tehdä? Yhden asian, ja se on ihan tylsä.

• Asenna tietoturvapäivitys heti kun se tulee tarjolle, äläkä lykkää sitä viikoiksi.
• Laita automaattiset päivitykset päälle puhelimessa, tabletissa ja tietokoneessa.
• Muista myös selain, reititin ja älytelevisio, ei pelkkää käyttöjärjestelmää.
• Ilmoita kalasteluviesteistä osoitteessa ilmoita.kyberturvallisuuskeskus.fi.

Applen heinäkuinen korjauspaketti ei ole tekoälyn ansiota, eikä yhtäkään aukkoa kerrota ainakaan vielä hyödynnetyn hyökkäyksissä. Yhteys on tätä ohuempi ja arkisempi, ja sen Eronen sanoo itse. Korjaustahti kiihtyy, ja käyttäjä näkee siitä vain sen ilmoituksen ruudullaan.