Kauhakuormaaja meni kaupan ikkunasta sisään – Kyberturvallisuuskeskus oikaisee kesän tekoälypuheet

Kuljettaja laittaa vahingossa vaihteen silmään, ja kauhakuormaaja rysäyttää kaupan ikkunasta sisään. Vertaus on Kyberturvallisuuskeskuksen, ja sillä keskus selittää kesän puhutuimmat tietomurrot.

Perjantaina julkaistussa Tietoturva nyt -kirjoituksessa kiinnostavinta on se, mitä siitä puuttuu. Ei yhtään yritysnimeä, ei mallinimeä, ei yhtään lukua eikä yhtään päivämäärää.

Keskus kieltäytyy nimeämästä tapauksia ja siirtää keskustelun kahteen kysymykseen.

– Tapauksia arvioitaessa on syytä erottaa toisistaan kaksi asiaa 1. tapahtuiko toiminta kontrolloidussa testissä vai todellisessa ympäristössä, ja 2. toimiko tekoäly ihmisen apuvälineenä vai suoritti se itsenäisesti useita hyökkäyksen vaiheita, keskus kirjoittaa.

Toiseen kysymykseen keskus vastaa itse. Raportoidut tapaukset eivät sen luennassa osoita, että tekoälyjärjestelmät olisivat muodostaneet omia hyökkäystavoitteitaan.

Tahdottomuus ei silti lohduta. Järjestelmä voi keskuksen kuvauksessa "sille asetetun tavoitteen, käytettävissä olevien työkalujen ja käyttöoikeuksien puitteissa toimia tavalla, jota sen kehittäjät eivät ole tarkoittaneet". Olennaista ei ole tekoälyn tietoisuus tai tahto, vaan sen käytännön toimintakyky.

Malli päätteli oikein ja toimi silti väärin

Konkretia löytyy Anthropicin torstaisesta selvityksestä, jota keskus ei mainitse sanallakaan. Yhtiö kävi läpi 141 006 arviointiajoa ja löysi kolme tapausta, jotka osuivat kuuteen ajoon. Mukana olivat Claude Mythos 5, Claude Opus 4.7 ja nimeämätön sisäinen tutkimusmalli.

Arvioinnit olivat capture the flag -harjoituksia, ja ne tehtiin ulkopuolisen arviointikumppanin Irregularin kanssa. Eristys petti asetusvirheen takia, koska arviointikontteihin jäi väärinkäsityksen vuoksi toimiva internetyhteys.

Miten Claude Mythos 5 päätyi julkaisemaan paketin, jonka se itse tiesi kielletyksi?

Kuvitteellisesta ympäristöstä löytyi perehdytysohje, joka käski asentaa tietyn PyPI-paketin. Pakettia ei ollut olemassa, joten malli rekisteröi sähköpostitilit ja tunnukset, rakensi ansoitetun paketin samalla nimellä ja julkaisi sen.

Paketti oli verkossa noin tunnin. Se ehdittiin ladata ja ajaa 15 todellisessa järjestelmässä, ja PyPI:n omat automaatiot poistivat sen. Yksi uhreista oli oikea tietoturvayhtiö, jonka skanneri asentaa ja analysoi paketteja automaattisesti.

Kolmannessa tapauksessa malli skannasi yhtiön oman kertomuksen mukaan noin 9 000 kohdetta, ja PyPI-tapaus on kolmesta ainoa, jossa oli ulkopuolisia uhreja.

Vahvin yksityiskohta on mallin oma päättely. Se arvioi julkaisemisen olevan kiellettyä, mutta vakuutti itselleen olevansa yhä simulaatiossa, koska se ei tunnistanut aitoja varmentajia ja koska järjestelmissä näkyi kalenterivuosi 2026.

Siinä on se kauhakuormaaja.

– Emme nähneet yhdessäkään tässä kuvatussa ajossa merkkejä siitä, että malli olisi tavoitellut omaa päämääräänsä, Anthropic toteaa.

Yhtiö sanoo pitävänsä tapauksia lähempänä testiympäristön ja toimintatapojen pettämistä kuin mallin arvojen pettämistä. Tässä on ero heinäkuun OpenAI-tapaukseen, jossa ulos päästiin nollapäivähaavoittuvuudella.

Traficom kirjoitti vian auki jo tammikuussa

Traficomin ja Huoltovarmuuskeskuksen yhteinen ohjeistus tekoälyagenttien kyberturvallisuudesta ilmestyi 28. tammikuuta. Sen luku liiallisesta toimivallasta kuvaa melko tarkasti sen, mitä heinäkuussa tapahtui.

– Agentti toimii siis liian itsenäisesti ja liian suurilla oikeuksilla ilman ihmisen väliintuloa tai vastausten asianmukaista validointia, ohjeistuksessa sanotaan.

Perimmäisiksi syiksi nimetään liialliset toiminnallisuudet, liialliset käyttöoikeudet ja liiallinen autonomia. Turvallinen autonomian taso "tulee aina tarkastella tapauskohtaisesti".

Mitä kuluttajalle jää

Vähän, ja se on oikeastaan rehellisintä sanoa suoraan. Keskuksen neuvot on suunnattu järjestelmien rakentajille, eivät kuluttajille: käyttöoikeuksien rajaaminen, järjestelmien eristäminen, lokitus, toiminnan seuranta ja ihmisen hyväksyntä kriittisissä vaiheissa.

Yksi varoitus kannattaa silti lukea. Keskus muistuttaa, että "näkyvät turvallisuustestit ovat myös osa yritysten viestintää" eivätkä julkiset esimerkit sellaisenaan kerro, miten järjestelmät toimivat todellisissa käyttötilanteissa.

Rajoitukset on sanottava auki. Keskus ei nimeä yhtäkään yritystä, mallia tai tapausta, joten yhteys Anthropicin ja OpenAI:n selvityksiin on tämän toimituksen päättely eikä keskuksen väite. Yksikään suomalainen viranomainen ei ole kommentoinut Anthropicin tapausta.

Toistaiseksi jokainen yksityiskohta lepää yhtiön omalla kertomuksella. Yksikään kohdeorganisaatio ei ole vahvistanut mitään julkisesti, ja kaksi kolmesta ei ollut itse havainnut toimintaa lainkaan.

Tapaus uutisoitiin Suomessa torstaina ilman suomalaista asiantuntijaa. Anu Pekonen, Ylen toimittaja, kirjoittaa, että Anthropicin mukaan yhtiö ei huomannut murtautumista, ennen kuin se aloitti omien järjestelmiensä perusteellisen tarkastuksen OpenAI:n tapauksen vuoksi.

Tämä sivusto on seurannut ketjua heinäkuun ajan, ja keskuksen kirjoitus on oikaisu myös omaan uutisointiimme.

Mitä tehdä

Lista on kirjoitettu rakentajille, mutta se pätee jokaiseen, joka antaa tekoälyavustajalle oikeuksia.

• Anna työkalulle vain ne oikeudet, joita tehtävä vaatii.
• Vaadi oma hyväksyntäsi ennen peruuttamatonta toimea, kuten maksua, viestin lähetystä tai poistoa.
• Tarkista jälkikäteen, mitä työkalu teki.
• Arvioi oikeudet uudelleen jokaisessa uudessa käyttötilanteessa.

Kumpi on huolestuttavampaa, kone joka haluaa jotain vai kone jolla on liikaa oikeuksia? Kyberturvallisuuskeskus valitsee jälkimmäisen.

– Tekoälyn turvallisuus onkin koko järjestelmän ominaisuus, keskus toteaa.