Kalasteluviestit alkavat huijata myös tekoälyavustajia – piilotettu komento voi vaihtaa laskun tilinumeron
Hyökkääjät piilottavat samaan sähköpostiin erillisen komennon, joka pyrkii ohjaamaan tekoälyavustajan suositusta ihmisen huomaamatta.
Tiivistelmä
Barracudan tutkimus paljastaa kalasteluviestejä, joissa yksi osa on suunnattu ihmiselle ja toinen, piilotettu osa tekoälyavustajalle. Tavoitteena on saada avustaja suosittelemaan esimerkiksi väärää tilinumeroa laskun yhteydessä, ilman että ihminen huomaa mitään poikkeavaa.
Kalasteluviesti voi nyt puhua kahdelle vastaanottajalle yhtä aikaa.
Toinen on ihminen, joka näkee tavallisen sähköpostin.
Toinen on tekoälyavustaja, joka tiivistää tai käsittelee samaa viestiä ihmisen puolesta.
Guruprasad Kenja, Barracudan tietoturvatutkija, julkaisi 7.10.2026 tutkimuksen, jossa kuvataan hyökkäyksiä kahdella eri tasolla. Ihmiselle viestissä on esimerkiksi salasanasuojattu liite, ja salasana löytyy samasta viestistä.
Tekoälylle on piilotettu erillinen komento, joka pyrkii vaikuttamaan siihen, miten viesti tiivistetään tai minkä toimenpiteen avustaja suosittelee.
Kenjan tutkimus listaa neljä tapaa piilottaa komento ihmisen silmiltä: HTML-kommentin, CSS:llä näkymättömäksi tyylitellyn tekstin, Base64-koodatun datan, joka voi olla esimerkiksi kuvien merkkijonojen sisällä, ja nollan levyisen Unicode-merkistön.
Yhdessä Barracudan löytämässä esimerkissä laskuviestiin oli piilotettu ohje, joka pyysi vaihtamaan toimittajan tilinumeron.
Toisessa CV-tiedostoon oli piilotettu teksti, joka pyysi tekoälyä arvioimaan hakijan huippuluokan ehdokkaaksi. Tutkijat löysivät myös tapauksia, joissa tukibotteja yritettiin saada vuotamaan asetustietoja, ja dokumentteja, joihin oli piilotettu koodiavustajille suunnattuja ohjeita haittakoodin lisäämiseksi.
Kehoteinjektio (prompt injection)
Kehoteinjektiossa viestiin piilotetaan tekoälylle tarkoitettu komento, jota ihminen ei näe tavallisesti viestiä lukiessaan. Komento voi olla HTML-kommentissa, näkymättömäksi tyylitellyssä tekstissä tai koodatussa muodossa. Jos tekoälyavustaja käsittelee viestin, se saattaa noudattaa piilotettua komentoa osana yhteenvetoa tai suositusta.
Barracuda ei kerro, missä laajuudessa tekniikkaa käytetään aktiivisesti. Infosecurity Magazine vahvisti tutkimuksen päivämäärän ja tekniset yksityiskohdat itsenäisesti, mutta huomautti saman puutteen: kampanjan todellisesta esiintyvyydestä ei ole lukuja.
Ongelman juuri on siinä, että tekoäly ei erota kahta asiaa toisistaan.
– Todellinen ongelma on, että malli ei kykene erottamaan tekstiä, jota sen pitäisi lukea, ohjeesta, jota sen pitäisi noudattaa.
Näin sanoo Apollo Raines, ShipItClean-sovelluksen kehittäjä, Malwarebytesin lokakuussa 2026 julkaisemassa jutussa. Raines kehittää itse tekoälypohjaisia työkaluja, joten hänen näkemyksensä tulee alan sisältä, ei vain ulkopuolisilta tutkijoilta.
Ison-Britannian NCSC varoitti joulukuussa 2025, että kehoteinjektiota ei välttämättä voida koskaan täysin estää. Virasto vertasi tilannetta internetin alkuaikojen SQL-injektioon, joka vaivasi verkkosovelluksia vuosia ennen kuin torjuntakeinot yleistyivät.
Kyse on brittiläisen viraston arviosta, ei Kyberturvallisuuskeskuksen kannasta.
Suomalaisille yrityksille tekniikka on kiinnostava juuri siksi, että tekoälyavustajia otetaan käyttöön sähköpostin ja laskujen käsittelyssä nopeasti, usein ennen kuin oikeudet ja valvonta on mietitty loppuun.
Avustaja, joka saa lukea laskut ja ehdottaa maksuja, on samalla altis samalle manipulaatiolle kuin ihminen – vain eri reittiä.
Tämä poikkeaa lokakuun alussa käsitellystä tekoälyä hyödyntävästä toimitusjohtajahuijauksesta, jossa rikolliset esiintyivät videopuhelussa aidon johtajan äänellä ja kasvoilla. Siinä kohteena oli ihminen, jota huijattiin synteettisellä puheella ja videokuvalla.
Tässä kohteena on itse tekoälyavustaja, ja keino on piilotettu teksti, ei jäljitelty ihmisääni.
Tunnistusmerkit
Piilotettu komento ei näy tavallisessa sähköpostinäkymässä. Se voi sijaita viestin lähdekoodissa HTML-kommentissa, tekstissä, joka on värjätty taustan väriseksi, koodatussa merkkijonossa tai liitteen metatiedoissa. Epäilyttävä merkki on myös se, että tekoälyavustajan tuottama yhteenveto tai suositus poikkeaa viestin näkyvästä sisällöstä, esimerkiksi ehdottamalla maksutietojen muutosta, jota viestin tekstissä ei suoraan pyydetä.
Mitä tehdä
- Vahvista maksutieto- tai tilinumeromuutokset aina erillistä, ennalta tunnettua kanavaa käyttäen, ei viestissä annettujen tietojen perusteella.
- Rajoita tekoälyavustajan käyttöoikeudet vain tarpeelliseen, erityisesti työpaikalla.
- Vaadi ihmisen hyväksyntä maksuihin ja muihin vaikutuksiltaan suuriin toimiin ennen kuin tekoälyn suositusta noudatetaan.
- Muista, että piilotettu komento voi olla HTML-kommentissa, näkymättömässä tekstissä tai koodatussa muodossa, ei vain viestin näkyvässä tekstissä.
- Ilmoita epäilyttävästä viestistä Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Lähteet
- Barracuda (07.10.2026)
- Malwarebytes
- UK NCSC (Malwarebytesin välittämänä) (01.12.2025)
- Infosecurity Magazine (07.10.2026)