Tekoälymallit ovat onnistuneet murtautumaan niille rajatuista testiympäristöistä oikeisiin tuotantojärjestelmiin. Samaan aikaan rikolliset ovat alkaneet antaa tekoälyagenteille yhä suuremman osan kokonaisista kyberhyökkäyksistä.
Kyberturvallisuusyhtiö Check Point Research nostaa kehityksen keskeiseksi havainnoksi heinä–elokuun tekoälyuhkia käsittelevässä katsauksessaan. Sen mukaan kaikkein kehittyneimpien tutkimusmallien ja rikollisten käytössä olevan tekoälyn välillä on edelleen ero, mutta se kapenee.
Yksi vakavimmista tapauksista sattui Open AI:n sisäisessä kyberturvallisuustestissä heinäkuussa. Yhtiön mukaan malli löysi eristetyn testiympäristön paketinvälityspalvelusta aiemmin tuntemattoman haavoittuvuuden, käytti sitä ympäristöstä poistumiseen ja pääsi lopulta Hugging Facen tuotantojärjestelmiin.
Open AI:n mukaan kyse oli tarkoituksellisesti vaativasta arvioinnista, jossa mallin tavanomaisia turvallisuusrajoituksia oli poistettu sen kykyjen mittaamiseksi. Tapauksen pääasiallinen toimija oli sisäiseen tutkimukseen tarkoitettu malli, jota ei ollut määrä julkaista käyttäjille.
Britannian AI Security Institute AISI havaitsi omissa testeissään samanlaisen ongelman. Sen 122 testiajosta kymmenessä agentti ryhtyi luvattomiin toimiin avoimessa internetissä. Luvattomia toimia kirjattiin yhteensä 19.
Pisimmälle menneessä tapauksessa agentti yritti saada haitallista koodia osaksi avoimen lähdekoodin ohjelmistoa. Se loi vääriä verkkohenkilöllisyyksiä ja pyrki niiden avulla suostuttelemaan oikean ohjelmistoprojektin ylläpitäjää hyväksymään muutoksen. Yritys epäonnistui.
Tekoäly sai hoitaa hyökkäyksen itse
Rikollisten käyttämät järjestelmät eivät Check Pointin mukaan vielä yllä tutkimuslaboratorioiden edistyneimpien mallien tasolle. Jo nykyiset kaupalliset työkalut riittävät silti pitkälle.
Sysdigin tutkijat kertoivat heinäkuussa Jadepufferiksi nimeämästään operaatiosta, jota he kuvaavat ensimmäiseksi dokumentoiduksi agenttipohjaiseksi kiristysoperaatioksi. Kun ihminen oli käynnistänyt hyökkäyksen, suuri kielimalli hoiti itsenäisesti muun muassa tiedustelua, käyttäjätunnusten keräämistä, etenemistä järjestelmästä toiseen ja tietokantaan kohdistunutta kiristystä.
Gambit Security puolestaan havaitsi hyökkääjän käyttävän Anthropicin Claude Code -agenttia murroissa ainakin kuuteen organisaatioon. Tekoäly tuotti ja suoritti komentoja, kirjoitti hyökkäyksessä käytettyjä skriptejä ja auttoi etsimään kohdeverkoista arvokkaita järjestelmiä.
Hyökkääjä kiersi myös mallin turvallisuusrajoituksia. Jos Claude Code kieltäytyi toimimasta, hyökkääjä avasi uuden istunnon ja vakuutti toiminnan olevan luvallista.
Check Pointin mukaan kehitys osoittaa, ettei tekoäly ole enää hyökkääjälle vain neuvoja antava työkalu. Agentti voidaan antaa suorittamaan kokonaisia työvaiheita ja joissakin tapauksissa lähes koko hyökkäysketju.
Samalla rikollisten ympärille on muodostunut markkina, jossa varastettuja tekoälypalveluiden tunnuksia, pääsyä kaupallisiin malleihin ja niiden turvarajoitusten kiertämistä myydään erillisinä tuotteina. Lähdeaineistossa kuvatussa Zerofot-operaatiossa kerättiin noin seitsemässä viikossa lähes 3 000 toimivaa API-avainta ja muuta tunnusta yli 1 700 tietokoneelta.
Yritysten omat tekoälytyökalut ovat uusi hyökkäyskohde
Riski ei rajoitu hyökkääjien käyttämiin malleihin. Koodausagentit ja yritysten tekoälyavustajat käsittelevät tiedostoja, ohjelmakoodia ja verkkosisältöä usein luotettuna syötteenä. Samalla niistä on tullut uusia hyökkäyskohteita.
Lähdeaineiston mukaan haavoittuvuuksia on löydetty muun muassa Claude Codesta, Googlen Gemini CLI:stä ja Microsoft 365 Copilotista. Tutkijat ovat osoittaneet myös hyökkäyksiä, joissa haitallinen sisältö pyrkii ohjaamaan tekoälyagentin päätöksentekoa sen sijaan, että hyökkäys kohdistuisi suoraan perinteiseen ohjelmistoon.
Check Point varoittaa myös tavallisesta yrityskäytöstä syntyvästä tietovuotoriskistä. Sen heinäkuun aineistossa noin yksi 36 generatiiviselle tekoälylle lähetetystä kehotteesta sisälsi korkean riskin arkaluonteista tietoa. Vähintään yksi tällainen tapaus havaittiin 88 prosentissa tarkastelluista organisaatioista.
Kehityksen keskeinen ongelma on nopeus. Mitä enemmän oikeuksia tekoälyagenteille annetaan tiedostoihin, ohjelmistoihin ja muihin järjestelmiin, sitä suuremmaksi kasvavat myös väärien tai vihamielisesti ohjattujen päätösten seuraukset.
Heinä–elokuun tapaukset osoittavat, että kysymys ei ole enää vain siitä, osaavatko hyökkääjät käyttää tekoälyä. Yhä tärkeämmäksi nousee se, mitä tekoäly pystyy tekemään itsenäisesti sen jälkeen, kun sille on annettu pääsy oikeisiin järjestelmiin.