Viikkojen neuvottelut päättyivät San Franciscossa
Anthropic on antanut Euroopan unionin kyberturvallisuusvirastolle ENISA:lle pääsyn Mythos-malliinsa. Päätös ilmoitettiin Euroopan komissiolle viikonloppuna, ja se tekee ENISA:sta ensimmäisen EU-instituution Anthropicin Project Glasswing -ohjelmassa. Sopimuksesta neuvoteltiin useita viikkoja, ja komission virkamiehet matkustivat lopulta San Franciscoon viimeistelemään ehdot.
Mythos esiteltiin huhtikuussa 2026 Claude Mythos Preview -nimellä. Malli etsii itsenäisesti haavoittuvuuksia monimutkaisista koodikannoista ja tuottaa toimivan hyökkäyskoodin yli 83 prosentissa tapauksista. Glasswing-kumppanit ovat löytäneet sen avulla yli 10 000 vakavaa tai kriittistä nollapäivähaavoittuvuutta yhden kuukauden aikana, pääosin tunnetuista käyttöjärjestelmistä ja selaimista.
Mistä neuvotteluissa kiisteltiin
ENISA:n tiedottaja vahvisti uutistoimistoille, että ehdoista käydään yhä keskustelua. Käytännön solmukohtia ovat olleet tietosuvereniteetti, eli mihin Mythosin löydökset tallennetaan, sekä se, miten ENISA saa jakaa havaintonsa EU-jäsenmaiden kansallisille kyberviranomaisille. Lisäksi rajataan, mitä järjestelmiä virasto saa testata mallilla.
Project Glasswing on tarkkaan kuratoitu ohjelma. Sen jäsenistöön kuuluu noin 40 yhdysvaltalaista yhtiötä, kuten Amazon, Apple, Microsoft, Google ja Linux Foundation, sekä viime aikoina Okta, Samsung, SK Hynix, SK Telecom ja Nato. Sääntö on yksi: mallia saa käyttää vain puolustukseen, ei hyökkäyksen valmisteluun.
Mikä Mythos on?
Anthropicin syvätutkimusmalli, julkaistu huhtikuussa 2026. Löytää ohjelmistovirheitä automaattisesti ja tuottaa toimivan hyökkäyskoodin 83 prosentin onnistumisasteella. Glasswing-kumppanit ovat löytäneet sillä yli 10 000 vakavaa nollapäivähaavoittuvuutta yhden kuukauden aikana. Pääsy rajattu noin 40 yhdysvaltalaiseen yhtiöön, Britannian rahoitussektorille, Natolle ja nyt ENISA:lle, vain defensiiviseen käyttöön.
Suomi-kulma: Traficom, WithSecure ja vuoronumero
Suomessa kybertyö jakautuu kolmen pääosaston kesken. Traficomin Kyberturvallisuuskeskus vastaa kansallisesta tilannekuvasta ja koordinaatiosta, WithSecure on suurin kotimainen kaupallinen kyberturvayhtiö, ja Reaktorin kaltaiset talot pyörittävät yritysten penetrointitestausta. Kaikki kolme käsittelevät jatkuvasti haavoittuvuustietoa, eli kohderyhmä Mythoksen kaltaiselle työkalulle on selkeä.
Pyysin sekä Kyberturvallisuuskeskukselta että WithSecurelta kommenttia siitä, onko Anthropicin kanssa käyty keskusteluja. Kumpikaan ei ehtinyt vastata ennen jutun julkaisua. WithSecuren tutkijat Samuel Marchal ja Bartosz Nawrotek kirjoittivat Traficomille jo vuonna 2024 laajan selvityksen tekoälyn hyödyntämisestä kyberturvassa, joten aiheen asiantuntemusta talosta löytyy. Polku Anthropicin neuvottelupöytään ei kuitenkaan kulje suoraan Helsingistä, vaan ENISA:n kautta.
Hollannin NCSC, Saksan BSI ja Tanskan CFCS ovat jo signaloineet kiinnostuksensa päästä testaamaan Mythosta omilla kriittisillä järjestelmillään. Suomesta vastaavaa signaalia ei ole vielä noussut julkisuuteen. Käytännössä järjestys riippunee siitä, kuinka aktiivisesti kukin maa lobbaa pääsyä, eikä Helsingistä ole vielä kuulunut samanlaista painetta kuin Berliinistä.
Miksi tämä koskettaa tavallista suomalaista
Kyberturvaviranomaisten pääsy Mythokseen vaikuttaa siihen, kuinka nopeasti haavoittuvuudet löytyvät suomalaisten arjessa käytetyistä ohjelmistoista, kuten Windowsista, Chromesta, sairaaloiden potilastietojärjestelmistä ja pankkien sovelluksista. Mitä aiemmin reikä löytyy ENISA:lta tai sen kautta Traficomilta, sitä lyhyempi aika rikollisilla on käyttää sitä hyväkseen. Jos Suomi jää jakeluverkoston ulkopuolelle, kansallinen kyberturvallisuuskeskus saa tiedot toista, hitaampaa kautta.
Anthropicin pelko on käänteinen. Mythos on niin tehokas, että jos sen painot tai työnkulut vuotaisivat, kyberrikollisilla olisi käsissään valmis automatisoitu hyökkäyskone. Siksi pääsyä rajoitetaan tiukasti, ja siksi neuvottelut ENISA:n kanssakin venyivät viikkoihin. Kyse ei ollut byrokratiasta, vaan luottamuksen rakentamisesta.
