Anthropic kertoi keskiviikkona laajentavansa Project Glasswing -hankettaan 150 uuteen organisaatioon yli 15 maassa. Mukaan tulee ensimmäistä kertaa sähköverkko-operaattoreita, vesihuoltoyhtiöitä, sairaaloita, teleoperaattoreita ja laitevalmistajia. Yhtiön mukaan onnistunut hyökkäys yhden partnerin koodikantaan voisi pahimmillaan koskettaa yli sataa miljoonaa ihmistä.
Käytännössä kyse on pääsyohjelmasta Claude Mythos -malliin, jota Anthropic on virittänyt etsimään haavoittuvuuksia ohjelmistokoodista. Mythos Preview on löytänyt huhtikuusta lähtien yli 10 000 vakavaksi tai kriittiseksi luokiteltua haavoittuvuutta yhtiön omissa testeissä.
Mythos lukee koodin, ihminen korjaa
Glasswing ei ole kyberturvayhtiön päivystyspalvelu vaan pääsyohjelma. Organisaatio antaa Anthropicille luvan skannata koodikantansa, ja Mythos palauttaa listan epäilyttävistä paikoista. Käännös korjauspatchiksi jää ihmisten harteille, ja juuri tämä on yhtiön itsensä mukaan pullonkaula.
“Pullonkaula on inhimillinen kyky priorisoida, raportoida sekä suunnitella ja jalkauttaa korjaukset.”
Fingrid, Helen ja HUS pohtivat ehtoja
Suomessa kolme nimeä tulee heti mieleen. Fingrid pyörittää kantaverkkoa ja seuraa jo nyt verkon kuormaa tekoälyllä. Helen ja HSY vastaavat pääkaupunkiseudun energia- ja vesihuollosta. HUS hallinnoi sairaalakokoluokan potilastietojärjestelmiä, joissa kielimallikokeiluja on jo nähty.
Yhtäkään näistä ei ole vahvistettu Glasswingin uuteen partneriaaltoon, eikä Anthropic julkaissut nimilistaa. Kysyin Fingridin viestinnältä torstaina, onko yhtiö arvioinut osallistumista. Vastaus oli lyhyt: yksittäisiä neuvotteluja ei kommentoida. Vahvistuspyyntö lähetetty, säilytetään omassa kansiossa.
Olennaisin kysymys: millä ehdoilla suomalainen kriittinen infra suostuu antamaan amerikkalaiselle kielimallille pääsyn koodiinsa? Huoltovarmuuskeskus muistuttaa, että vastuu järjestelmien jatkuvuudesta säilyy omistajalla, ei alihankkijalla. Traficomin Kyberturvallisuuskeskus tähdentää EU:n tekoälyasetuksen velvoitteita, jotka astuvat täysimittaisesti voimaan 2. elokuuta 2026. Korkean riskin järjestelmien rekisteröinti tulee myös kriittisen infran puolelle.
Mitä Glasswing-osallistuminen vaatisi suomalaiselta operaattorilta
Tiedonkäsittelysopimus, joka rajaa koodin skannauspaikan ja säilytysajan. Sisäinen prosessi, jossa löydetyt haavoittuvuudet kulkevat korjaajalle ennen vuotomahdollisuutta. Selkeä vastuujako oman tietoturvatiimin, alihankkijoiden ja Anthropicin välillä. Jos yksikin näistä jää harmaaksi, huoltovarmuuden raami pettää sopimuspaperilla, ei koodissa.
Glasswing ja Trusted Access for Cyber – eri arkkitehtuuri, sama tavoite
Ohjelmiston kaikki lähdekooditiedostot yhdessä paikassa. Esimerkiksi sähköverkon ohjausjärjestelmän koodikanta sisältää kaiken sen ohjelmoinnin, jolla verkkoa hallitaan.
Haavoittuvuus
Ohjelmistossa oleva virhe tai aukko, jota hyökkääjä voi käyttää murtautuakseen järjestelmään tai varastaakseen tietoa.
Kriittinen infrastruktuuri
Yhteiskunnan elintärkeät järjestelmät kuten sähköverkko, vesihuolto ja sairaalat, joiden toimimattomuus aiheuttaisi laajaa haittaa.
Microsoftin ja OpenAI:n linja on toinen
Anthropic ei ole yksin kentällä. Microsoft ja OpenAI sopivat huhtikuussa Trusted Access for Cyber -ohjelman laajentamisesta. Siinä OpenAI antaa kybermallinsa Microsoftin asiakaspuolustajille, ja Microsoft suojaa OpenAI:n omaa infraa. Ohjelma on suunnattu tuhansille vahvistetuille puolustajille rahoituspalveluissa sekä pilvi- ja kyberyhtiöissä.
Arkkitehtuurinen ero on iso. Trusted Access for Cyber syöttää mallin puolustajan käteen työkaluksi. Glasswing tekee päinvastoin: Anthropic ajaa mallin asiakkaan koodikantaan ja löydökset käännetään asiakkaan velvollisuudeksi. Kummassakin tapauksessa korjaukset jalkauttaa ihminen, mutta arkkitehtuuri ratkaisee, kuka tietää mistä ja milloin.
Sähkö, vesi, sairaala – ja viikon viive
Jos Helenin tai HSY:n tietojärjestelmissä piilee aiemmin tunnistamaton haavoittuvuus, sen löytyminen Anthropicin skannauksessa tarkoittaa parhaassa tapauksessa nopeampaa korjausta. Pahimmassa tapauksessa haavoittuvuustieto kulkee suomalaisen kriittisen infran ulkopuolelle ennen kuin korjaus on valmis. Sähkönjakelussa, vesihuollossa ja sairaalan tietojärjestelmissä viikon viive haavoittuvuuden löytymisen ja korjauksen välillä riittää, että kiristyshaittaohjelma ehtii sisään.
Tämä on syy, miksi Huoltovarmuuskeskus puhuu tekoälystä juuri huoltovarmuuden näkökulmasta. Mallin teho ei ratkaise mitään, jos sopimusrakennelma vuotaa.
Anthropic kertoi laajentavansa Glasswingiä jatkossa myös avoimen lähdekoodin ylläpitäjille ja turvallisuustestaajille. Pienille suomalaisille teknologiayhtiöille tämä saattaa olla kiinnostavampi väylä kuin suorat infrasopimukset. Tukes, Lupa- ja valvontavirasto sekä Traficom piirtävät kuitenkin omat rajansa kriittisen infran puolelle, ja niiden välissä Glasswingin Suomi-osio ratkaistaan käytännössä yksittäisten sopimusten tasolla, ei lehdistötiedotteissa.
Viikoittainen uutiskirje
Tule firmasi fiksuimmaksi AI-osaajaksi
Yksi uutiskirje kerrallaan. Kokoamme viikon tärkeimmät tekoälyuutiset suomeksi ja kerromme, mitä ne tarkoittavat sinun työsi kannalta. Luet sen kahvitauolla.
