Anthropicin apulaistietoturvajohtaja Jason Clinton kirjoitti torstaina X-palvelussa viestin, jota tietoturva-ala on sen jälkeen jakanut ympäri maailmaa. Hänen mukaansa viime päivien sekasorto oli vasta alkusoittoa.
Taustalla ovat keskiviikkona julkistetut kaksi vakavaa PHP-haavoittuvuutta. Kuten AI Suomi aiemmin kertoi, tekoälymallien avulla löydetyt aukot antavat hyökkääjälle mahdollisuuden ajaa omaa koodiaan palvelimella kirjautumatta, ja hyökkäysliikennettä havaittiin jo ennen korjausten julkaisua.
Clinton: rahaa perusasioihin, nyt
Clintonin viesti oli suunnattu yritysten tietoturvajohtajille. Hän kehotti heitä käyttämään kriisin hyväksi, menemään hallitustensa eteen ja pyytämään apua heti. ”Ei tekoälyyn, vaan perusasioihin”, hän tarkensi. Alan on hänen arvionsa mukaan kestettävä vielä noin 18 kuukautta.
“Niin pahaksi kuin asiat ovat neljän viime päivän aikana menneet, ne menevät vielä paljon pahemmiksi ennen kuin ne paranevat.”
Varoitus ei ole Clintonilta ensimmäinen. Jo elokuussa hän ennusti, että ”haavoittuvuustsunami” iskee muutamassa kuukaudessa. Ajatus on yksinkertainen: tekoäly löytää aukkoja nopeammin kuin ohjelmistojen ylläpitäjät ja käyttäjät ehtivät paikata niitä. Hyökkääjät voivat Clintonin mukaan jo nyt käyttää olemassa olevia malleja vanhan ohjelmiston vikojen etsimiseen ja hyödyntämiseen ennen kuin korjauksia on saatavilla.
Toivoakin hän näkee. Tekoälyyn perustuvat tietoturvatyökalut halpenevat ja auttavat kehittäjiä korjaamaan virheet ennen kuin koodi päätyy tuotantoon. OpenAI liikkuu samaan suuntaan: yhtiö julkisti keskiviikkona Patch the Planet -hankkeen, joka kokoaa tietoturvatutkijat, avoimen lähdekoodin ylläpitäjät ja häiriötilanteiden selvittäjät koordinoimaan korjauksia, kun tekoälyagentit löytävät kriittisiä aukkoja.
Kankaala: hakkerointi ei muutu perustaltaan
Suomalainen tietoturva-asiantuntija Laura Kankaala ei lähde maalaamaan yhtä synkkää kuvaa. Hänen mukaansa tekoäly nopeuttaa haavoittuvuuksien löytämistä, mutta lähtökohta pysyy samana. ”Tekoäly ei kuitenkaan muuta hakkerointia perustavanlaatuisesti”, Kankaala sanoo Ylelle.
Ylen jutussa muistutetaan, että tietoturva on vuosikymmeniä nojannut kahteen pilariin: haavoittuvuuksien etsimiseen ja korjaamiseen sekä ihmisen huomiokyvyn rajallisuuteen. Tekoäly horjuttaa jälkimmäistä, koska kone ei väsy lukemaan miljoonia koodirivejä. Puolustajan tehtävä on silti sama kuin ennenkin. Aukot pitää löytää ja korjata ennen hyökkääjiä.
Näkemykset eivät välttämättä kumoa toisiaan. Clinton puhuu tahdista ja määrästä, Kankaala menetelmistä. Kumpikin päätyy samaan johtopäätökseen siitä, mihin puolustuksen pitää keskittyä: päivityksiin, valvontaan ja hyvään perushygieniaan.
Valtiollakin kaiken paikkaaminen vie yli viikon
Suomessa kilpajuoksun hinta näkyi heti. Kun verkkopalveluita kaatui keskiviikkona ympäri maailmaa, valtionhallinnon verkkopalveluja ajettiin varotoimena alas. Valtorin tietohallinnon ylijohtaja Hannu Naumanen kertoi STT:lle perjantaina, että tärkeimmät kansalaisiin vaikuttavat järjestelmät, kuten Suomi.fi-tunnistautuminen, väestötietojärjestelmä ja poliisin sähköinen asiointi, on korjattu.
Työ jatkuu silti. ”Jos otetaan tavoitteeksi se, että aivan kaikki on päivitetty, varmasti puhutaan yli viikosta”, Naumanen sanoi. Palvelujen täysi palautuminen voi kestää päiviä tai jopa viikkoja. Valtorin tiedossa ei ole, että aukkoja olisi hyödynnetty aktiivisesti.
Tavallinen kansalainen huomasi kriisin katkoina asioinnissa. Yrityksille se on vakavampi viesti. Jos valtion keskitetty it-palvelu tarvitsee yli viikon kaiken päivittämiseen, pienellä yrityksellä, jonka verkkokauppa pyörii webhotellissa vanhalla WordPressillä, ei välttämättä ole edes tietoa siitä, kuka päivityksen hoitaa. Jos Clinton on oikeassa, tämä ei jää viimeiseksi kerraksi.
Tausta: mikä PHP on ja miksi tekoäly muuttaa asetelmaa
PHP on ohjelmointikieli, jolla rakennetaan verkkosivujen palvelinpuolta. Kun selaimessa avautuu esimerkiksi WordPress- tai Drupal-sivusto, palvelimella pyörii todennäköisesti PHP. W3Techsin mukaan sen osuus on noin 69 prosenttia niistä sivustoista, joiden palvelinkieli tiedetään.
Haavoittuvuus on ohjelmointivirhe, jonka avulla ulkopuolinen saa järjestelmän tekemään jotain, mitä sen ei pitäisi. Vakavien virheiden löytäminen vanhasta ja laajasti käytetystä koodista on vaatinut kokeneilta tutkijoilta viikkojen tai kuukausien työn. Nyt tekoälymallit käyvät valtavia koodimääriä läpi päivissä. Anthropic kertoi aiemmin tällä viikolla Clauden löytäneen satoja ongelmia 25 avoimen lähdekoodin projektista. Luvut ovat yhtiön omia ja alustavia.
Sama työkalu palvelee kumpaakin osapuolta. Siksi ratkaisevaksi on noussut aika, joka kuluu korjauksen julkaisusta siihen, että se on oikeasti asennettu.
