Anthropic avasi keskiviikkona 30. huhtikuuta Claude Security -palvelun julkiseen betaan. Yhtiön mukaan sadat organisaatiot ovat jo helmikuusta jatkuneessa tutkimusvaiheessa löytäneet sillä tuotantokoodistaan haavoittuvuuksia, joita kaupalliset skannerit ovat sivuuttaneet vuosia.
Palvelu pyörii uusimman Claude Opus 4.7 -mallin päällä ja on aluksi tarjolla Claude Enterprise -asiakkaille. Anthropic tarjoaa Opus 4.7 -mallia myös CrowdStriken, Microsoft Securityn, Palo Alto Networksin, SentinelOnen, Trend Micron TrendAI:n ja Wizin tuotteisiin. Konsulttipuolella mukana ovat Accenture, BCG, Deloitte, Infosys ja PwC.
Lukee koodia kuten ihmistutkija
Anthropicin mukaan Claude Security ei etsi tunnettuja haavoittuvuuskuvioita, vaan päättelee koodikannan toimintaa kuten tietoturvatutkija. Agentti lukee lähdekoodin, seuraa datan kulkua tiedostosta toiseen ja arvioi miten komponentit puhuvat keskenään.
Käytännössä työkalu havaitsee virheitä, jotka syntyvät kahden tai kolmen tiedoston välisestä vuorovaikutuksesta. Perinteinen staattinen analyysi pyrkii tähän sääntöjen avulla, mutta jää usein paikallisten kuvioiden tasolle.
Jokainen löydös tulee ulos vakavuusarviolla, perusteluilla ja toistettavilla askelilla. Lisäksi agentti ehdottaa korjausta, jonka ihmiskehittäjä hyväksyy ennen kuin se päätyy tuotantoon. Snowflakella siltä on kuvattu tulleen 'uudenlaisia, laadukkaita löydöksiä', ja maksuinfran rakentaja Column kertoo siirtyneensä skannauksesta korjaukseen muutamalla klikkauksella.
“Claude Security nopeuttaa sitä, miten tuotamme ja turvaamme uutta koodia.”
Suomessa puolustus seuraa kehitystä
Suomalaisessa kentässä Claude Securityn kaltaisia agenttiskannereita seurataan ainakin WithSecuren, Nixun ja Aalto Cybersecurity -tutkimusryhmän piirissä. WithSecure on viimeisen vuoden aikana toistanut näkyvästi viestiä siitä, että generatiiviset mallit muuttavat puolustajan ja hyökkääjän asetelmaa yhtä aikaa. Kun hyökkäyskoodia voidaan tuottaa koneellisesti, puolustajan työkalupakki on pakko päivittää samassa tahdissa.
Nixu, joka kuuluu nyt norjalaiseen DNV:hen, myy konsernin sisällä koodikatselmuksia ja punaisen tiimin testejä. Tämän tyyppinen tuote koskee niitä suoraan: jos asiakas voi ostaa staattisen analyysin suoraan Anthropicilta, mistä konsultti tekee laskutettavat tunnit? Vastaus löytyy tasolta, jota agentti ei tavoita: liiketoiminnan riskinsietokyvyn arvioinnista, arkkitehtuurikatselmuksista ja regulaatiokeskusteluista.
Aalto-yliopistossa on tutkittu pitkään ohjelmistovirheiden automaattista löytämistä, viime vuosina koneoppimisen avulla. Yleinen havainto on, että suuret kielimallit löytävät pitkän kontekstin haavoittuvuuksia paremmin kuin perinteiset analysaattorit, mutta vääriä positiivisia tulee silti runsaasti. Ihmistarkastajan rooli siirtyy etsijästä priorisoijaksi.
Auditoijan työnkuva muuttuu, ei katoa
Tietoturva-auditoijan ammatti ei katoa, mutta sen sisältö siirtyy nopeasti. Manuaalinen kuvioiden tunnistus, tyypillinen junior-tason työ, valuu agentille. Sen tilalle nousee kolme uutta osaamisaluetta: agenttien ulosannin priorisointi, väärien positiivisten metsästys ja korjausehdotusten arviointi tuotantokontekstissa.
Kuva muistuttaa käännösalan murrosta muutaman vuoden takaa. Konekäännös ei tehnyt ihmiskääntäjästä tarpeetonta, mutta se siirsi painopisteen raakatyöstä editointiin ja laadunvarmistukseen. Tietoturvassa muutos voi olla nopeampi, koska auditin lopputuote on selkeästi mitattavissa: löytyikö bugi tuotannosta vai ei.
Mitä tämä tarkoittaa tavalliselle käyttäjälle
Lähivuosina pankkisovellukset, sähköiset tunnistautumiset ja viestintäalustat ajetaan todennäköisesti tämäntyyppisten skannereiden läpi ennen jokaista isompaa julkaisua. Hetken aikaa tietoturvatasoa nostetaan halvemmalla kuin koskaan: agentti löytää aukot, jotka aiemmin vaativat sadan tunnin auditin. Käyttäjän näkökulmasta se voi tarkoittaa esimerkiksi vähemmän tilien kaappauksia ja maksupetoksia.
Sama teknologia on kuitenkin myös hyökkääjien käytössä. Anthropic perustelee Claude Securityn julkaisua sillä, että puolustajan on tasattava tilanne. Tasapeli on epävakaa: jos puolustaja päivittää skanneriaan kerran kuussa ja hyökkääjä viikoittain, etumatka kääntyy nopeasti. Tavallinen käyttäjä ei näe tätä kilpajuoksua, mutta huomaa sen tilanteissa, joissa pieni palvelu kaatuu yhdessä yössä isoon tietomurtoon.
Perinteinen staattinen analyysi vs. Claude Security
Ohjelmistovirheiden etsiminen lukemalla lähdekoodia ilman, että ohjelmaa ajetaan. Perinteisesti perustuu ennalta määriteltyihin sääntöihin ja kuvioihin.
CVE
Common Vulnerabilities and Exposures – kansainvälinen luettelointijärjestelmä, jossa jokaiselle julkisesti tunnetulle tietoturva-aukolle annetaan oma tunniste.
Punainen tiimi
Tietoturva-ammattilaisten ryhmä, joka simuloi todellista hyökkääjää ja yrittää murtautua organisaation järjestelmiin paljastaakseen heikkoudet ennen oikeita rikollisia.
Anthropic toistaa, että agentti löytää haavoittuvuuksia, jotka 'ovat olleet piilossa vuosia'. Tämä tarkoittaa, että avoimen lähdekoodin kirjastoissa ja sisäisissä järjestelmissä uinuu suuri määrä vielä tunnistamattomia aukkoja. Kun ne paljastuvat aalloittain, korjaussykli ja CVE-aikataulut joutuvat koetukselle. Tietoturva-asiantuntijoiden seuraavan vuoden työpöytä saattaa täyttyä juuri vanhojen synttien siivouksesta, ei uusista projekteista.
Viikoittainen uutiskirje
Tule firmasi fiksuimmaksi AI-osaajaksi
Yksi uutiskirje kerrallaan. Kokoamme viikon tärkeimmät tekoälyuutiset suomeksi ja kerromme, mitä ne tarkoittavat sinun työsi kannalta. Luet sen kahvitauolla.
