GPT-5.5-Cyber rantautuu EU:hun – Traficom puntarissa

OpenAI ilmoitti 11. toukokuuta laajentavansa kyberpuolustukseen viritetyn GPT-5.5-Cyber-mallin Eurooppaan. Avaus on osa yhtiön nimeämää EU Cyber Action Plania, joka tarjoaa rajatun esikatselun mallista vakuutetuille eurooppalaisille puolustajille, yrityksille, viranomaisille ja EU-instituutioille mukaan lukien EU:n tekoälytoimisto.

Mistä on kyse. GPT-5.5-Cyber ei välttämättä päihitä tavallista GPT-5.5-mallia raa'assa suorituskyvyssä, vaan se on viritetty myöntyväisemmäksi tietoturvatehtävissä: haavoittuvuuksien etsintä, haittaohjelma-analyysi, käänteismallinnus ja paikkausten validointi. Käytännössä malli suostuu vastaamaan kysymyksiin, joita normaali kuluttajaversio torjuu liian arkaluonteisina. OpenAI vaatii Trusted Access for Cyber -ohjelman jäseniltä korotetun tilin turvan 1. kesäkuuta alkaen.

Suomi vetolinjan toisella puolella

Traficomin Kyberturvallisuuskeskus on viime kuukausina rakentanut omaa linjaansa tekoälyyn ja kyberturvaan. Keskus julkaisi alkukeväällä Suomen ensimmäisen tekoälyselvityksen ja yhdessä Huoltovarmuuskeskuksen kanssa raportin tekoälyagenttien kyberturvasta. Pohjavire on ollut varovainen mutta avoin. GPT-5.5-Cyberin tulo muuttaa kysymyksen abstraktista tasosta hankintapäätökseksi, ja päätös pitäisi tehdä ennen elokuun 2. päivää, jolloin EU:n tekoälyasetuksen korkeariskisiä järjestelmiä koskevat velvollisuudet astuvat täysimittaisesti voimaan.

Yhdysvaltalainen huippumalli olisi merkittävä työkalu kotimaisille puolustajille. Sen käyttö tarkoittaisi kuitenkin arkaluonteisten haavoittuvuustietojen syöttämistä OpenAI:n palvelimille. Kysymys ei ole pelkästään teknologinen, vaan suvereniteettiin liittyvä: sallivatko Traficomin omat tietoturvaohjeet ulkomaisen kaupallisen mallin käytön julkisen sektorin kyberanalyysissä?

WithSecure ja SSH Communications ovat kotimaisen kyberturva-alan näkyvimmät yhtiöt, ja ne lähestyvät asiaa eri kulmasta. WithSecure on rakentanut viime vuosina omia tekoälyavusteisia työkalujaan ja perustellut, ettei kriittisiin analyysitehtäviin kannata luottaa ulkomaista yleismallia. SSH Communications myy luottamuksellisten yhteyksien hallintaa, ja OpenAI:n laajeneminen kyberpuolustuksen ytimeen tarkoittaa lisäkilpailua sen reviirillä. Molemmat joutuvat valitsemaan, integroivatko ne GPT-5.5-Cyberin omiin tuotteisiinsa vai rakentavatko vaihtoehtoista narratiivia eurooppalaisesta luottamuksesta.

Riski vai tilaisuus?

Tilaisuus on konkreettinen. Pienellä suomalaisella puolustajalla ei ole varaa rakentaa itse miljardiluokan kybermallia, mutta GPT-5.5-Cyberillä se saisi saman työkalun kuin amerikkalaisilla suuryhtiöillä. Haavoittuvuuksien priorisointi, lokien massa-analyysi ja punatiimien automatisointi nopeutuvat olennaisesti. EU:n kybervirasto ENISA solmi vastaavan järjestelyn Anthropicin Mythos-mallin kanssa muutamaa päivää aiemmin, joten kilpailu kahden mallintarjoajan välillä on jo käynnissä myös eurooppalaisilla markkinoilla.

Riskit eivät ole abstrakteja. Ensinnäkin mallia kontrolloi yhdysvaltalainen yritys, jonka palvelinverkkoa Yhdysvaltain lainsäädäntö koskee. Suomen viranomaisten syöttämä haavoittuvuustieto voisi periaatteessa joutua amerikkalaisten oikeudellisten pyyntöjen piiriin. Toiseksi permissiivinen malli, joka suostuu auttamaan käänteismallinnuksessa ja exploitin rakentamisessa, on myös työkalu hyökkääjälle: jos pääsyhallinta murtuu, sama malli puolustaa ja kaataa. Kolmanneksi mallin viritys voi muuttua ilman varoitusta. Kriittinen kyberinfrastruktuuri ei kestä työkalua, joka katoaa yhdessä yössä.

Konkreettinen esimerkki kuvaa jännitettä. Jos suomalaisen pankin maksuliikennejärjestelmästä löytyy nollapäivähaavoittuvuus, perinteinen toimintamalli on, että kotimainen tietoturvakumppani analysoi sen ja toimittaa korjauksen tunneissa. GPT-5.5-Cyber voisi nopeuttaa saman työn minuutteihin, mutta haavoittuvuustieto kulkee samalla yhdysvaltalaisen palveluntarjoajan tietokantaan. Vastuukysymys jää auki: kenelle vastuu kuuluu, jos tieto vuotaa eteenpäin?

Mitä tämä tarkoittaa muille

Tavallinen suomalainen huomaa muutoksen siinä, kuinka nopeasti tietomurtoihin reagoidaan kotimaisilla sivustoilla ja yrityksissä, joilla on varaa maksaa Trusted Access -ohjelmasta. Pankki, joka saa kybermallin käyttöönsä, voi paikata haavoittuvuuden tunneissa eikä päivissä. Samalla suomalaisten viranomaisten tietoturvadata siirtyy yhä selvemmin Yhdysvaltoihin. Suomen tietosuojavaltuutettu ja Traficom joutuvat ottamaan kantaa siihen, miten käytäntö sopii GDPR:ään ja EU:n tekoälyasetukseen, joka astuu täysimittaisesti voimaan elokuussa 2026.

Kriittiseen infrastruktuuriin kuuluvat – energiayhtiöt, teleoperaattorit, vesilaitokset – kantavat raskaamman taakan. Niillä on velvollisuus ymmärtää, mihin haavoittuvuustieto päätyy mallin syötteenä. Elokuun aikaraja tekee asiasta juridisesti pakottavan eikä enää vapaaehtoisen kannanoton kohteen.