Jos huippumallit ovat niin hyviä, miksi ne eivät löydä kriittisiä haavoittuvuuksia omista tuotteistaan? Kysymyksen esitti Or Hiltch, Tel Avivissa toimivan tietoturvayhtiö Accomplishin teknologiajohtaja, Upstarts Medialle. Hänen yhtiönsä kertoo löytäneensä hiekkalaatikon ohittavia vikoja kolmesta alan suosituimmasta koodiagentista.
Kohteina olivat Anthropicin Claude Code, OpenAI:n Codex ja Cursor. Uutinen ei ole se, että koodiagentissa on vikoja. Uutinen on se, kuinka kauan niiden korjaaminen kesti.
50 päivää ja 30 päivitystä
Accomplishin mukaan Cursorille heinäkuussa ilmoitettu vika korjattiin noin viikossa. OpenAI vahvisti korjanneensa kaksi sille ilmoitettua ongelmaa elokuussa. Anthropicille ilmoitettu vika sen sijaan oli auki noin 50 päivää, ja yhtiö ehti sinä aikana julkaista noin 30 ohjelmistopäivitystä ennen kuin korjaus tuli.
50 päivää on noin seitsenkertainen aika Cursorin viikkoon verrattuna. Laskelma on omani, ja molemmat luvut ovat Accomplishin itsensä kertomia.
“Turvallisuudesta puhutaan nyt paljon. Se ei oikeastaan näy siinä, miten ne todellisuudessa rakentavat tuotteitaan.”
Hiekkalaatikko on aita, ei holvi
Hiekkalaatikko tarkoittaa ohjelman ympärille rakennettua aitausta. Accomplishin perustajat kuvaavat niitä Upstartsille säiliöiksi, jotka paketoivat ohjelman tai agentin erilleen muusta koneesta ja yrityksen datasta. Koodiagentti saa nähdä sen kansion, jossa se työskentelee, eikä muuta.
Kun aita vuotaa, agentti näkee myös sen, mitä sen ei pitäisi nähdä: saman koneen muut projektit, pilvipalvelujen käyttöoikeusavaimet, tietokantojen salasanat, asiakasrekisterit. Kehittäjän kannettava on harvoin pelkkä kehittäjän kannettava. Se on ovi yrityksen järjestelmiin.
Koodaamattomalle lukijalle asetelma on sama kuin jos taloyhtiön remonttimies saisi yleisavaimen, vaikka sopimus koskee yhtä asuntoa. Vaara ei piile siinä, että remonttimies olisi paha. Se piilee siinä, että joku ulkopuolinen voi syöttää hänelle ohjeita, ja kone tottelee.
Jatkoa syyskuun alun jutulle
Aihe ei ole AI Suomelle uusi. Kerroimme syyskuun alussa Manifold Securityn GitSpawn-löydöksestä, jossa ladatun koodikansion asetustiedosto sai koodiagentin käynnistämään vieraan ohjelman ilman käyttäjän lupaa. Juttu löytyy osoitteesta https://aisuomi.fi/artikkelit/yksi-ladattu-koodikansio-riittaa-ja-kone-tottelee-vierasta
Silloin kyse oli yhdestä tekniikasta. Manifoldin uusintatestissä 1. syyskuuta neljä seitsemästä testatusta agentista oli yhä haavoittuvainen, Claude Code yhden reitin osalta. Accomplishin väite menee askelta pidemmälle: vuotava aita ei ole yhden työkalun moka vaan koskee kolmea suosituinta työkalua yhtä aikaa.
Toimitusjohtaja Amit Avner sanoo Upstartsille, että tilanne on sääli ja hän toivoisi useamman tietävän siitä. ”Organisaatioiden pitää olla hyvin varovaisia”, Avner muotoilee. Varovaisuus on hänen yhtiönsä myyntiargumentti, mutta se ei tee huomiosta väärää.
Mitä tästä ei kerrota
Väitteet tulevat tietoturva-alan startupilta, joka myy suojautumista juuri tällaisilta ongelmilta ja hakee samalla julkisuutta. Accomplish ei ole julkaissut löydöksistään teknisiä yksityiskohtia eikä kerro, montako vikaa se ilmoitti kullekin valmistajalle. Kokonaismäärä jää lähteen oman harkinnan varaan.
Anthropic ja Cursor eivät kommentoineet asiaa Upstarts Medialle. Kukaan ulkopuolinen ei ole toistaiseksi vahvistanut löydöksiä, eikä julkisuudessa ole CVE-tunnisteita tai todistuskoodia. Osa Upstartsin jutusta on maksumuurin takana.
Yksi vastasi, kaksi vaikeni
Kolmesta valmistajasta vain OpenAI vastasi kysymyksiin. Yhtiön tiedottaja kiitti tutkijoita ja kertoi, että molemmat ongelmat korjattiin elokuussa.
