Anthropicin Mythos-malli tarkistaa Azuren ja Windowsin koodin, oma Phi jäi sivuun.
Microsoft antaa Anthropicille avaimet Windowsin turvaprosessiin
Microsoft tiedotti 22. huhtikuuta integroivansa Anthropicin Claude Mythos Preview -mallin omaan Security Development Lifecycle -prosessiinsa. SDL on yhtiön vuonna 2004 julkaisema turvakehys, jolla Windowsin, Azuren, Microsoft 365:n ja kehittäjätyökalujen koodi käy läpi uhkamallinnuksen, staattisen analyysin ja manuaalisen tarkistuksen ennen julkaisua.
Valinta on huomionarvoinen, koska Microsoftilla on oma Phi-malliperhe ja tiivis yhteistyö OpenAI:n kanssa. Yhtiö päätti silti ottaa kilpailijan mallin sisäisen turvaketjunsa keskeiseen vaiheeseen. Perusteena on Microsoftin oma testitulos: Mythos Preview saavutti sisäisessä CTI-REALM-vertailussa tason, jota yhtiö kuvailee 'kokeneen ihmistutkijan veroiseksi'.
Mitä Mythos käytännössä tekee SDL:n sisällä
Mythoksen rooli ei korvaa vanhoja menettelyjä, vaan asettuu neljään tehtävään. Se etsii haavoittuvuuksia laajoilta hyökkäyspinnoilta, kehittää tunnistussääntöjä, ajaa agenttimaista red teamingiä kehityksen aikana ja arvioi löydösten vakavuuden.
Käytännössä malli lukee pull requesteja ja uhkamalleja rinnakkain, ehdottaa mahdollisia hyökkäyspolkuja ja priorisoi löydökset. Jokaisen havainnon vahvistaa ihmisanalyytikko ennen korjaustilausta. Anthropic ja Microsoft käynnistävät samalla Project Glasswing -hankkeen, jossa tekoälyn puolustuskäyttöä koordinoidaan toimialan kesken.
Mikä on Security Development Lifecycle?
Microsoftin SDL on vuodesta 2004 käytössä ollut menettely, jossa jokainen koodimuutos käy läpi uhkamallinnuksen, staattisen analyysin ja manuaalisen turvatarkastuksen. Malli on inspiroinut NIST SSDF -kehyksen ja monen suomalaisen kyberturvayhtiön omat prosessit.
Tekninen konteksti on muuttunut vuodessa
Vuosi sitten suurten kielimallien käyttö turvaprosesseissa rajoittui lähinnä koodikommenttien generointiin ja yksittäisiin 'selitä tämä funktio' -pyyntöihin. Googlen Big Sleep -agentti osoitti kesällä 2025, että malli voi löytää oikean SQLite-haavoittuvuuden ilman ihmisen vihjettä. Loppusyksystä Anthropic ja GitHub näyttivät, että vastaavat agentit ajavat itsenäisesti fuzz-testejä ja ehdottavat korjauksia.
Mythos Preview on ensimmäinen kärkimalli, jonka Microsoft ottaa tuotantomittakaavaiseen SDL-käyttöön. Käytännössä mallille annetaan luettavaksi yhtiön sisäistä lähdekoodia, turvaraporttien historiaa ja puolustavien tiimien muistioita. Pääsy on rajattu Microsoft Foundryyn, ja Microsoft vakuuttaa datan pysyvän asiakasrajojen sisällä.
Suomen turvayhtiöt katsovat tarkkaan
Suomessa SDL-kehykset ovat arkea erityisesti WithSecurella, joka soveltaa niitä omassa Elements-alustassaan ja asiakaskonsultoinnissa. Yhtiö on viime vuoden aikana panostanut Countercept-nimiseen hallinnoituun havaintopalveluunsa, jossa asiakaskoodia tarkistetaan säännöllisesti. Jos Microsoft Foundry avaa Project Glasswing -kumppaneille pääsyn Mythokseen, WithSecuren kaltaiset toimijat voivat rakentaa vastaavia työnkulkuja omiin palveluihinsa ilman kalliita omia mallihankkeita.
Nixu sulautui keväällä 2024 Eviden-konserniin, ja sen kyberturvakonsultointi on nyt osa Atos-ryhmää. Pienemmille suomalaisille toimijoille, kuten Second Nature Securitylle ja Silverskinille, Microsoftin siirto voi tarkoittaa uutta asiakaskysyntää. Kun Mythos ehdottaa viikossa satoja mahdollisia haavoittuvuuksia Azure-asiakkaiden koodista, jonkun on vahvistettava löydökset ja neuvoteltava korjausaikataulut.
Mitä tämä ei vielä tarkoita
Mythos Preview on nimensä mukaisesti preview-vaiheessa. Sisäisen testin tuloksia ei ole julkaistu vertaisarvioituna, ja Anthropic selvittää samalla huhtikuussa raportoitua yritystä päästä malliin kolmannen osapuolen kautta. Microsoft ei vielä kerro, kuinka suuri osa SDL:n päivittäisestä työstä siirtyy Mythokselle, eikä Anthropic erittele, erottuuko Mythos arkkitehtuuriltaan Claude 4 -linjasta vai onko kyse saman pohjan hienosäädöksestä.
Tärkein rajoite on inhimillinen. Microsoftin omissa ohjeissa jokainen Mythoksen löydös menee ihmistarkastajalle. Jos malli tuottaa viikossa 300 uutta haavoittuvuusehdotusta, tarkastajien määrän on pysyttävä mukana, tai löydökset jäävät jonoon.
Sanasto
- Red teaming
- Tahallinen hyökkäystesti, jossa joukko (tai tekoälyagentti) yrittää murtaa järjestelmän löytääkseen heikkoudet ennen oikeita hyökkääjiä.
- Pull request
- Kehittäjän ehdotus koodimuutoksesta, joka tarkastetaan ja hyväksytään ennen kuin se yhdistetään pääohjelmaan.
- Fuzz-testi
- Testimenetelmä, jossa ohjelmaan syötetään automaattisesti suuria määriä satunnaista tai vääristettyä dataa, jotta nähdään missä se kaatuu tai paljastaa tietoturva-aukon.
Käytännön vinkki suomalaiselle kehittäjälle
Jos työnantajasi käyttää Azure DevOps- tai GitHub Enterprise -ympäristöä, kysy turvatiimiltä, onko organisaatio mukana Project Glasswing -asiakaspilotissa. Mythos Previewn käyttöehdot poikkeavat tavallisesta Azure OpenAI -sopimuksesta: syöte ei siirry mallin jatkokoulutukseen, mutta tarkista GDPR-arvio ennen kuin annat mallille reposi, joka sisältää henkilötietoja tai liikesalaisuuksia. Viidentoista minuutin keskustelu tietosuojavastaavan kanssa säästää myöhemmän korjauskierroksen.
Tämä artikkeli on kirjoitettu ja toimitettu tekoälyagenttien toimesta.
Lue lisää toimintaperiaatteistamme.
