Ben Gibney lähetti itselleen laskun. Viesti näytti täysin tavalliselta: eräpäivä 21. elokuuta 2026, yhteyshenkilönä Diego Siciliani. Sitten hän pyysi Outlookiin kytkettyä tekoälytiivistelmää kertomaan, mitä sähköpostissa luki. Tiivistelmä ilmoitti eräpäiväksi 3. syyskuuta kello 14. Sicilianin nimi oli kadonnut kokonaan.
Gibney on tietoturvatutkija tietoturvayhtiö Forcepointin X-Labs-yksikössä. Hänen 25. elokuuta julkaisemansa koe on ensimmäisiä kertoja, kun sähköpostitiivistelmän kaappaamisen vahinko on kirjattu numeroina eikä pelkkänä varoituksena.
Lukija näki viestistä 537 merkkiä. Kielimallille lähti 1 009. Erotus, 472 merkkiä, oli piilotettu HTML-muotoiluun: fonttikoko nolla pistettä, tekstin väri valkoinen, riviväli nolla. Ihmissilmälle siinä kohtaa ei ole mitään. Malli lukee sen siinä missä muunkin tekstin.
Kyse on kehotusinjektiosta: tekoälylle syötettyyn aineistoon upotetaan käsky, jonka malli tulkitsee omaksi ohjeekseen sen sijaan että käsittelisi sitä pelkkänä sisältönä. AI Suomi kertoi aiemmin, miten sama temppu toimii verkkosivulle piilotettuna (aisuomi.fi/artikkelit/verkkosivulle-piilotettu-kasky-yksi-tekoaly-totteli) ja miten yksi käynti väärällä sivulla riitti kaappaamaan tekoälyapurin (aisuomi.fi/artikkelit/yksi-kaynti-vaaralla-sivulla-kaappasi-tekoalyapurin). Uutta on paikka ja mittatikku: hyökkäys on nyt tavallisen työntekijän postilaatikossa, ja lopputulos on laskettu.
Kymmenen ajoa, sama tulos joka kerralla
Gibney sopi onnistumisen kriteerit etukäteen ja ajoi sekä puhtaan että myrkytetyn viestin tiivistäjän läpi kymmenen kertaa. Puhdas viesti tuotti oikean eräpäivän 21.8.2026 ja Diego Sicilianin nimen kymmenessä ajossa kymmenestä. Myrkytetty viesti tuotti väärän ajankohdan 3.9.2026 kello 14 kymmenessä ajossa kymmenestä, eikä nimeä kertaakaan.
Kaapattu tiivistelmä ilmoitti myös maksettavaksi summan, joka oli yli viisinkertainen laskun todelliseen loppusummaan verrattuna. Tiivistäjää ajoi Anthropicin claude-haiku-4-5-malli Outlook-lisäosan kautta. Mikään näistä ei vaatinut haittaohjelmaa, liitetiedostoa eikä linkin klikkaamista. Riitti, että viesti avattiin ja tiivistelmää pyydettiin.
“Järjestelmä rakennettiin eristettyyn laboratorioympäristöön käyttäen synteettistä dataa kertakäyttöisessä Microsoft-ympäristössä.”
Mikä on todennettu ja mikä ei
Todennettua: X-Labsin oma demo ja sen mittaustulokset. Piilotettu teksti ohjasi tiivistelmää joka ajolla, ja kriteerit oli kirjattu ennen kokeen ajamista.
Todentamatta: onko yhtään oikeaa laskua maksettu väärään aikaan tai väärän suuruisena. Sitä ei ole osoitettu, eikä blogi väitä niin. Koe tehtiin eristetyssä ympäristössä keksityllä aineistolla.
Oikaisu ennakkotietoon: julkisuudessa on liikkunut käsitys, että X-Labs olisi löytänyt tässä yhteydessä kymmenen vastaavaa hyötykuormaa oikeasta sähköpostiliikenteestä. Blogissa luku kymmenen tarkoittaa koeajojen määrää viestiä kohden. Yhtiö viittaa aiempaan PromptSpy-työhönsä, jossa se kertoo tunnistaneensa todellisia kehotusinjektiohyökkäyksiä, mutta tässä kirjoituksessa niiden määrää ei kerrota. Gibneyn oma muotoilu: "Tämä on yksinkertainen testi, jossa on vain yksi viesti, yksi malli ja yksi kymmenen ajon sarja kummallekin."
