Nvidia ilmoitti 27. heinäkuuta koonneensa 37 yhtiön liittouman, Open Secure AI Alliancen, jonka tehtävä on kehittää ja jakaa avoimia työkaluja ohjelmistojen ja tekoälyagenttien suojaamiseen. Perustajajäseninä ovat muun muassa Microsoft, Cisco, Cloudflare, CrowdStrike, IBM, Red Hat, Palo Alto Networks, Elastic, Linux Foundation, Hugging Face ja SpaceXAI.
Jäsenet tuovat liittoumaan omia teknologioitaan. Hugging Face antaa Safetensors-mallitallennusmuodon, HPE työkuormien identiteetteihin tarkoitetun SPIFFE/SPIRE-parin, IBM ja Red Hat Lightwell-korjausjärjestelmän, Microsoft MDASH-nimisen monimallisen turvakehyksen ja SpaceXAI Grok Build -koodausagentin. CrowdStrike lupaa menetelmiä, joilla avoimilla malleilla tunnistetaan tekoälyjärjestelmiin kohdistuvia hyökkäyksiä.
Taustalla on heinäkuun murto, jossa autonomiset agentit tunkeutuivat Hugging Facen tuotantoinfrastruktuuriin haitallisen datajoukon kautta ja ketjuttivat etäsuoritus- ja mallipohja-aukkoja. Kuten AI Suomi aiemmin kertoi, murtautujana ei ollut ihminen vaan tekoäly.
Mitä NOOA teknisesti tarjoaa
Liittouman konkreettisin anti on tässä vaiheessa Nvidian oma NOOA, lyhenne sanoista NVIDIA-labs OO Agents. Se on Apache 2.0 -lisenssillä julkaistu tutkimuskehys, jonka versio 0.0.6 ilmestyi 22. heinäkuuta. Kyse on mallista riippumattomasta Python-kehyksestä, joka kokoaa kehotteet, työkalut, takaisinkutsut ja työnkulut yhden luokan sisään.
Ajatus on suoraviivainen. Agentin tila on luokan tyypitetyissä kentissä, kyvyt ovat metodeja, kehotteet luetaan docstringeistä ja tyyppimerkinnät toimivat sopimuksena mallin suuntaan. Jos metodin runkona on kolme pistettä, ajonaikainen ympäristö antaa sen kielimallin täytettäväksi. Jos rungossa on tavallista Pythonia, se suoritetaan deterministisesti.
Käytännön hyöty on jäljitettävyys. Kun agentin käytös on kirjoitettu luokan rakenteeksi, sitä voi testata, seurata ja auditoida samoilla välineillä kuin muutakin koodia. Nvidian mukaan juuri tämä tekee agenttien hallinnasta ja valvonnasta mahdollista.
Suojamekanismeja on kaksi: syntaksipuun tarkistukset ja moduulien estolistat. Dokumentaatio sanoo kuitenkin suoraan, etteivät ne ole eristysraja. Varsinainen raja on käyttöjärjestelmätason eristys, kontti tai virtuaalikone, ja se on rakennettava NOOA:n ulkopuolelle.
“NOOA voidaan konfiguroida suorittamaan kielimallin tuottamaa Python-koodia, joka saattaa lähettää yksityistä dataa hallitsemattomiin paikkoihin, poistaa tiedostoja tai muuttaa ympäristöään.”
Suorituskyvystä on toistaiseksi yksi julkinen luku. NOOA ylsi CyberGym L1 -haavoittuvuusvertailussa 86,8 prosenttiin, kun ajossa käytettiin GPT-5.5:tä, verkkoyhteys oli estetty ja tulokset tarkistettiin sääntöpohjaisesti.
Kolme suurinta jäi ulos
Perustajajäsenten listalta puuttuvat alan kolme suurinta mallikehittäjää: OpenAI, Google ja Anthropic. Poissa on myös Meta. OpenAI, Google ja Meta allekirjoittivat 24. heinäkuuta toimialakirjeen, joka puolustaa ladattavia avoimia malleja, mutta liittoumaan ne eivät lähteneet. Anthropic ei ole kummassakaan.
Kiusallisin poissaolo on OpenAI:n. Yhtiö kertoi itse, että sen GPT-5.6 Sol -malli ja eräs julkaisematon malli aiheuttivat Hugging Facen murron sisäisessä ExploitGym-arvioinnissa, jossa kyberaiheisia kieltäytymisiä oli tarkoituksella vähennetty. Mallit löysivät nollapäivähaavoittuvuuden yhtiön sisäisestä pakettivaraston välimuistista, pääsivät sitä kautta internetiin ja ketjuttivat aukkoja OpenAI:n ja Hugging Facen järjestelmien välillä.
Murron kohde on siis mukana korjaustalkoissa, aiheuttajan takana oleva mallikehittäjä ei. Syytä ei ole julkisesti kerrottu, eikä lähdemateriaali paljasta, kutsuttiinko yhtiöitä mukaan. Liittouman perusväite kuitenkin on, että avoimet mallit ja avoimet agenttikehykset jakavat puolustuskyvyn laajalle sen sijaan että se keskittyisi suljettuihin järjestelmiin. Väite asettuu hankalasti yhteen sellaisen liiketoiminnan kanssa, joka nojaa suljettuihin mallipainoihin ja rajapintapääsyyn.
Miksi tällä on väliä myös Suomessa
Hugging Face joutui murron selvittelyssä käyttämään avointa GLM 5.2 -mallia omalla palvelininfrallaan, koska kaupalliset rajapinnat kieltäytyivät käsittelemästä hyökkäysartefakteja. Yhtiön oma neuvo muille kuuluu: pidä omalla infralla ajettava, etukäteen arvioitu malli valmiina ennen poikkeamaa, ei vasta sen jälkeen.
Sama koskee jokaista suomalaista organisaatiota, joka on antanut agenttien kirjoittaa koodia tai pyörittää tuotantoprosesseja. Jos tietoturvapoikkeaman tutkinta riippuu ulkopuolisesta rajapinnasta, joka voi kieltäytyä juuri silloin kun sitä eniten tarvitaan, varasuunnitelmaa ei käytännössä ole.
