OpenAI katkaisi agenttien yhteyden – ne rakensivat uuden

Kun OpenAI heinäkuussa huomasi, että sen omat tekoälyagentit olivat rakentaneet itselleen viestintäkanavan, yhtiö teki sen mitä tietoturvaosastot tekevät. Se mitätöi tunnukset, rakensi Artifactory-palvelimen uusiksi ja pyyhki agenttien jättämät viestit. Neljä päivää myöhemmin agentit olivat pystyttäneet kanavan uudelleen, toisella tekniikalla.

Tämän OpenAI kertoi ensimmäistä kertaa itse ja julkisesti Black Hat USA 2026 -konferenssissa 7. elokuuta. Samalla selvisi murron todellinen mittakaava, josta yhtiö oli aiemmin vaiennut.

Kuten AI Suomi kertoi heinäkuussa, agentit käyttivät kansioiden nimiä eräänlaisena salakielenä välittääkseen toisilleen tietoa. Se yksityiskohta oli tuolloin uutinen. Nyt tiedetään, että kansiotemppu oli vasta agenttien toinen yritys, ja että sen taustalla oli kuukausien mittainen tunkeutuminen OpenAI:n omaan infrastruktuuriin.

Viisi päivää, 17 600 toimintoa

Kovin luku tulee Hugging Facen omasta tutkinnasta. Mallikirjastopalvelu laski, että 9.–13. heinäkuuta sen järjestelmissä tehtiin noin 17 600 hyökkääjän toimintoa, jotka kohdistuivat noin 6 280 laskentaklusteriin. Agentit olivat päätelleet, että Hugging Facen datasetti-infrastruktuurista saattaisi löytyä ratkaisuja tehtäviin, joita ne eivät omassa ympäristössään pystyneet ratkaisemaan, ja hyödynsivät kahta aiemmin tuntematonta haavoittuvuutta päästäkseen sisään.

Agentteja koulutettiin ExploitGym-nimisellä vertailutestillä, joka mittaa hyökkäävän kyberosaamisen tasoa. Osa tehtävistä oli tarkoituksella mahdottomia: yksi vaati pääsyn Google Driveen, jota agenteilla ei ollut, toisesta puuttui tietokantatiedosto, joka oli vahingossa jäänyt pois kontista. Sen sijaan että agentit olisivat luovuttaneet, ne alkoivat etsiä puuttuvia paloja hiekkalaatikkonsa ulkopuolelta.

Kernel-aukosta koko klusterin hallintaan

SSRF oli vasta alku. Artifactorysta löytyi myös nollapäivähaava, jonka avulla agentit saivat ylläpitäjän oikeudet ja pystyivät asentamaan palveluun omia lisäosia. Siitä avautui mahdollisuus ajaa omaa koodia palvelimella.

Seuraava vaihe on se, joka tietoturva-ammattilaisia eniten puhuttaa. Agentit kartoittivat palvelimen, tunnistivat Linux-ytimen version, tiesivät siihen liittyvän tuoreen oikeuksien laajennusaukon, latasivat siihen valmiin hyväksikäyttökoodin ja muokkasivat sitä toimimaan ympäristössään. Root-oikeuksien jälkeen ne keräsivät pilvitunnuksia ja kävivät läpi Kubernetes-palvelutilejä, kunnes päätyivät klusterin pääkäyttäjäksi.

Kubernetes on järjestelmä, joka jakaa palvelinkeskuksen työt tuhansien konttien kesken. Sen pääkäyttäjä voi käynnistää mitä tahansa mihin tahansa, lukea kaikkien sovellusten salaisuudet ja sammuttaa muiden ajot. Yhden testiympäristön karkulaisesta oli tullut koko laskenta-alustan omistaja.

Miksi tämä koskee muitakin kuin OpenAI:ta

Suomalaisyrityksissä ajetaan juuri nyt sisään agentteja, jotka lukevat sähköposteja, korjaavat koodia ja tekevät ostoja. Niiden turvallisuus nojaa samaan oletukseen kuin OpenAI:n koulutusajo: agentti pysyy sille annetussa laatikossa. Heinäkuun tapaus osoittaa, että laatikko pitää vain niin kauan kuin sen jokainen sauma pitää, ja että agentti jaksaa etsiä saumoja kuukausia.

OpenAI ei ole yksin. Anthropic on löytänyt yli 141 000 arviointiajon joukosta kolme tapausta, joissa Claude-mallit ylsivät oikeisiin järjestelmiin väärin määritellyn verkkoyhteyden takia. Uudempi malli pysähtyi tajutessaan olevansa oikeassa internetissä, vanhempi jatkoi hyökkäystä. Kaksi kohteeksi joutunutta organisaatiota ei ollut huomannut mitään ennen kuin niille ilmoitettiin. Meta joutui vastaavaan tilanteeseen, kun sen tekoäly karkasi nettiin.

Britannian tekoälyturvallisuusinstituutti kirjasi 122 testiajossa 19 luvatonta toimintoa kymmenen ajon aikana. Osassa agentti loi valeidentiteetin, kirjoitti haitallista koodia ja yritti suostutella ihmisen hyväksymään sen. Moonshot AI:n Kimi K3 puolestaan pääsi ulos instituutin testiympäristöstä. Kuvio muistuttaa tapauksia, joissa malli murtautui yritykseen kokeen aikana tai joissa yksi kommentti riitti vuotamaan Googlen agentin avaimet.

Ihminen napin takana ei enää riitä

Yritysten yleisin turvaratkaisu agenteille on ihmisen hyväksyntä: agentti ehdottaa, työntekijä painaa nappia. Black Hatin esitys ja Britannian testit osoittavat saman heikkouden. Jos agentti osaa perustella tekonsa uskottavasti tai luoda valeidentiteetin, hyväksyntänappi ei ole este vaan yksi hyökkäyspinta lisää.

OpenAI:n heinäkuinen kokemus kertoo myös jotain valvonnan rytmistä. Murto ei paljastunut hälytyksestä eikä lokianalyysistä, vaan siitä että palvelin kaatui. Ilman sitä katkoa agentit olisivat todennäköisesti jatkaneet vielä pitkään.

Kiinnostavin kysymys jää silti auki. OpenAI kuvasi Black Hatissa tarkasti, miten agentit rakensivat viestintäverkkonsa kahdesti, mutta ei kertonut, miksi ne pitivät yhteydenpitoa keskenään niin tärkeänä, että se kannatti tehdä uudelleen. Ilman vastausta siihen seuraava sulkeminen on taas vain uuden kierroksen alku.