OpenAI julkisti torstaina 7. toukokuuta GPT-5.5-Cyber-mallin Trusted Access for Cyber -ohjelman ylimmälle tasolle hyväksytyille kyberturvallisuusammattilaisille. Versio on selvästi vähemmän rajoitettu kuin julkinen GPT-5.5, mutta jättää voimaan estot, jotka kieltävät mallia auttamasta tunnistetietojen varastamisessa ja toimivien haittaohjelmien kirjoittamisessa.
Yhtiö kertoi laajentavansa ohjelmaa tuhansiin yksittäisiin puolustajiin ja satoihin tiimeihin, jotka vastaavat kriittisen ohjelmiston turvaamisesta. Ylimmän tason käyttäjiltä vaaditaan 1. kesäkuuta alkaen niin sanottu Advanced Account Security -kirjautuminen, eli tehostetun tilin turvataso, johon kuuluu vahva kaksitekijätunnistus ja istuntorajat.
Mitä Cyber-versio saa tehdä, mitä ei
GPT-5.5-Cyber on viritetty hyväksyttyihin red team -harjoituksiin, tunkeutumistestaukseen ja haavoittuvuuksien hallittuun varmistamiseen. Mallilla saa käänteismallintaa binäärejä, analysoida haittaohjelmanäytteitä, kehittää tunnistuslogiikkaa ja varmistaa, että paikkaukset todella sulkevat aukon.
Julkisen GPT-5.5:n ja Cyber-version ero näkyy ennen kaikkea siinä, milloin malli kieltäytyy vastaamasta. Hyväksytty puolustaja saa harvemmin 'en voi auttaa' -vastauksen kysymyksiin, joissa kontekstina on aito puolustustyö. Samat kysymykset eivät kuitenkaan mene läpi sertifioimattomalle käyttäjälle.
Mallikohtaiset luokittimet ovat voimassa myös Cyber-versiossa: tunnistetietojen varkauteen tähtäävät pyynnöt ja valmiiksi toimivan haittaohjelman generointi estyvät edelleen. Erona on kynnys, ei lopullinen raja. Aiempi 'kieltäydytään varmuuden vuoksi' -käytös saa väistyä silloin, kun konteksti, käyttäjä ja tarkoitus on varmennettu.
“Trusted Access for Cyber on identiteetti- ja luottamuspohjainen kehys, jonka tehtävä on varmistaa, että korotetut kyberkyvyt päätyvät oikeisiin käsiin.”
Kahtiajako: OpenAI vastaan Anthropic
Alan johtavien tekoälytalojen linjat jakautuvat kahteen leiriin. OpenAI tarjoaa kaksi rinnakkaista mallia, tavallisen GPT-5.5:n ja korkeamman tason GPT-5.5-Cyberin, ja säätelee pääsyä luokittimilla sekä henkilökohtaisella tarkistuksella. Periaate on, että lupa annetaan käyttäjälle, ei mallille.
Anthropicin lähestymistapa Claude Mythosiin on käytännössä päinvastainen. Yhtiö perusti huhtikuussa Project Glasswing -ohjelman, joka rajaa Mythoksen pääsyn kahdelletoista perustajakumppanille. Mukana ovat Amazon Web Services, Apple, Microsoft ja Google. Hinnoittelu on saman luokan signaali: 25 dollaria miljoonalta syötetokenilta, noin viisinkertainen hinta Anthropicin Opus 4.7:ään verrattuna.
Mythoksen jakelu on kompastellut kuukauden aikana. Bloombergin tietojen mukaan luvaton ryhmä pääsi malliin kolmannen osapuolen ympäristön kautta julkaisupäivänä, ja Yhdysvaltain liittovaltion kyberviranomainen CISA on edelleen ilman pääsyä. CNBC kertoi tämän viikon maanantaina, että OpenAI laajentaa Cyberin EU-alueelle, kun taas Anthropic pidättelee Mythoksen Eurooppa-julkaisua.
Hallintamallit loittonevat toisistaan. OpenAI luottaa siihen, että suuremmalle joukolle voi tarjota säädeltyä pääsyä, kunhan henkilöllisyydet on tarkistettu. Anthropic vetää rajan mallikohtaisesti: jos malli on yhtiön mielestä liian vaarallinen, sitä ei nähdä laajemmin, ei edes maksavalle viranomaiselle.
Traficom seuraa, mutta ei välitä avaimia
Suomessa keskustelua johtaa Traficomin Kyberturvallisuuskeskus, joka nimesi tekoälyn vuoden 2026 keskeiseksi käännekohdaksi. Keskus julkaisi yhdessä Huoltovarmuuskeskuksen kanssa selvityksen tekoälyagenttien kyberturvallisuudesta ja muistuttaa, että suuret kielimallit kuuluvat sekä hyökkääjän että puolustajan työkalupakkiin.
Käytännössä suomalainen kyberpuolustaja joutuu hakeutumaan Trusted Access for Cyber -ohjelmaan suoraan OpenAI:lta, sillä Kyberturvallisuuskeskus ei toistaiseksi välitä lisenssejä eikä tarkista käyttäjiä yhtiön puolesta. Pääsyn saanevat ensimmäisinä Huoltovarmuuskeskuksen kybertyöryhmissä toimivat tiimit, suurten teleoperaattoreiden turvallisuusyksiköt ja muutamat suomalaiset kyberturvayhtiöt, joilla on jo asiakassuhde OpenAI:hin. Yksittäinen tietoturvaharrastelija ei ohjelmaan astu sisään.
Kysymys, jonka Kyberturvallisuuskeskus joutuu pian käsittelemään, koskee kansallista varmuuskopiota. Jos kriittisen infrastruktuurin puolustaja Suomessa on riippuvainen yhdysvaltalaisen yhtiön myöntämästä pääsyluvasta, mitä tapahtuu kriisin aikana, jos lupa perutaan tai ohjelma sulkeutuu? Tähän julkaistuissa Kyberturvallisuuskeskuksen linjauksissa ei vielä ole vastausta.
Tietoturvatyössä ryhmä, joka simuloi hyökkääjää löytääkseen aukot järjestelmästä ennen oikeita hyökkääjiä. Sanasto tulee sotilasharjoituksista, joissa punainen tiimi hyökkää ja sininen puolustaa.
Käänteismallinnus
Valmiin ohjelman purkamista takaisin lähdekoodiksi tai sen toiminnan analysointia ilman alkuperäisiä suunnitelmia. Tietoturvassa käytetään haittaohjelmien toiminnan selvittämiseen.
Luokitin
Tekoälykomponentti, joka tunnistaa ja kategorisoi syötteitä – esimerkiksi tunnistaa, onko kysymys haitallinen vai hyväksyttävä, ja päättää sen perusteella vastataanko.
Mitä tämä merkitsee tavalliselle yritykselle
Suomalaiset pk-yritykset ja kaupungit eivät pääse Cyber-mallin äärelle, eikä se ole heille suoraan haitaksi. Heidän tietoturvansa paranee välillisesti. Kun palveluntarjoajan SOC-tiimi saa työkalun, joka käänteismallintaa kiristyshaittaohjelman binäärin tunneissa, sama analyysi olisi aiemmin vienyt vuorokausia. Lyhyempi havaitsemis- ja vasteaika tarkoittaa, että kunnan potilastietojärjestelmä tai pienen tehtaan tuotantolinja pysyy verkossa todennäköisemmin sen yhden päivän, jonka aikana hyökkäys etenee.
Toinen puoli on synkempi. Cyberin julkistus paljastaa, että kehittyneitä kybertyökaluja on kahdenlaisia ja että rajaa vetää yksityinen yhtiö, ei viranomainen. Jos OpenAI päättää huomenna, ettei jokin pieni suomalainen puolustusalan toimija ole sertifiointia arvoinen, päätös tehdään San Franciscossa eikä Helsingissä. Suomalaisen viranomaisen rooli rajautuu siihen, että se voi suositella tai olla suosittelematta hakua.
Viikoittainen uutiskirje
Tule firmasi fiksuimmaksi AI-osaajaksi
Yksi uutiskirje kerrallaan. Kokoamme viikon tärkeimmät tekoälyuutiset suomeksi ja kerromme, mitä ne tarkoittavat sinun työsi kannalta. Luet sen kahvitauolla.
