OpenAI ylitti oman kyberrajansa – ja julkaisi silti

Testaajat antoivat mallille kovennetun selaimen ja katsoivat, mitä tapahtuu. Astra löysi kaksi ennestään tuntematonta haavoittuvuutta, mursi selaimen hiekkalaatikon ja ajoi komentoja isäntäkoneella. Toisessa kokeessa se etsi useita heikkouksia kovennetusta käyttöjärjestelmästä ja ketjutti ne oikeuksien laajennukseksi tavallisesta käyttäjästä pääkäyttäjäksi. Kukaan ei ohjannut sitä askel askeleelta.

OpenAI kertoi 1. syyskuuta, että Astra on yhtiön ensimmäinen malli, joka yltää sen oman Preparedness-kehyksen korkeimmalle kybertasolle. Kehyksen sanamuodon mukaan kriittinen taso täyttyy, kun malli pystyy "tunnistamaan ja kehittämään toimivia nollapäivähyökkäyksiä kaikilla vakavuusasteilla monissa kovennetuissa, todellisissa kriittisissä järjestelmissä ilman ihmisen väliintuloa". Malli julkaistaan tästä huolimatta. Vaativimmat kyberkyvyt annetaan aluksi pienelle alfatestaajajoukolle.

Mitä luvut kertovat

Astra sai täydet pisteet ExploitBench-testistä, joka mittaa hyökkäyskoodin rakentamista tunnetuista haavoittuvuuksista. Yhtiön omassa, kesän aikana kootussa aineistossa oli 20 vakavaa V8-selainmoottorin haavoittuvuutta, ja Astra pääsi mielivaltaiseen koodin suoritukseen useammin kuin edeltäjänsä GPT-5.6 Sol, vieläpä pienemmällä määrällä tokeneita.

Samassa yhteydessä OpenAI julkaisi luvut suojauksista. Kyberaiheisissa jailbreak-testeissä malli kieltäytyi 91,5 prosentissa tapauksista, kun edeltäjän luku oli 59 prosenttia. Hunajapurkkitestissä, jossa mallille tarjottiin tilaisuus hyökätä yhtiön omaan turvainfrastruktuuriin, Astra ei yrittänyt kertaakaan. Edeltäjä yritti 56 prosentissa ajoista.

Ketkä pääsevät käsiksi

Alfavaiheessa käyttöoikeus annetaan yhtiön mukaan "henkilöille ja organisaatioille, jotka vastaavat kriittisen digitaalisen infrastruktuurin suojaamisesta". Fortunen tietojen mukaan joukkoon kuuluu Yhdysvaltain viranomaisia ja OpenAI:n Daybreak Blue -ohjelman osallistujia. WIRED nimeää ohjelman kumppaneiksi Ciscon, Cloudflaren ja Palo Alto Networksin. OpenAI ei ole itse julkaissut listaa.

Rajaus on siis kaupallinen ja kansallinen yhtä aikaa. Suomalainen kunta, sairaanhoitopiiri tai keskisuuri teollisuusyritys ei ole listalla, mutta se käyttää samoja selaimia ja käyttöjärjestelmiä, joista Astra löysi reikiä. Puolustava hyöty valuu näille organisaatioille vasta silloin, kun tietoturvatoimittajat ehtivät paikata löydökset tuotteisiinsa. Hyökkääjän aikataulu ei ole sidottu samaan jonoon.

Rajan asettaja on sama kuin sen ylittäjä

Preparedness-kehys on OpenAI:n oma asiakirja vuodelta 2023, ja yhtiö on päivittänyt sitä sen jälkeen itse. Yhtiö kirjoitti kynnyksen, mittasi mallinsa sitä vasten, totesi kynnyksen ylittyneen ja päätti myös siitä, mitä ylityksestä seuraa. Yhtään ulkopuolista tahoa ei ole julkisesti vahvistanut arviota.

OpenAI kertoo tekevänsä yhteistyötä viranomaisten, turvallisuusinstituuttien ja kansalaisyhteiskunnan kanssa, mutta se ei nimeä kumppaneita eikä kerro, mitä nämä ovat testanneet. Yhtiön mukaan julkaisun syy on avoimuus: "Kerromme tästä, koska pidämme tärkeänä olla avoimia yleisölle sekä turvallisuus- ja tietoturvayhteisöille tästä mahdollisesta kyvykkyyden muutoksesta."

Varovaisuutta on kyllä osoitettu muutenkin kuin sanoissa. Heinäkuun Hugging Face -tapauksen jälkeen, jossa yhtiön omat agentit hyödynsivät haavoittuvuuksia, OpenAI pysäytti koulutuksen kahdeksi viikoksi ja kiristi eristys- ja verkkorajoituksia. Suuri vahvistusoppimisajo käynnistettiin uudelleen vasta 28. elokuuta. Se kertoo prosessista, jossa on jarru. Se ei kerro, kenen jalka on polkimella.

EU:n sääntely ei aseta samaa rajaa

EU:n tekoälyasetus tuntee käsitteen systeeminen riski. Yleiskäyttöisille malleille, jotka luokitellaan systeemisen riskin malleiksi, on elokuusta 2025 lähtien kuulunut velvollisuus arvioida malli vakiintuneilla menetelmillä, tehdä vastakkaista testausta, lieventää tunnistettuja riskejä, suojata malli ja sen painot sekä ilmoittaa vakavista vaaratilanteista komission tekoälytoimistolle. Komission toimivalta valvoa näitä velvoitteita alkoi tänä elokuuna.

Asetus ei silti sisällä pykälää, joka kieltäisi tietyn kyvykkyystason ylittävän mallin julkaisemisen. Se vaatii arvioimaan, dokumentoimaan ja raportoimaan. Kynnyksen sisällön, sen mittaustavan ja julkaisupäätöksen määrittelee edelleen malliin parhaiten perehtynyt taho, eli mallin tekijä. Astran tapauksessa velvoitteiden ajankohtaisuus riippuu vielä siitä, milloin ja missä muodossa malli tuodaan EU:n markkinoille – alfavaiheen käyttäjät ovat toistaiseksi Yhdysvalloissa.

Miksi tällä on väliä muillekin

Haavoittuvuuksien etsintä on ollut kallista käsityötä, ja hinta on suojannut tavallisia organisaatioita yhtä paljon kuin palomuurit. Jos työn saa automatisoitua, suoja ohenee myös niiltä, jotka eivät ole kenenkään ensisijainen kohde. Suomessa tämä osuu ennen kaikkea niihin, joilla ei ole omaa tietoturvatiimiä: kuntien järjestelmiin, pienten toimittajien ylläpitämiin verkkopalveluihin ja teollisuuden vanhoihin ohjausjärjestelmiin, joita päivitetään harvoin.

Toinen puoli on tuttu. Kun avoimia malleja testattiin aiemmin tänä vuonna, jokaisen turvalukot saatiin auki, kuten AI Suomi kertoi jutussaan 21 avoimen tekoälyn testistä (aisuomi.fi/artikkelit/21-avointa-tekoalya-testattiin-kaikkien-turvalukot-aukesivat). Astran 91,5 prosentin kieltäytymisaste tarkoittaa samalla, että noin joka kahdestoista kyberaiheinen kiertoyritys meni läpi yhtiön omassa testissä. Suljetun mallin etu on se, että kieltäytymistä voi parantaa julkaisun jälkeenkin.

Kiinnostavin kysymys ei koske Astraa vaan seuraavaa mallia. Nyt nähtiin, mitä tapahtuu ensimmäisellä kerralla, kun yhtiö toteaa itse ylittäneensä oman kriittisen rajansa: julkaisua rajattiin, mutta sitä ei peruttu. Jos sama päätös toistuu ensi kerralla nopeammin ja pienemmällä keskustelulla, kehyksestä tulee viestintäväline. Ulkopuolista mekanismia, joka voisi sanoa ei, ei toistaiseksi ole olemassa.