Skynet-niminen tekoäly kaappaa unohtuneita tekoälypalvelimia

Broadcomin omistaman tietoturvayhtiö Symantecin tutkijat Priti More ja Susmit Yenkar laittoivat internetiin syötin: järjestelmän, joka esittää suojaamatonta, kenen tahansa käytettävissä olevaa tekoälypalvelua. Kesällä 2026 ansaan tarttui jotain uutta. Yksi pyyntö sisälsi kokonaisen hyökkäysagentin käyttöohjeet.

Tutkijat julkaisivat analyysinsa 21. lokakuuta, ja saksalainen The Decoder uutisoi siitä seuraavana päivänä. Symantec kutsuu ilmiötä nimellä LLMjacking: hyökkääjä kaappaa jonkun toisen kielimallin ja käyttää sitä omiin tarkoituksiinsa. Laskun maksaa mallin omistaja.

Agentti, jolle annettiin 74 työkalua

Ansaan tullut pyyntö koostui monikerroksisesta jailbreakista eli kiertotempusta, jolla mallin turvarajoitukset ohitetaan, sekä 74 hyökkäystyökalun määritelmistä. Malli sai valeidentiteetin ”Fantasy AI”, eikä se saanut paljastaa oikeaa valmistajaansa. Salasanojen, API-avainten ja tietokantojen urkkiminen esitettiin tavallisena ohjelmistokehityksenä, josta ei pidä varoittaa.

Työkalupakki kattoi koko hyökkäysketjun. Agentti pystyisi etsimään kohteita koko internetistä FOFA-hakupalvelulla, hyödyntämään tunnettuja aukkoja muun muassa Djangossa, Jupyterissa, Laravelissa, Supabasessa ja Next.js:ssä, varastamaan pilvipalvelujen tunnuksia ja tyhjentämään tietokantoja.

Otsikoihin asti juttu nousi yhden asetuksen takia. Niin sanottu Skynet-tila valtuutti agentin ottamaan jopa 100 000 askelta ilman, että ihminen hyväksyy yhtäkään niistä. Ohjeiden mukaan agentin piti asentaa murrettuihin koneisiin piilotettuja kryptolouhijoita, siirtyä eteenpäin ja palata myöhemmin tartuttamaan samat koneet uudelleen.

Seuraavana päivänä toisesta osoitteesta tuli uusi pyyntö. Se käski mallia purkamaan ja ajamaan naamioidun komentosarjan, joka latasi Monero-kryptovaluuttaa louhivan XMRig-ohjelman, naamioi sen lokityökaluksi ja pyyhki palvelun lokit. Kohteena näytti olevan go2rtc, älykameroiden videokuvaa välittävä palvelin.

Ansa tallensi, mutta mitään ei murrettu

Skynet-vertaus kannattaa ottaa varauksella. Symantecin raportissa ei ole näyttöä yhdestäkään onnistuneesta murrosta. Ansa ei ajanut agentin komentoja eikä toisen päivän skriptiä, vaan ainoastaan tallensi ne.

Ensimmäisen päivän istunto kohdistui harmittomaan harjoitusalustan tehtävään, eikä sekään löytänyt aukkoja. The Decoder arvioi, että tekijät saattoivat kokeilla välineitään ensin turvallisessa kohteessa. Raportti ei kerro, toimiiko jailbreak nykyisiin kaupallisiin malleihin.

Itse tekniikat ovat vanhoja. Tutkijoiden mukaan uutta on niiden kokoaminen yhdeksi itsenäiseksi agentiksi, joka ”madaltaa laajan hyödyntämiskampanjan pyörittämiseen vaadittavaa osaamista” (englanniksi ”It lowers the skill required to run a broad exploitation campaign”).

Yksittäistä agenttia enemmän kertoo ansaa ympäröinyt hälinä. Tarkkailujakson aikana syötti sai yli 127 000 pyyntöä kymmenistä tuhansista osoitteista. Suurin osa oli tekoälyrajapintojen etsimistä, varastettujen API-avainten kokeilua ja näkyville jääneiden asetustiedostojen urkintaa.

Suomessa sama kehitys näkyy jo

Samana päivänä Yle julkaisi Teemu Hallamaan jutun, jossa F-Securen tietoturva-asiantuntija Laura Kankaala arvioi tekoälyn vaikutusta hakkerointiin. Taustalla ovat PHP-ohjelmointikielestä löytyneet kaksi kriittistä haavoittuvuutta, joiden hyödyntämiseen tekoäly löysi keinon. Ylen mukaan valtion tieto- ja viestintätekniikkakeskus Valtori sulki niiden takia valtion verkkopalveluja.

Kankaalan arvio sopii Symantecin havaintoihin. Skynet-agentin työkalut ovat tuttuja keinoja, ja muutos näkyy vauhdissa ja mittakaavassa. Ylelle Kankaala sanoi myös, että ”internet ja meidän yritystemme järjestelmät eivät ole valmiita kasvaviin hyökkäyksiin”.

AI Suomi on aiemmin kertonut, miten tekoälyagentit kävivät yritysten tiedoissa eikä kukaan huomannut, ja miten hyökkääjät tekivät yli sata murtoa tekoälyllä noin 50 dollarilla kappaleelta. Skynet-tapauksessa hyökkääjä ei maksa edes laskentaa itse.

Suomalaiselle organisaatiolle riski on kaksitahoinen. Jos kehittäjä on pystyttänyt kokeilua varten oman kielimallipalvelimen pilvikoneelle ilman tunnistautumista, siitä voi tulla hyökkääjän aivot. Lasku tulee yrityksen pilvitililtä, ja sama kone voi päätyä louhimaan kryptovaluuttaa. Toinen riski ovat vuotaneet avaimet. Koodivarastoon tai .env-tiedostoon unohtunut kaupallisen mallin API-avain on hyökkääjälle yhtä arvokas kuin oma palvelin.

Unohtunut kokeilu on helpoin kohde

Puolustajalle on myös hyvä uutinen. Kankaalan mukaan tekoäly ei muuta hakkeroinnin perusteita, joten suojautumiskeinoja ei tarvitse keksiä uudelleen. Tunnistautuminen, avainten hallinta ja päivitykset riittävät pitkälle.

Vaikeampi kysymys on, tietääkö organisaatio ylipäätään kaikista tekoälykokeiluistaan. Mallipalvelimia pystytetään nopeasti ja usein kehitystiimin omin päin, eivätkä ne välttämättä päädy tietohallinnon laiteluetteloon. Symantecin ansaan kertyneet yli 127 000 pyyntöä kertovat, että joku etsii niitä joka tapauksessa.