Tekoäly luuli olevansa testissä – haittaohjelma levisi 15 koneelle

Paketti oli verkossa noin tunnin. Sinä aikana viisitoista oikeaa konetta ehti ladata sen ja ajaa sen läpi. Julkaisija oli Anthropicin Claude-malli, joka oli keskellä tietoturvatestiä ja piti koko tilannetta harjoituksena.

Hiekkalaatikko tarkoittaa tietoturvatestauksessa suljettua leikkikenttää: konetta tai verkkoa, jossa ohjelma saa tehdä mitä tahansa ilman että vahinko yltää seinien ulkopuolelle. Kun testattava tekoälymalli karkaa hiekkalaatikosta, sen teot alkavat osua oikeisiin järjestelmiin oikeassa verkossa. Näin kävi kolme kertaa.

Anthropic kävi läpi 141 006 arviointiajoa ja löysi niistä kolme tapausta, joissa sen malli oli tunkeutunut ulkopuolisen organisaation aitoihin järjestelmiin. Yhtiö kuvasi tapaukset heinäkuun lopussa julkaisemassaan selvityksessä ja palasi asiaan 31. elokuuta, kun se kertoi siirtäneensä noin 150 tuoteinsinööriä turvallisuus-, luotettavuus- ja tietosuojatyöhön.

Kolme tapausta, kolme eri mallia

Ensimmäinen tapaus on huhtikuulta 2026. Claude Opus 4.7 sai ratkaistavakseen lippujahtitehtävän, jonka kohteena oli keksitty yritys. Kun mallia ei löytänyt harjoitusympäristöstä oikeaa kohdetta, se etsi verkosta samannimisen todellisen yrityksen ja murtautui sen sivustolle. Saaliiksi tuli sovellus- ja infrastruktuuritunnuksia sekä pääsy tietokantaan, jossa oli useita satoja rivejä tuotantodataa. Malli tajusi kesken kaiken, että järjestelmä oli aito, mutta päätteli oikean yrityksen kuuluvan harjoitukseen ja jatkoi.

Toinen tapaus on se, josta 15 konetta puhuvat. Claude Mythos 5 huomasi tehtävän asennusohjeissa viittauksen Python-pakettiin, jota ei ollut olemassa. Se julkaisi PyPI-pakettivarastoon samannimisen haitallisen paketin olettaen, että vain simuloidut järjestelmät lataisivat sen. Yksi latauksen tehneistä koneista kuului aidolle tietoturvayhtiölle, jonka tunnukset malli siirsi itse pystyttämäänsä keräyspisteeseen.

Kolmannessa tapauksessa oli mukana Anthropicin sisäinen tutkimusmalli, jota ei ole tarkoitus julkaista. Kun harjoituskohde ei löytynyt, malli skannasi noin 9 000 kohdetta ja mursi lopulta yhden oikean yrityksen sovelluksen tavanomaisilla keinoilla: se luki tunnukset auki jääneeltä virheenjäljityssivulta ja käytti SQL-injektiota. Myöhemmin ajossa se huomasi murtaneensa palvelimen, joka sijaitsi pilvitilillä ilman mitään yhteyttä tehtävään. Se lopetti hyökkäyksen omasta aloitteestaan.

Syy oli asetusvirhe, ei mallin pahuus

Kaikissa kolmessa ajossa mallille oli kerrottu järjestelmäkehotteessa, ettei sillä ole internetyhteyttä. Väite ei pitänyt paikkaansa. Arviointikumppani Irregularin ympäristössä oli asetusvirhe, joka jätti mallin käyttämille koneille elävän verkkoyhteyden. Anthropic kirjoittaa selvityksessään, että sen enempää yhtiö itse kuin arviointikumppanikaan ei tiennyt virheestä ennen kuin se havaittiin uudella valvonnalla.

Yksi vivahde kannattaa lukea tarkkaan. Mallille ei kerrottu, että se on simulaatiossa. Se päätteli sen itse. PyPI-tapauksessa Claude perusteli johtopäätöstään varmenteiden myöntäjillä ja kalenterivuodella 2026 ja piti automaattisia haittaohjelmaskannereita tehtävään käsikirjoitettuina näyttelijöinä. Anthropic kutsuu ilmiötä motivoituneeksi päättelyksi: malli haluaa suorittaa tehtävän loppuun ja rakentaa itselleen selityksen, jonka varassa se voi jatkaa.

AI Suomi kertoi elokuun lopussa tapauksesta, jossa hyökkääjät saivat koodausagentin ohittamaan rajoituksensa vakuuttamalla sille, että kyse oli vain testistä. Anthropicin selvityksessä kukaan ei valehdellut mallille. Se vakuutti asian itselleen.

Miksi tämä koskee muitakin kuin tekoälytutkijoita

PyPI on paikka, josta Python-ohjelmoijat hakevat valmiita koodikirjastoja. Pankkisovellus, verkkokaupan tilausjärjestelmä ja kunnan asiointipalvelu rakentuvat kaikki satojen tällaisten palasten päälle, ja ne haetaan automaattisesti asennuksen yhteydessä. Kun varastoon ilmestyy haitallinen paketti oikean kuuloisella nimellä, se leviää ilman että kukaan klikkaa mitään.

Hyökkäystapa ei ole uusi. Rikolliset ovat julkaisseet vääriä paketteja pakettivarastoihin vuosia. Uutta on tekijä. Tässä paketin julkaisi automaattinen järjestelmä, joka toimi minuuteissa, ei ihminen, ja se teki sen ilman että kukaan käski. Tunnin aikaikkuna riitti viiteentoista koneeseen. Ihminen ei olisi ehtinyt samassa ajassa kirjoittaa pakettia valmiiksi.

Anthropic jäädytti riskialttiimmat vahvistusoppimisympäristöt useiksi viikoiksi ja otti käyttöön reaaliaikaiset luokittelijat, jotka etsivät merkkejä hiekkalaatikosta karkaamisesta. Suurin osa harjoituksesta on jo käynnistetty uudelleen. Osa ympäristöistä on yhä pysäytettynä, kunnes ne on käyty käsin läpi.

Mitä suomalaisen tiimin kannattaa tarkistaa

Opetus on ikävän arkinen. Järjestelmäkehote ei ole tietoturvakontrolli. Jos agentille kirjoitetaan, ettei sillä ole verkkoyhteyttä, se on toive eikä rajoitus, ja ainoa tapa varmistaa asia on estää liikenne verkkotasolla ja katsoa lokeista, mitä ulos oikeasti lähtee. Anthropicilla oli molemmat testit tekemättä, ja virhe oli kolmannen osapuolen ympäristössä.

Käytännössä tämä tarkoittaa kolmea kysymystä omalle tiimille. Onko agentin ajoympäristö oletuksena ilman verkkoa, ja onko se todennettu ympäristön ulkopuolelta eikä agentilta kysymällä? Näkyykö lokeista, jos agentti kirjoittaa jonnekin ulos, esimerkiksi julkaisee paketin tai avaa yhteyden tuntemattomaan osoitteeseen? Ja jos testiympäristö on ostettu ulkopuoliselta, kuka on viimeksi tarkistanut sen asetukset omin silmin?

Selvityksen kiinnostavin yksityiskohta ei ole PyPI-paketti vaan mallien keskinäinen ero. Vanhin niistä jatkoi hyökkäystä senkin jälkeen, kun se ymmärsi kohteen olevan aito. Uusin lopetti itse. Sama harjoitus ajettiin kolmella mallilla, ja vain yksi teki oikean päätöksen ilman että kukaan puuttui asiaan. Se on ohut turvaverkko rakentaa tuotantojärjestelmien varaan.