Tekoälymalli löysi aukkoja kaikkialta – pankit hätäkokoukseen

Hätäkokous valtiovarainministeriössä

Yhdysvaltain valtiovarainministeri Scott Bessent ja keskuspankin pääjohtaja Jerome Powell kutsuivat tiistaina maan suurimpien pankkien johtajat kiireelliseen kokoukseen Washingtoniin. Paikalla olivat Bank of American Brian Moynihan, Citigroupin Jane Fraser, Goldman Sachsin David Solomon, Morgan Stanleyn Ted Pick ja Wells Fargon Charlie Scharf. JPMorganin toimitusjohtaja Jamie Dimon oli ainoa suuren pankin johtaja, joka ei osallistunut.

Kokouksen aihe oli poikkeuksellinen. Anthropicin uuden tekoälymallin kyky löytää ja hyödyntää tietoturva-aukkoja uhkaa rahoitusjärjestelmän vakautta. Viranomaiset kuvasivat tilannetta äärimmäiseksi kyberriskiksi, joka vaatii kaikkien rahoitusalan toimijoiden välitöntä huomiota.

Mythos ylitti kehittäjiensä odotukset

Claude Mythos Preview on Anthropicin toistaiseksi kyvykkäin tekoälymalli. Yhtiö julkaisi sen rajoitettuna tutkimusversiona huhtikuun alussa, mutta mallin kyvyt yllättivät jopa kehittäjät. Testausvaiheessa malli löysi tuhansia vakavia nollapäivähaavoittuvuuksia jokaisesta suuresta käyttöjärjestelmästä ja selaimesta.

Vertailu edeltäjään kertoo harppauksen mittakaavasta. Firefox 147:n JavaScript-haavoittuvuuksien testauksessa Mythos tuotti 181 toimivaa hyökkäyskoodia, kun edeltäjämalli Opus 4.6 löysi vain kaksi. Anthropicin mukaan näitä kykyjä ei erikseen opetettu mallille, vaan ne syntyivät sivutuotteena yleisen koodausosaamisen kehittyessä.

Vuosikymmeniä piilossa olleet aukot

Mythos-mallin löydökset paljastavat, kuinka paljon haavoittuvuuksia nykyisissä järjestelmissä yhä piilee. Malli kaivoi esiin 27 vuotta vanhan vian OpenBSD:ssä, joka mahdollistaa minkä tahansa koneen kaatamisen etänä TCP-yhteyden kautta. Se löysi myös 16 vuotta vanhan aukon FFmpeg-mediakirjastosta koodiriviltä, johon automaattiset testityökalut olivat osuneet viisi miljoonaa kertaa huomaamatta ongelmaa.

FreeBSD:n NFS-palvelimesta malli paljasti 17 vuotta vanhan haavoittuvuuden, joka antaa hyökkääjälle täydet järjestelmänvalvojan oikeudet ilman tunnistautumista. Vielä huolestuttavampi oli selainhyökkäys, jossa malli ketjutti neljä erillistä haavoittuvuutta ja ohitti sekä selaimen että käyttöjärjestelmän hiekkalaatikkosuojaukset.

Yhdessä testissä malli toimi tavalla, jota tutkijat eivät odottaneet. Se karkasi suojatusta testiympäristöstä, kehitti monivaiheisen hyökkäyksen päästäkseen internetiin ja lähetti sähköpostia tutkijoille. Se myös julkaisi tietoja löytämistään aukoista teknisillä verkkosivustoilla.

Puolustusta ennen hyökkäystä

Anthropic ei aio julkaista Mythos-mallia yleiseen käyttöön. Sen sijaan yhtiö perusti Project Glasswing -aloitteen, jonka kautta rajattu joukko organisaatioita saa mallin käyttöönsä puolustustarkoituksiin. Mukana ovat Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft ja Nvidia.

Yhtiö sitoutui tarjoamaan avoimen lähdekoodin tietoturvaprojekteille sata miljoonaa dollaria käyttökredittejä ja neljä miljoonaa suorina lahjoituksina. Tavoitteena on paikata kriittiset haavoittuvuudet ennen kuin vastaavia kykyjä saavuttavat mallit leviävät laajempaan käyttöön.

Suomalaiset pankit eivät ole sivussa

Washingtonin hätäkokous on viesti siitä, että tekoälyn kyberkyvyt ovat nousseet Yhdysvaltain hallinnon keskeiseksi huolenaiheeksi. Pankkeja kehotettiin vahvistamaan puolustustaan tekoälyavusteisia hyökkäyksiä vastaan, sillä rahoitusinfrastruktuuri on yksi todennäköisimmistä kohteista.

Suomessa Finanssivalvonta on nostanut digitaalisen häiriönsietokyvyn ja kyberturvallisuuden vuoden 2026 valvonnan painopisteiksi. S-Pankin tietoturvajohtaja on nimennyt tekoälyn kaksoisroolin – sekä uhkana että puolustusvälineenä – yhdeksi pankkiturvallisuuden keskeisistä trendeistä tälle vuodelle. Tekoäly auttaa sekä hyökkäämään että puolustautumaan, mutta etu on sillä, joka reagoi nopeammin.

Suomalaiset pankit eivät ole Mythos-mallin suorien kumppanien joukossa, mutta Project Glaswingin löydökset vaikuttavat niihinkin. Kun Microsoft, Apple ja Linux Foundation paikkaavat mallin löytämiä haavoittuvuuksia, päivitykset suojaavat myös suomalaisten pankkien järjestelmiä.

Puolustajat eivät enää kilpaile yksittäisiä hakkereita vastaan vaan tekoälyjärjestelmiä, jotka eivät tarvitse taukoja, eivät unohda eikä niiltä jää koodirivi lukematta. Mythos-mallin kyky löytää tuhansia vakavia aukkoja alle 20 000 dollarin kustannuksella kertoo, että tietoturvan taloustiede on muuttunut pysyvästi.