Yhdysvaltain tiedustelupalvelu NSA, kyberturvallisuusvirasto CISA ja liittovaltion poliisi FBI julkaisivat tiistaina yhteisen varoituksen, jossa on jotain viranomaispapereille epätyypillistä: nimiä. Asiakirjassa AA26-251A luetellaan kuusi kiinalaista tekoäly-yhtiötä. DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun ja Z.AI.
Virastojen mukaan nämä yhtiöt ovat imuroineet miljardeja tokeneita miljoonissa pyynnöissä yhdysvaltalaisten huippumallien rajapinnoista ainakin loppuvuodesta 2024 lähtien. Kohteina mainitaan Clauden, GPT:n, Geminin ja Grokin eri versiot. Tarkoitus on ollut virastojen mukaan kouluttaa omia malleja toisten mallien tuotoksilla.
Kyberturvallisuusvaroituksissa vastapuoli on yleensä koodinimi tai numerosarja. Tässä ei ole.
“Kiinaan sijoittautuneet tekoäly-yhtiöt harjoittavat aggressiivista, vahingollista ja kohdennettua tislaustoimintaa teollisessa mittakaavassa ja irrottavat sillä rajoitettuja, yritysten omistamia toiminnallisuuksia.”
Mitä tislaus käytännössä on
Tislauksessa (distillation) pieni ja halpa malli opetetaan suuren ja kalliin mallin vastauksilla. Kysytään kymmeniä miljoonia kysymyksiä, kerätään vastaukset talteen ja käytetään niitä opetusaineistona. Lopputulos on malli, joka osaa saman kuin opettajansa mutta on murto-osan kokoinen.
Tekniikka on täysin tavallinen ja avoimesti julkaistu. Sitä käytetään jatkuvasti myös yhdysvaltalaisissa laboratorioissa. Rajanveto ei ole tekninen vaan sopimuksellinen: kaikkien suurten tarjoajien käyttöehdot kieltävät niiden mallien tuotosten käytön kilpailevan mallin kouluttamiseen. Juuri tästä varoitus puhuu, ei tislauksesta sinänsä.
Virastojen sanamuoto on tiukka. Niiden mukaan tislaus muodostaa näiden yhtiöiden kehitysstrategian ytimen, ei pelkkää täydennystä.
Välitysasemat kiersivät maarajoitukset
Yhdysvaltalaiset mallit eivät ole virallisesti saatavilla Manner-Kiinassa. Varoituksen mukaan rajoitus kierrettiin harmaan markkinan välittäjillä, joita asiakirja kutsuu välitysasemiksi (transfer stations). Ne myyvät pääsyn huippumalleihin edelleen murto-osalla listahinnasta ja piilottavat samalla, mistä pyynnöt oikeasti tulevat.
Keinovalikoima on asiakirjan mukaan arkinen. Luodaan tilejä, jotka häivyttävät alkuperämaan, ostetaan premium-tilauksia isoina nippuina ja jaetaan ne kehittäjätiimien kesken. Liikenne ohjataan vuoroin natiivien rajapintojen, vuoroin pilvipalveluiden ja kolmannen osapuolen välittäjien kautta, jotka pyyhkivät metatiedot matkalla. Alan omissa selvityksissä on virastojen mukaan nähty välitysverkostoja, jotka hallinnoivat kymmeniätuhansia vilpillisiä tilejä yhtä aikaa.
Yksi yksityiskohta kertoo koneiston valmiusasteesta. Varoituksen mukaan MiniMax ohjasi kyselynsä uuteen Claude-malliin vuorokauden kuluessa sen julkaisusta. Saman yhtiön kerrotaan myös yrittäneen kehotepistoksia Claude Codea vastaan.
Mitä 5,6 miljoonaa dollaria oikeasti mittasi
Tammikuussa 2025 DeepSeek ilmoitti kouluttaneensa mallinsa noin 5,6 miljoonalla dollarilla. Luku pyyhkäisi pörssikurssit ympäri maailman, myös Helsingissä, koska se vihjasi että huippumallin rakentamiseen ei tarvita miljardiluokan laskentaa. Nyt viranomaiset sanovat luvun olevan harhaanjohtava, koska se ei sisällä tislauksella hankitun aineiston todellista hintaa.
Väitteen logiikka on selvä. Jos opetusaineisto syntyy ajamalla kysymyksiä toisen yhtiön rajapintaan, kustannus siirtyy sen toisen yhtiön taseeseen. Ilmoitettu koulutushinta mittaa silloin viimeistä vaihetta, ei koko ketjua. Se on eri asia kuin se, mitä sijoittajat luulivat mittaavansa.
Tämä koskee myös suomalaisia ostajia. Kun kilpailutuksessa vertaillaan tokenhintoja, halvempi malli voi olla halvempi siksi, että joku muu maksoi sen oppimisen. Jos väite pitää paikkansa, hintaero ei ole tehokkuusetu vaan siirretty lasku. Ja jos rajapintojen valvonta kiristyy, halpa hinta ei välttämättä pysy halpana.
Mitä varoitus ei todista
Kyseessä on kolmen viraston arvio, ei tuomioistuimen päätös. Asiakirja ei esitä siepattua viestiliikennettä, todistajanlausuntoja eikä rikosteknistä aineistoa, vaan nojaa kuvioanalyysiin: kyselyvolyymeihin, tilien käyttäytymiseen ja ajoituksiin. Kiinan valtion roolista käytetään varauksellista sanamuotoa, tapahtumat ovat viraston mukaan kulkeneet todennäköisesti hallinnon tieten.
Asiakirjassa ei kerrota, että yhtiöille olisi varattu tilaisuus vastata, eikä siinä mainita pakotteita, vientirajoituksia tai oikeustoimia. Yksikään viranomainen ei esiinny paperissa nimellä, joten suoraa sitaattia vastuulliselta virkamieheltä ei ole olemassa. The Register kertoi pyytäneensä kommenttia nimetyiltä yhtiöiltä saamatta vastausta. Vastaavia väitteitä on aiemminkin kiistetty: TechCrunch kirjoitti heinäkuussa 2026 tutkijoista, joiden mukaan Kimi K3:n taso ei selittynyt tislauksella.
Suomessa asia on jo pöydällä
Nimetyistä yhtiöistä ainakin DeepSeekin, Alibaban Qwenin ja Z.AI:n mallit ovat avoimin painoin ladattavissa, ja niitä ajetaan suomalaisissa yrityksissä omilla palvelimilla juuri siksi, että ne ovat halpoja. Helsingin kaupunki kielsi DeepSeekin käytön työntekijöiltään jo tammikuussa 2025 (Tivi 29.1.2025), mutta kielto koski sovellusta ja tietojen päätymistä Kiinaan, ei mallin alkuperää.
Varoitus siirtää kysymyksen toiseen suuntaan. Se ei väitä avoimien mallien vuotavan dataa, vaan kyseenalaistaa sen, miten ne on tehty. Suomalaista viranomaiskantaa asiaan ei tätä juttua kirjoitettaessa ollut: Kyberturvallisuuskeskus ei ole kommentoinut varoitusta, eikä siitä löytynyt keskiviikkoaamuna 9.9. hakuja tehtäessä yhtään suomenkielistä uutista. Kaikki tämän jutun riippumattomat lähteet ovat siis ulkomaisia, ja niistäkin osa toistaa pitkälti viraston omaa asiakirjaa.
Menetelmä, jossa pieni ja halpa tekoälymalli opetetaan suuren mallin antamilla vastauksilla. Oppilasmalli osaa lähes saman kuin opettaja, mutta on murto-osan kokoinen ja halvempi ajaa.
Token
Tekstin perusyksikkö, jota kielimalli käsittelee ja jonka mukaan käyttö laskutetaan. Yksi token on noin puoli suomen kielen sanaa.
Kehotepistos (prompt injection)
Hyökkäys, jossa tekoälylle syötetään piilotettuja ohjeita, joilla se saadaan sivuuttamaan omat sääntönsä tai paljastamaan tietoja, joita sen ei pitäisi kertoa.
Torjuntakeino, joka osuu myös maksaviin asiakkaisiin
Varoituksen käytännön suositukset ovat kiinnostavampia kuin sen syytökset. Virastot kehottavat tekoäly-yhtiöitä seuraamaan tilejä, jotka lähtevät heti täydellä teholla ilman tavanomaista käytön kasvua, ja jakamaan havaintoja keskenään. Se on tavallista poikkeamavalvontaa.
Yksi suositus on toista maata. Virastot ehdottavat, että epäillyille tislauspyynnöille annetaan tarkoituksella huonompia vastauksia: kevennetään päättelyketjua, esitetään oikea tieto toisenlaisella perustelulla tai tuodaan mukaan tyylillistä epäjohdonmukaisuutta. Ajatus on nostaa varastetun aineiston hintaa tekemällä siitä epäluotettavaa.
Se tarkoittaa, että rajapinnan takana voi jatkossa olla luokitin, joka päättää saako käyttäjä parhaan vastauksen vai tarkoituksella heikennetyn. Väärä osuma ei näy mitenkään. Suomalainen kehittäjä, joka ajaa yöllä ison eräajon uudella rajapinta-avaimella, näyttää valvonnan silmissä täsmälleen samalta kuin tislauskampanja. Kiina puolestaan on syyttänyt yhdysvaltalaisyhtiöitä samasta kopioinnista jo heinäkuussa, joten kumpikaan osapuoli ei ole tässä pelkkä uhri.
Viikoittainen uutiskirje
Tule firmasi fiksuimmaksi AI-osaajaksi
Yksi uutiskirje kerrallaan. Kokoamme viikon tärkeimmät tekoälyuutiset suomeksi ja kerromme, mitä ne tarkoittavat sinun työsi kannalta. Luet sen kahvitauolla.
