Verkkosivulle piilotettu käsky – yksi tekoäly totteli

Iltalehden Jani Ahosola kirjoitti tekstiin komennon, jota kukaan ei näe. Sitten hän syötti tekstin useille kielimalleille. Yksi niistä toimi näkymättömän käskyn mukaan.

Lehden Bitti-osastossa torstaina 27. elokuuta julkaistu juttu on suomalaisen toimituksen oma kokeilu. Se ei ole vertaisarvioitu tutkimus eikä tietoturvayhtiön raportti, ja sen laajuus on rajallinen. Testin ingressi kertoo lopputuloksen suoraan.

Kirjaimet, joita selain ei piirrä

Unicode-merkistössä on lohko nimeltä Tags, koodipisteet U+E0000–U+E007F. Se peilaa tavallista ASCII-merkistöä: jokaista kirjainta vastaa oma näkymätön versionsa. Alun perin lohko oli tarkoitettu kielen merkitsemiseen, nykyään sitä käytetään lähinnä lippuemojien rakennuspalikoina.

Selain ja tekstikenttä eivät piirrä näitä merkkejä mihinkään. Kielimallin tokenisoija sen sijaan lukee ne, koska vastaavia merkkejä on ollut opetusaineistossa. Käytännössä sivulla voi siis lukea ihmiselle yksi asia ja mallille toinen.

Vanha kikka oli valkoinen teksti valkoisella pohjalla tai kommentti HTML-koodissa. Ne löytyvät sivun lähdekoodista, jos osaa katsoa. Näkymätön Unicode-teksti kopioituu leikepöydälle mukana, mutta ei näy missään vaiheessa. Tietoturvatutkija Johann Rehberger, joka on rakentanut tekniikan testaamiseen ASCII Smuggler -nimisen työkalun, kuvaa ilmiön näin (käännös englannista):

Mitä tapahtuu, kun päästää agentin selaamaan

Chattiin liitetty teksti on yksi asia. Selainagentti on toinen. Viimeisen vuoden aikana OpenAI, Google, Anthropic ja Perplexity ovat kaikki tuoneet käyttäjille version samasta ideasta: tekoäly avaa sivuja, lukee ne ja tekee jotain niiden perusteella. Se varaa ajan, täyttää lomakkeen, vertailee hintoja, tiivistää sähköpostin.

Agentti selaa käyttäjän omassa istunnossa, sisäänkirjautuneena. Jos sivulla on tekstiä, jota ihminen ei näe, hyökkääjän ei tarvitse saada uhria lataamaan mitään eikä klikkaamaan lupapyyntöä. Riittää, että agentti käy sivulla. Iltalehden testi ei mitannut tätä osaa, se mittasi vain sitä, tottelevatko mallit piilotettua tekstiä. Juuri se on kuitenkin koko ketjun ensimmäinen lenkki.

AI Suomi kertoi elokuussa tapauksesta, jossa yksi käynti väärällä sivulla riitti kaappaamaan paikallisen tekoälyapurin ohjeet pysyvästi: aisuomi.fi/artikkelit/yksi-kaynti-vaaralla-sivulla-kaappasi-tekoalyapurin. Siinä vika oli väärässä verkkoasetuksessa, ja se korjattiin päivityksellä. Näkymättömiin merkkeihin ei ole vastaavaa korjausta, koska mikään ei ole rikki. Merkit ovat osa Unicode-standardia, ja malli lukee tekstiä niin kuin se on opetettu lukemaan.

Tavalliselle käyttäjälle riski konkretisoituu arkisimmassa mahdollisessa hetkessä. Kopioit tuotearvostelun tai sopimusehdon verkosta ja pyydät tekoälyä selittämään sen. Työpaikalla sama tapahtuu asiakaspalvelussa, rekrytoinnissa ja kirjanpidossa, jossa verkosta poimittua tekstiä syötetään apuriin kymmeniä kertoja päivässä. Piilotettu ohje matkustaa mukana, eikä kukaan huomaa sitä lokista jälkikäteenkään, jos merkkejä ei osata etsiä.

Mitä testi ei kerro

Yhden toimituksen kokeilu on demonstraatio, ei mittaus. Testattujen mallien määrä oli rajallinen, kokeilukertojen määrää ei kerrota, eikä tulosta ole toistanut kukaan ulkopuolinen. Se kertoo, että ilmiö on olemassa. Se ei kerro, kuinka usein malli tottelee tai millä todennäköisyydellä.

Yksi tekninen tarkennus kannattaa pitää mielessä. Suodatus ei ole mallin ominaisuus vaan tuotteen: sama malli voi olla suodattamattomana rajapinnan takana ja suodatettuna chattisovelluksessa. Siksi tulos, jonka toimitus sai elokuussa, voi olla toinen syyskuussa ilman että mallia on vaihdettu.

Korjaus ei silti kuulu käyttäjälle. Sadan koodipisteen suodattaminen syötteestä on ohjelmoijan kannalta muutaman rivin työ, ja osa tekoäly-yhtiöistä tekee sen jo. Kaikki eivät, ja juuri siitä Iltalehden testi kertoo: alan käytäntö ei ole yhtenäinen edes tällaisessa perusasiassa.

Kiinnostavin jatkokysymys koskee mainostajia ja hakukoneoptimointia. Kun yhä isompi osa verkkosivun lukijoista on tekoälyagentteja, näkymätön teksti on houkutteleva keino kertoa agentille jotain, mitä ihmisasiakkaalle ei kerrota. Se ei vaadi rikollista mielikuvitusta, vaan tavallista markkinointibudjettia. Rajaa haitallisen hyökkäyksen ja aggressiivisen mainonnan välillä ei ole vielä vedetty missään.