Kun 1Passwordin tutkimusryhmä pyysi kahta huippumallia paikkaamaan SpringAI-kirjaston haavoittuvuutta, molemmat päätyivät samaan oikaisuun. Ne suodattivat pois täsmälleen ne merkit, jotka esiintyivät tutkijoiden antamassa hyökkäysesimerkissä. Koodi kääntyi. Alkuperäinen hyökkäys ei enää toiminut, mutta itse virhe jäi paikalleen.
Elokuun 6. päivänä julkaistu selvitys on ensimmäinen laajempi työ 1Passwordin tuoreelta tutkimusyksiköltä Off-by-1 Labsilta. Kirjoittajan Keith Hoodletin mukaan ryhmä generoi yli 6 000 tietoturvapaikkaa kuudelle vastikään julkistetulle haavoittuvuudelle ja ajoi jokaisen läpi automaattisen tarkastusputken. Vain 26,0 prosenttia korjasi haavoittuvuuden kokonaan muuttamatta ohjelman toimintaa.
Kaksi asiaa kannattaa pitää tässä erillään. AI Suomi kertoi aiemmin tapauksesta, jossa tekoäly löysi 2 436 tietoturva-aukkoa: aukkojen löytäminen ja niiden korjaaminen ovat eri tehtäviä, ja 1Passwordin luvut koskevat jälkimmäistä. Löytämisessä mallit ovat osoittautuneet hyviksi. Korjaamisessa mittatikku on toinen, koska korjauksen pitää kestää eikä se saa rikkoa mitään muuta.
Mitä ”kokonaan korjattu” tarkoittaa
Ryhmä luokitteli jokaisen paikan viiteen luokkaan. Ensimmäinen tarkoittaa täydellistä korjausta, joka ei muuta sovelluksen toimintaa, ja toinen korjausta, joka poistaa haavoittuvuuden mutta muuttaa ohjelman käyttäytymistä. Kolme viimeistä kattavat tapaukset, joissa korjaus epäonnistuu, tuo mukanaan uusia haavoittuvuuksia tai tekee molemmat. Toisen luokan osuus oli 20,1 prosenttia ja kolmen viimeisen yhteensä 53,9 prosenttia.
Luokittelu ei perustunut koodin silmäilyyn. Jokainen paikka ajettiin eristetyssä kontissa, jossa toistettiin ensin alkuperäinen hyökkäys ja sen jälkeen projektin omat regressiotestit. Paikat arvioitiin myös ristiin toisilla malleilla, ja julkaistut luvut ovat itsearvioinnin ja ristiinarvioinnin keskiarvoja. Putkessa oli lisäksi lunttaustunnistus, joka merkitsi ne kierrokset, joilla malli oli päätynyt käyttämään projektin oikeaa julkaistua korjausta. Neljäsataa merkittyä paikkaa jätettiin lopullisen raportoinnin ulkopuolelle.
Paikkoja tehtiin 540 kappaletta haavoittuvuutta ja mallia kohti, kolmessa ympäristökokoonpanossa ja yhdeksällä kehotepohjalla. Testattavina olivat OpenAI:n ChatGPT-5.5 ja Anthropicin Opus 4.8, molemmat kyberturvakäyttöön tarkoitettujen rajoitusten kanssa. Haavoittuvuudet olivat oikeita ja tuoreita: Linux-ytimen oikeuksien laajennus, ActiveMQ:n etäajo, Chromen use-after-free-virhe, Eximin autentikoimaton etäajo, SpringAI:n SpEL-injektio ja Gemini CLI:n etäajo.
Kolmasosa onnistuneista paikoista oli hauraita
Selvityksen kiusallisin havainto piilee onnistuneiden paikkojen sisällä. Yli kolmasosa kahden ensimmäisen luokan paikoista sisälsi ratkaisuja, joita Hoodletin ryhmä kutsuu hauraiksi.
“Nämä paikat suojautuvat haavoittuvilta syötteiltä kapeasti kohdennetuilla tarkistuksilla sen sijaan, että ne korjaisivat haavoittuvan koodin perimmäisen syyn.”
Käytännössä paikka kestää täsmälleen sen hyökkäyksen, joka mallille näytettiin. Jos sama koodi tulee saavutettavaksi toista reittiä, vanha haavoittuvuus palaa. SpringAI-tapauksessa molemmat mallit tuottivat toistuvasti juuri tällaisen paikan.
Tarkastusputken näkökulmasta tuollainen paikka on onnistuminen. Se korjaa esitetyn haavoittuvuuden, läpäisee testit eikä muuta ohjelman toimintaa. Katselmoija näkee vihreää.
Hoodletin ryhmä nostaa esiin Anthropicilta saamansa palautteen, jonka mukaan ”paikkojen tuottaminen on mennyt paikkojen varmentamisen edelle, ja korjaus on tehdä varmentamisesta suoritukseen perustuvaa silmäilyn sijaan sekä pitää alan asiantuntijat lopullisina katselmoijina mallien nykyisellä kyvykkyydellä”. Ryhmä sanoo olevansa tästä vahvasti samaa mieltä omien tulostensa perusteella.
Javassa tekoälyn koodi läpäisee turvatarkastuksen kaksi kertaa harvemmin kuin Pythonissa
Tekoälyn kirjoittaman koodin turvallisuudesta liikkuu samassa yhteydessä toinen lukusarja, joka kannattaa pitää erillään 1Passwordin tuloksista. Luvut ovat tietoturvayhtiö Veracoden, eivät 1Passwordin, ja ne koskevat uuden koodin kirjoittamista, eivät olemassa olevan korjaamista.
Veracoden kesällä 2026 päivitetyssä GenAI Code Security -raportissa tekoälyn tuottama koodi läpäisi turvallisuustarkastuksen 56-prosenttisesti. Kielten välinen ero on jyrkkä: Pythonilla 63 prosenttia, Javalla 30. Paras testattu malli, GPT-5.5, ylsi 68 prosenttiin. Aineisto kattaa yli sata mallia neljän vuoden ajalta, ja Veracoden mukaan turvallisuustaso ei ole noussut, vaikka koodin toimivuus on parantunut.
Veracode ei nimeä syytä kielten väliselle erolle. Yleisin alalla esitetty selitys on koulutusaineiston ikä: julkinen Java-esimerkkikoodi on keskimäärin vanhempaa ja sisältää enemmän aikansa eläneitä tapoja käsitellä syötteitä, deserialisointia ja tietokantakyselyjen rakentamista. Python-ekosysteemissä samat riskit on useammin kääritty kirjastojen sisään, jolloin malli päätyy turvalliseen ratkaisuun ilman että sen tarvitsee tuntea riskiä. Selitys on uskottava, mutta se on tulkinta, ei raportin oma johtopäätös.
Raportti tiivistää asian itse näin: ”Paras saatavilla oleva malli epäonnistuu yhä lähes joka kolmannessa turvallisuustehtävässä. Huonoin epäonnistuu joka toisessa.” Alkukieli on englanti.
Sanasto
Etäajo
Vakavin haavoittuvuustyyppi: hyökkääjä saa ajettua omaa koodiaan toisen koneella verkon yli ilman pääsyä itse laitteelle.
Use-after-free
Ohjelmointivirhe, jossa ohjelma käyttää muistialuetta, joka on jo vapautettu muuhun käyttöön. Hyökkääjä voi täyttää sen omalla sisällöllään.
Regressiotesti
Automaattinen testi, joka varmistaa että ohjelma toimii korjauksen jälkeen edelleen kuten ennenkin. Se ei kerro, onko itse tietoturva-aukko oikeasti tukittu.
Kuka Suomessa tarkistaa korjauksen
Suomalaisessa ohjelmistotalossa tulos osuu kohtaan, jota harva on kirjannut prosessikuvaukseen. Tekoälyavustaja on liukunut osaksi korjaustyötä ilman erillistä päätöstä: riippuvuusrobotti avaa pull requestin, kehittäjä pyytää mallilta korjauksen, ja katselmoinnin tekee sama kehittäjä, joka paikkaa pyysi. Ketjussa ei ole kohtaa, jossa kukaan toistaisi alkuperäisen hyökkäyksen.
1Passwordin luvut sanovat, että silmämääräinen katselmointi ei riitä. Paikka näyttää oikealta, koska se on kirjoitettu näyttämään oikealta. Hyväksymisen ehdoksi sopii paremmin se, että alkuperäinen hyökkäys ajetaan uudelleen ja se epäonnistuu. Kääntyvä koodi ja vihreä testiajo eivät kerro siitä mitään.
Tavallista käyttäjää asia koskee viiveen kautta. Kun verkkopankin, sähköpostipalvelun tai kotireitittimen haavoittuvuudesta kerrotaan, korjauksen ilmestyminen ei enää tarkoita aivan samaa kuin ennen. Jos toimittaja on nopeuttanut paikkausta tekoälyllä ilman ajettua varmennusta, päivitetty ohjelmisto voi olla yhä auki, ja käyttäjä on saanut viestin että asia on hoidettu.
Selvitys kannattaa lukea sillä varauksella, että se on tietoturvayhtiön oma tutkimus eikä vertaisarvioitu julkaisu. 1Password julkaisi kuitenkin tutkimuspaperin, testityökalut ja koko paikka-aineiston avoimesti GitHub:ssa, joten luvut ovat toistettavissa. Työkalun nimi FLAWED tulee sanoista Fix-Like Artifacts with Embedded Defects, korjaukselta näyttävät tuotokset sisäänrakennettuine vikoineen.
Yksi luku jäi selvityksessä vähemmälle huomiolle. Yhden paikkayrityksen hinta oli ChatGPT-5.5:llä 2,11 ja Opus 4.8:lla 2,81 dollaria. Kun vain neljäsosa yrityksistä tuottaa puhtaan korjauksen, yhden kelvollisen paikan hinnaksi tulee kahdeksasta yhteentoista dollariin, ja päälle tulee se ihmistyö, jota Hoodletin ryhmä pitää edelleen välttämättömänä. Generointi on halpaa. Kallista on selvittää, mikä generoiduista kelpaa.
Viikoittainen uutiskirje
Tule firmasi fiksuimmaksi AI-osaajaksi
Yksi uutiskirje kerrallaan. Kokoamme viikon tärkeimmät tekoälyuutiset suomeksi ja kerromme, mitä ne tarkoittavat sinun työsi kannalta. Luet sen kahvitauolla.
