Tekoäly muuttaa haavoittuvuuksien löytämistä ja hyödyntämistä

Googlen Threat Intelligence Group (GTIG) havaitsi, että ohjelmistohaavoittuvuuksista ilmoitettiin tammi–elokuussa 2026 yli kaksi kertaa enemmän kuin tammikuussa. Hyökkääjien hyödyntämien haavoittuvuuksien määrä kasvoi sekin, mutta eri tahtiin. Tekoälyn avustama haavoittuvuuksien etsiminen liittyi lisäksi erilaiseen löydösten joukkoon: niissä oli tavallista useammin etäkoodin suorittamisen mahdollistavia vikoja. Aineisto ei kuitenkaan osoita, kuinka suuren osan kokonaiskasvusta tekoäly yksin aiheutti. 317

Ilmoituksia tuli enemmän kuin havaittuja hyväksikäyttötapauksia

Kuukaudessa julkistettujen haavoittuvuuksien määrä kasvoi tammikuun 5 045:stä elokuun 10 740:een. Tammi–elokuussa GTIG havaitsi 141 eri haavoittuvuutta, joita hyökkääjät olivat käyttäneet. Koko vuonna 2025 vastaava luku oli 127. Hyödynnettyjen haavoittuvuuksien kuukausikeskiarvo nousi vuoden 2025 noin 10,5:stä 18:aan tammi–elokuussa 2026. 3

Luvut kuvaavat eri asioita: ilmoitukset kertovat julkisiksi tulleista haavoittuvuuksista, kun taas hyväksikäyttöluku koskee haavoittuvuuksia, joita on havaittu hyökkäyksissä. Ne eivät ole hyökkäysten tai uhrien lukumääriä. Ilmoitusten kasvu ei siis tarkoita, että hyökkääjät käyttäisivät vastaavaa osuutta kaikista uusista löydöksistä. 3

Havaintojen perusteella sekä haavoittuvuuksien löytyminen että niiden hyväksikäyttö lisääntyivät. Luvuista ei kuitenkaan voi päätellä, että tekoäly olisi yksin aiheuttanut jommankumman kasvun. GTIG:n analyysi kuvaa tekoälyn kasvavaa roolia haavoittuvuuksien etsimisessä ja osan löydöksistä riskiprofiilissa, ei tekoälyn tarkkaa osuutta kokonaismääristä. 329

Tekoälyn avulla löydetyissä haavoittuvuuksissa korostui etäkoodin suorittaminen

Noin puolet haavoittuvuuksista, jotka GTIG luokitteli todennäköisesti tekoälyn avulla löydetyiksi, mahdollisti etäkoodin suorittamisen eli RCE:n (remote code execution). Muissa haavoittuvuuksissa osuus oli noin 26 prosenttia. RCE voi antaa hyökkääjälle mahdollisuuden suorittaa koodia haavoittuvassa järjestelmässä, joten ero voi merkitä vakavia seurauksia. Luokittelu ”todennäköisesti tekoälyn avulla löydetty” ei silti tarkoita, että tekoäly olisi löytänyt jokaisen haavoittuvuuden itsenäisesti. 1723

Vakavuusluvuissa on tärkeä nyanssi. GTIG:n analyysistä raportoineiden lähteiden mukaan 58 prosenttia todennäköisesti tekoälyn avulla löydetyistä haavoittuvuuksista arvioitiin keskitasoisiksi. Muista julkistetuista haavoittuvuuksista keskitasoisia oli 28 prosenttia. Korkean riskin haavoittuvuuksia oli tekoälyyn yhdistetyistä löydöksistä vain noin neljä prosenttia, suunnilleen yhtä suuri osuus kuin muissa löydöksissä. 2328

Erikseen GTIG kertoi oman riskiluokituksensa mukaisten korkean riskin ilmoitusten kasvaneen tammikuun 131:stä elokuun 350:een. Tämä nousu koskee kaikkia ilmoituksia, ei vain tekoälyn avulla löydetyiksi arvioituja haavoittuvuuksia. 2329

Nollapäivien lisäksi on huomioitava jo tunnetut haavoittuvuudet

Nollapäivähaavoittuvuutta (zero-day) hyödynnetään ennen kuin siihen on saatavilla korjaus. N-päivähaavoittuvuus (n-day) on jo tunnettu julkisesti, ja siihen saattaa olla korjauskin saatavilla. Se voi silti jäädä hyökkääjien hyödynnettäväksi järjestelmissä, joita ei ole päivitetty.

GTIG:n mukaan nollapäivähaavoittuvuuksien hyväksikäyttö lisääntyi noin kahdeksasta kuukaudessa vuonna 2025 noin 11:een kuukaudessa tammi–elokuussa 2026. Kasvu oli maltillisempaa kuin hyväksikäytön kokonaismäärän nousu. Tämä korostaa myös jo tunnettujen haavoittuvuuksien merkitystä: hyökkääjät voivat kohdistaa niihin toimia julkistamisen jälkeen. Luvuista ei voi päätellä, kuinka suuren osan n-päivähaavoittuvuuksien hyväksikäytöstä tekoäly mahdollisti. 329

GTIG kertoi myös rikollistoimijasta, jolla oli hallussaan nollapäivähaavoittuvuuden hyödyntämiseen tarkoitettu keino, jonka ryhmä arvioi tekoälyn avulla kehitetyksi. Toimija suunnitteli laajamittaista hyökkäyskampanjaa, mutta GTIG:n mukaan ryhmän ennakoiva havainto on saattanut estää sen toteutumisen. Kyseessä on näyttö yksittäisestä tekoälyyn liittyvästä tapauksesta, ei todiste siitä, että tekoäly selittäisi hyväksikäytön laajemman kasvun. 7

Myös tekoälyohjelmistot ovat hyökkäysten kohteena

GTIG:n mukaan myös suurten kielimallien kehittämiseen ja käyttöönottoon liittyvä ohjelmistoekosysteemi on joutunut hyväksikäytön kohteeksi. Organisaatioiden kannattaa siksi sisällyttää tekoälykomponentit ja -palvelut tuotantoympäristönsä hyökkäyspinnan arviointiin. Yksittäisten haavoittuvuuksien kiireellisyys on silti arvioitava niiden altistumisen ja hyväksikäytöstä saadun näytön perusteella. 1

Mitä tietoturvasta vastaavien ja ohjelmistotoimittajien kannattaa tehdä?

Tietoturvasta vastaaville: Priorisoi haavoittuvuuksia sen perusteella, ovatko järjestelmät alttiina hyökkäyksille, mitä haittaa hyväksikäytöstä voisi seurata ja onko haavoittuvuutta havaittu käytettävän. Pelkkä ilmoitusten määrä ei riitä kiireellisyyden mittariksi. Pidä kirjaa internetiin näkyvistä järjestelmistä ja käytössä olevista tekoälyohjelmistoista, asenna saatavilla olevat korjaukset ripeästi ja varaudu seuraamaan sekä torjumaan myös sellaisia hyökkäyksiä, joihin korjausta ei vielä ole. Tunnettujen haavoittuvuuksien kohdalla lyhennä aikaa ilmoituksen ja korjaamisen välillä. 389

Ohjelmistotoimittajille: Käytä tekoälyn avustamaa testausta yhdessä asiantuntijoiden tekemän tarkistuksen kanssa, jotta haavoittuvuuksia voidaan löytää ja varmentaa jo ennen julkaisua. Käsittele tekoälykomponentteja osana tuotantokäyttöön tarkoitettua ohjelmistoa ja tarjoa asiakkaille korjaukset sekä selkeät toimintaohjeet ajoissa. Näin asiakkaat voivat arvioida omaa altistumistaan ja asentaa tarvittavat päivitykset. GTIG:n havainnot puoltavat huomion kiinnittämistä sekä löydösten määrään että niiden mahdollisiin seurauksiin. 48