AnswersPublished22 sources
Näin tekoäly muuttaa kyberhyökkäyksiä – haittaohjelmista reaaliaikaisiin LLM-tunkeutumisiin
Tekoäly nopeuttaa perinteisiä kyberhyökkäyksiä ja pienentää niiden toteuttamiseen tarvittavaa aikaa ja osaamista. FunkSec ja RevengeHotels osoittavat tekoälyavusteisen haittaohjelmakehityksen yleistymisen, kun taas LameHug käyttää kielimallia hyökkäyksen aikana komentojen tuottamiseen.
JulkaisijaMuokattu mallilla GPT-5.6 LunaKuvat luotu mallilla GPT Image 1.5
Research answer
Key takeaways
- Tekoäly nopeuttaa perinteisiä kyberhyökkäyksiä ja pienentää niiden toteuttamiseen tarvittavaa aikaa ja osaamista.
- FunkSec ja RevengeHotels osoittavat tekoälyavusteisen haittaohjelmakehityksen yleistymisen, kun taas LameHug käyttää kielimallia hyökkäyksen aikana komentojen tuottamiseen.
- Puolustajien kannattaa seurata staattisten tunnisteiden lisäksi poikkeavaa skriptien käyttöä, ulospäin suuntautuvaa LLM liikennettä, tunnusten väärinkäyttöä ja tietojen keräämistä.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How is artificial intelligence becoming deeply embedded in cyberattacks, according to Kaspersky and other cybersecurity researchers, and wha. Article summary: AI is becoming an operational layer across the attack chain: it helps criminals write and revise code, tailor phishing, automate reconnaissance, and vary payloads at machine speed. The clearest current evidence supports . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Tekoälystä on tulossa kyberhyökkäysten käytännön työkerros. Rikolliset ja valtiollisiin toimijoihin kytkeytyvät hyökkääjät voivat käyttää suuria kielimalleja haittaohjelmien osien luonnosteluun, huijausviestien kirjoittamiseen, skriptien korjaamiseen ja uusien muunnelmien tuottamiseen.
Tähänastinen näyttö tukee kuitenkin tarkempaa johtopäätöstä: tekoäly kiihdyttää ja muokkaa tuttuja hyökkäystapoja, mutta se ei tee kaikista hyökkäyksistä itsenäisiä tai täysin automatisoituja.
Tärkein muutos: hyökkäysketju lyhenee
Useimmat tietomurrot perustuvat edelleen tuttuihin menetelmiin, kuten tietojenkalasteluun, haitallisiin skripteihin, etäkäyttötroijalaisiin ja tietojen varastamiseen. Tekoäly muuttaa näiden menetelmien taloutta vähentämällä niiden tuottamiseen tarvittavaa aikaa ja erityisosaamista.
Hyökkääjä voi pyytää kielimallia laatimaan alustavan skriptin, kääntämään ja personoimaan huijausviestin, korjaamaan koodia testauksen jälkeen sekä tuottamaan eri kohteille sopivia versioita. Kokeiluista tulee halvempia, ja kampanjan suunnittelun ja toteutuksen välinen aika voi lyhentyä merkittävästi.
Seurauksena voi olla enemmän uskottavia hyökkäyksiä ja lyhyempi reagointiaika puolustajille. On silti harhaanjohtavaa kutsua jokaista tekoälyä mainostavaa houkutinta ”tekoälyhyökkäykseksi”. Tekoälyn rooli voi vaihdella koodiavusta aina hyökkäyksen aikana tapahtuvaan komentojen tuottamiseen.
FunkSec näyttää, miten tekoäly auttaa haittaohjelmien kehityksessä
Kasperskyn FunkSec-tutkimus tarjoaa yhden esimerkin tekoälyavusteisesta haittaohjelmien rakentamisesta. Rust-ohjelmointikielellä kirjoitettu kiristyshaittaohjelma yhdistää samaan suoritettavaan tiedostoon tietojen salaamisen, paikallisen tietojen varastamisen ja jälkien siivoamisen. Kaspersky kertoi havainneensa suurten kielimallien avulla syntetisoidun koodin merkkejä myös siihen liittyvissä työkaluissa, kuten salasanageneraattorissa ja yksinkertaisessa DDoS-työkalussa. 28
39
Tämä ei tarkoita, että kielimalli olisi itsenäisesti suunnitellut, levittänyt ja operoinut koko kampanjan. Se osoittaa, että generatiivinen tekoäly voi osallistua toimivien haittaohjelmakomponenttien tuottamiseen ja auttaa hyökkääjiä kokoamaan yhtenäisemmän työkalupaketin pienemmällä manuaalisella kehitystyöllä.
RevengeHotels: tekoäly tehostaa tuttua tietojenkalastelua
Vuoden 2025 RevengeHotels-kampanja havainnollistaa, kuinka tekoäly voi vahvistaa vakiintunutta hyökkäysmenetelmää sen sijaan, että korvaisi sen. Kaspersky havaitsi Brasilian ja espanjankielisten markkinoiden hotelleihin kohdistuneita hyökkäyksiä, joissa tietojenkalasteluviestit naamioitiin varauspyynnöiksi, laskuiksi tai työhakemuksiksi.
Uhrit ohjattiin asiakirjojen tallennuspalveluita jäljitteleville verkkosivuille. Sivuilta ladatut skriptit toimittivat lopulta etäkäyttötroijalaisia, kuten VenomRAT-haittaohjelman. 30
31
36
Kasperskyn mukaan merkittävä osa alkuvaiheen tartuttajan ja lataajan koodista vaikutti suurten kielimallien agenttien tuottamalta. 28 Kampanja nojasi silti perinteiseen sosiaaliseen manipulointiin, skriptien suorittamiseen ja RAT-haittaohjelman toimittamiseen. Tekoäly auttoi tuottamaan ja muuntelemaan hyökkäysketjun osia, mikä voi helpottaa toiminnan laajentamista eri alueille ja kohteisiin.
Siksi ilmaus ”tekoälyllä toimiva hyökkäys” tarvitsee aina tarkennuksen. Tässä tapauksessa tekoälyavusteinen koodintuotanto oli osa tavanomaista tietojenkalastelukampanjaa.
LameHug tuo kielimallin osaksi itse hyökkäystä
Saatavilla olevan näytön teknisesti merkittävin kehitys on LameHug, josta käytetään joissakin yhteyksissä myös nimeä PROMPTSTEAL. Toisin kuin haittaohjelma, joka on vain mahdollisesti kirjoitettu tekoälyn avulla, LameHug käytti kielimallia ohjelman suorituksen aikana.
CERT-UA:n raportointiin perustuvien analyysien mukaan haittaohjelma otti yhteyden Hugging Face -rajapintaan ja käytti Alibaba Cloudin Qwen2.5-Coder-32B-Instruct-mallia Windows-komentojen tuottamiseen dynaamisesti. Komentojen avulla voitiin kerätä järjestelmätietoja ja etsiä Office-asiakirjoja varastettaviksi. 2
3
7
Tämä muuttaa haittaohjelman toimintaa kolmella tavalla:
- Komentosarjaa ei tarvitse määritellä kokonaan etukäteen. Haittaohjelma voi pyytää komentoja ympäristön ja sille annettujen ohjeiden perusteella.
- Hyökkäys voi hyödyntää tavallisia järjestelmätyökaluja. Tunnistuksessa on ehkä keskityttävä komentojen käyttäytymiseen ja järjestykseen yksittäisen, helposti tunnistettavan haittaohjelmatiedoston sijaan.
4
- Haittaohjelma synnyttää ulkoisen riippuvuuden. Saastuneen laitteen epätavalliset yhteydenotot kielimallin rajapintaan voivat tarjota puolustajille arvokkaan hälytyssignaalin.
LameHug ei todista haittaohjelmien muuttuneen itsenäisiksi. Se osoittaa, että hyökkääjä voi sijoittaa LLM:n osaksi operatiivista ketjua ja käyttää sitä tiedustelu- ja tiedonkeruutoimien tuottamiseen reaaliajassa.
Tekoälystä itsestään tulee houkutin
Tekoälyä käytetään myös syöttinä. Kasperskyn ratkaisut havaitsivat tammikuun ja huhtikuun 2026 välisenä aikana yli 33 300 pieniin ja keskisuuriin yrityksiin kohdistunutta hyökkäystä, joissa haitallinen tai ei-toivottu PC-ohjelmisto oli naamioitu suosituksi tekoälypalveluksi. Määrä oli lähes viisinkertainen vuoden 2025 vastaavaan ajanjaksoon verrattuna. 50
51
Luku kertoo ohjelmistoista, jotka esiintyivät tekoälypalveluina. Se ei osoita, että jokainen haittaohjelma olisi tuotettu tekoälyllä tai että tekoälyjärjestelmä olisi ohjannut jokaista hyökkäystä. Varovaisempi johtopäätös on, että hyökkääjät käyttävät hyväkseen luottamusta tuttuihin tekoälybrändeihin ja yritysten nopeasti kasvavaa tekoälytyökalujen käyttöä.
Käytännön riski työntekijälle on yksinkertainen: valokuvageneraattoriksi, chatbot-ohjelmaksi tai tuottavuusavustajaksi naamioitu sovellus voi toimia haittaohjelman toimituskanavana. Siksi ohjelmien asennuskäytännöt, virallisten latauslähteiden tarkistaminen ja päätelaitteiden tehokas suojaus ovat edelleen tärkeitä, vaikka houkutin näyttäisi tekoälytuotteelta.
Mitä alueelliset luvut kertovat – ja mitä eivät
Kasperskyn alueellinen telemetria osoittaa verkkopohjaisten uhkien olevan laajalle levinneitä, mutta lukuja ei pidä tulkita tekoälyohjattujen hyökkäysten määriksi. Vuoden 2026 ensimmäisellä puoliskolla Kaspersky kertoi estäneensä verkkolähteistä tulleita hyökkäyksiä Etelä-Afrikassa 5,7 miljoonaa, Keniassa 4,5 miljoonaa ja Nigeriassa 1,6 miljoonaa. Turkissa verkkopohjaiset uhat koskettivat raportoidussa META-alueen aineistossa suurinta osuutta käyttäjistä, 22,8 prosenttia. 14
Luvut kattavat verkkosivustojen, sähköpostien ja verkkopalvelujen kautta toimitettuja uhkia. Ne osoittavat verkkohyökkäysten laajan mittakaavan, eivät sitä, että hyökkäysten syynä olisi tekoäly. Erottelu on tärkeä, jotta yleisiä kyberuhkatilastoja ei esitetä todisteena itsenäisistä tai tekoälyn luomista kampanjoista.
Miksi muuntautumiskyky on tärkeämpää kuin autonomia
Välitön turvallisuusriski ei välttämättä ole siirtyminen suoraan itseohjautuviin ”hakkeriarmeijoihin”. Suurempi muutos syntyy pienistä tehokkuuslisistä, jotka kasaantuvat koko hyökkäysketjussa:
- koodia voidaan luonnostella ja korjata nopeammin;
- tietojenkalasteluviestejä voidaan sovittaa eri kielille, toimialoille ja tekosyille;
- skriptejä voidaan debugata ja paketoida uudelleen nopeammin;
- haittaohjelman toimintaa voidaan muuttaa eri ympäristöissä;
- tiedustelua ja tietojen keruuta voidaan mukauttaa suorituksen aikana.
Yhdessä nämä ominaisuudet voivat laskea tietomurron käynnistämisen kustannuksia ja helpottaa useampien kokeilujen tekemistä. Ne voivat myös auttaa vähemmän kokeneita toimijoita jäljittelemään tekniikoita, jotka aiemmin vaativat erikoisosaamista.
Riski on erityisen merkittävä organisaatioille, joilla on vähän tietoturvahenkilöstöä, paljon arkaluonteista dataa tai monimutkainen alihankinta- ja kumppaniverkosto. Kriittiseen infrastruktuuriin kohdistuvista hyökkäyksistä tarvitaan kuitenkin erillinen näyttö: vahvistus murrosta, sen vaikutuksista ja tekoälyn konkreettisesta roolista. Hyökkääjän oma väite ei yksin vahvista mitään näistä.
Näihin asioihin organisaatioiden kannattaa kiinnittää huomiota
Edellä kuvatut tapaukset puoltavat kerroksellista ja käyttäytymiseen perustuvaa puolustusta. Tunnetut haittaohjelmatunnisteet ja estolistat ovat edelleen tarpeen, mutta niiden rinnalla on seurattava toimintaa, joka voi paljastaa tekoälyavusteisen tai dynaamisesti muuntuvan hyökkäyksen.
Hyödyllisiä hälytyssignaaleja ovat esimerkiksi:
- Python- tai PyInstaller-prosessit, jotka muodostavat odottamattomia ulospäin suuntautuvia yhteyksiä kielimallipalveluihin;
- base64-koodatut kehotteet tai epätavalliset API-kutsut päätelaitteista, joiden ei normaalisti pitäisi käyttää kehittäjä- tai tekoälypalveluja;
- komentoketjut, joissa yhdistyvät esimerkiksi
systeminfo,tasklist,dsquerytai rekursiiviset tiedostohaut; - epäilyttävä JavaScript-, PowerShell- tai muun tulkin käyttö;
- poikkeava tunnusten käsittely, asiakirjojen kerääminen tai tietojen siirtäminen ulos organisaatiosta;
- työntekijöiden asentamat hyväksymättömät tekoälysovellukset tai selaintyökalut.
Splunkin LameHug-tunnistusohjeissa korostetaan erityisesti Python- tai PyInstaller-toimintaa, joka ottaa yhteyden Hugging Face -rajapintaan ja käyttää Qwen-mallia komentojen tuottamiseen. 4 Tämä on konkreettinen esimerkki siitä, miten puolustajat voivat tunnistaa LLM-avusteisen hyökkäyksen ympärillä tapahtuvan toiminnan sen sijaan, että he odottaisivat uuden kiinteän haittaohjelmatunnisteen löytymistä.
Yhteenveto
Tekoäly juurtuu kyberhyökkäyksiin, koska se helpottaa olemassa olevien toimintojen tuottamista, personointia ja muokkaamista. FunkSec ja RevengeHotels ovat esimerkkejä tekoälyavusteisesta haittaohjelmakehityksestä. LameHug puolestaan osoittaa, että kielimallia voidaan kysellä käynnissä olevan tunkeutumisen aikana. Kasperskyn pieniin ja keskisuuriin yrityksiin liittyvät havainnot taas kertovat siitä, että tekoälyn suosio on valjastettu houkuttimeksi. 28
31
51
Tarkimmin ilmiötä kuvaa siis seuraava ajatus: tekoäly ei ole korvannut perinteistä hakkerointia, vaan siitä on tullut tehokkuus- ja mukautumiskerros tietojenkalastelun, haittaohjelmien kehityksen, tiedustelun ja tietojen varastamisen ympärille.
Puolustajien on varauduttava hyökkäysten nopeampaan muunteluun ja suurempaan vaihteluun – mutta samalla pidettävä erillään varmistettu tekoälyn käyttö ja tavallinen kyberrikollisuus, joka vain käyttää hyväkseen tekoälyyn liittyvää brändiä.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Näin tekoäly muuttaa kyberhyökkäyksiä – haittaohjelmista reaaliaikaisiin LLM-tunkeutumisiin"?
Tekoäly nopeuttaa perinteisiä kyberhyökkäyksiä ja pienentää niiden toteuttamiseen tarvittavaa aikaa ja osaamista.
What are the key points to validate first?
Tekoäly nopeuttaa perinteisiä kyberhyökkäyksiä ja pienentää niiden toteuttamiseen tarvittavaa aikaa ja osaamista. FunkSec ja RevengeHotels osoittavat tekoälyavusteisen haittaohjelmakehityksen yleistymisen, kun taas LameHug käyttää kielimallia hyökkäyksen aikana komentojen tuottamiseen.
What should I do next in practice?
Puolustajien kannattaa seurata staattisten tunnisteiden lisäksi poikkeavaa skriptien käyttöä, ulospäin suuntautuvaa LLM liikennettä, tunnusten väärinkäyttöä ja tietojen keräämistä.
Sources
me-en.kaspersky.comKaspersky uncovers the cyber threats defining the first half ...
securelist.comA new RevengeHotels campaign targets Latin America
kaspersky.comKaspersky discovers the return of RevengeHotels, leveraging AI in ...