Tekoäly nopeuttaa koodausta – ja kasvattaa ohjelmistojen toimitusketjun riskejä

Tekoälyn koodausavustaja voi ehdottaa toimivaa ratkaisua hetkessä, mutta samalla se voi tuoda yrityksen ohjelmistoon uuden avoimen lähdekoodin paketin, kirjaston tai konttikuvan. Kun riippuvuuksia kertyy nopeammin kuin tietoturvatiimi ehtii selvittää niiden alkuperän ja haavoittuvuudet, myös haitallisen tai kaapatun komponentin pääsy rakennettavaan ohjelmistoon helpottuu. Mukaan voi tulla myös epäsuoria riippuvuuksia: paketteja, joita valittu kirjasto tarvitsee toimiakseen. 17

Miksi vanha hyväksyntäprosessi ei pysy mukana?

Tietoturvayhtiö Chainguardin tietoturvajohtaja Quincy Castro kuvaa ongelmaa nopeuserona. Perinteinen prosessi perustuu siihen, että kehittäjä pyytää lupaa uuden riippuvuuden käyttöön ja joku tarkistaa ja hyväksyy sen. Kun koodia ja riippuvuusehdotuksia syntyy lähes välittömästi, ihmisistä riippuvainen hyväksyntäjono muodostuu pullonkaulaksi. Tarkistusta tarvitaan silti juuri siksi, ettei avustajan ehdotus yksin kerro komponentin olevan luotettava. 17

97 prosenttia ei tarkoita 97 prosenttia projekteista

Chainguardin kesäkuun 2026 katsauksessa 97 prosenttia sen aineistossa havaituista haavoittuvuusesiintymistä sijoittui 20 suosituimman konttikuvaprojektin ulkopuolelle. Kyse on saman haavoittuvuudenkin eri kohteissa muodostamista havainnoista, ei väitteestä, että 97 prosenttia kaikista projekteista olisi haavoittuvia. Tulos osoittaa, miksi pelkkiin tunnetuimpiin konttikuviin keskittyvä valvonta voi jättää suuren osan mitatusta altistuksesta huomaamatta.

Luottamusta voi käyttää hyväksi kahdella tavalla. Hyvämaineiselta projektilta näyttävä haitallinen haarautuma eli fork voi päätyä avustajan tai kehittäjän valinnaksi. Toisaalta tunnettuuskaan ei suojaa kaappaukselta: maaliskuussa 2026 hyökkääjät vaaransivat laajasti käytetyn Trivy-haavoittuvuusskannerin GitHub Actions -jakelua. Haitallinen koodi keräsi tunnuksia sitä käyttäneistä automaattisista työnkuluista, ja mahdollinen altistus ulottui tuhansiin organisaatioihin. GitHub Actions on palvelu, jolla esimerkiksi ohjelmistojen testaus ja julkaisu automatisoidaan. 17

Mitä Indianan yliopisto aikoo selvittää?

Yhdysvaltain National Science Foundationin eli NSF:n 1,18 miljoonan dollarin rahoituksella Indianan yliopiston tutkijat aikovat arvioida tutkimuksessa käytettävien avoimen lähdekoodin tekoälytyökalujen ja -mallien turvallisuusriskejä sekä auttaa käyttäjiä tunnistamaan turvallisempia vaihtoehtoja. Yliopisto nimeää Jetstream2:n, NSF:n tukeman tutkimuspilvipalvelun, hankkeen laskentaympäristöksi. Saatavilla oleva hankekuvaus ei kuitenkaan määrittele tarkkaa mallien pisteytysmenetelmää eikä lupaa, että suositellut vaihtoehdot olisivat riskittömiä. 612