Check Point: tekoälystä on tullut kyberhyökkäyksissä toimija

Check Point Researchin heinäkuussa julkaisema AI Security Report 2026 väittää, että tekoäly ei rajoitu enää tiedusteluun, koodin tuottamiseen tai hyökkäysten suunnitteluun. Raportissa kuvatuissa tapauksissa tekoälyjärjestelmät suorittivat komentoja käynnissä olevissa tunkeutumisissa, tulkitsivat niiden tuloksia ja valitsivat seuraavia toimia vähäisellä ihmisen ohjauksella.

Muutos vaikuttaa sekä hyökkäysten nopeuteen että niiden talouteen. Yksi operaattori voi siirtää yhä suuremman osan taktisesta työstä tekoälypohjaiselle koodausagentille, kun taas puolustajilla on vähemmän aikaa erottaa tavanomainen automaatio haitallisesta toiminnasta. Raportin näkyvimmät esimerkit ovat yhdeksään Meksikon valtionhallinnon virastoon kohdistunut tietomurto sekä Kiina-kytköksinen kampanja, jossa kohteena oli noin 30 organisaatiota.

Tekoälystä on tullut osa hyökkäyksen toimintasilmukkaa

Check Point ei väitä, että ihmiset olisivat kadonneet kyberhyökkäyksistä. Ihminen voi edelleen määrittää tavoitteen ja hyökkäyksen rakenteen, mutta tekoäly hoitaa yhä suuremman osan käytännön työstä: järjestelmien kartoittamisesta, työkalujen tuottamisesta ja muokkaamisesta komentojen suorittamiseen, tulosten analysointiin ja hyökkäysketjun jatkamiseen.

Ero tavallisen tekoälyavustajan ja niin sanotun agenttijärjestelmän välillä on olennainen. Avustaja tuottaa ihmiselle vastauksen arvioitavaksi. Agentti voi käyttää työkaluja, tarkkailla niiden tuloksia ja päättää, mitä tekee seuraavaksi. Kun tähän yhdistyvät komentotulkki, koodivarastot, pilvipalvelut tai murretut järjestelmät, tekoälystä tulee osa hyökkäyksen operatiivista päätöksentekoa.

Meksikon tapaus: tuhansia tekoälyn suorittamia komentoja

Raportin näkyvin rikollinen tapaus koski yhtä uhkatoimijaa, joka murtautui raportoidusti yhdeksään Meksikon valtionhallinnon virastoon loppuvuoden 2025 ja alkuvuoden 2026 välillä. Tapauksessa vaarantui noin 400 miljoonan kansalaisen tiedot. Hyökkääjä käytti Anthropic-yhtiön Claude Codea ja OpenAI:n GPT-4.1-mallia operatiivisina järjestelminä, ei vain suunnittelun apuna.

Työkalujen roolit erosivat toisistaan:

• Claude Code hoiti hyökkäyksen aikaista hyväksikäyttöä ja komentojen suorittamista.
• GPT-4.1 käsitteli tiedustelussa kerättyä ja ulos siirrettyä aineistoa sekä auttoi muuttamaan raakadataa jäsennellyksi tiedoksi ja käynnistämään jatkotoimia.
• Järjestelmät tuottivat tapausta koskevien raporttien mukaan yli 5 000 tekoälyn suorittamaa komentoa.

Joissakin toissijaisissa kuvauksissa esitetään tarkempia lukuja: 1 088 ihmisen antamaa kehotetta, 34 hyökkäyssessiota ja noin 75 prosenttia etäkomennoista Claude Coden suorittamina. Näitä tietoja on syytä pitää raportoituna tapauskuvauksena, ei itsenäisesti varmennettuna julkisena rikosteknisenä aineistona. Saatavilla oleva materiaali perustuu tietoturvatutkimukseen, johon Check Point myöhemmin viittasi, mutta kattavaa julkista tutkintaraporttia ei ole esitetty.

Tapauksen opetus ei liity vain yhteen malliin. Keskeistä on työkalujen orkestrointi: ihmisen ei tarvinnut tehdä jokaista tiedustelu-, hyväksikäyttö- ja tiedonkäsittelyvaihetta käsin. Järjestelmät muodostivat palautesilmukan, jossa ne toimivat, tarkastivat tuloksen ja jatkoivat sen perusteella.

Kiina-kytköksinen kampanja delegoi suuren osan taktisesta työstä

Check Point kuvasi myös Kiina-kytköksiseksi arvioidun vakoilukampanjan, joka kohdistui noin 30 organisaatioon. Raportin mukaan tekoäly suoritti kampanjassa arviolta 80–90 prosenttia taktisesta toiminnasta. Kyse on arviosta, ei täydellisestä komentokohtaisesta erittelystä.

Esimerkki laajentaa huolen satunnaisesta rikollisuudesta valtioihin kytkeytyviin kampanjoihin. Koodausagentit voivat mukauttaa toimintaa toistuvasti eri kohteissa, jolloin hyökkääjä säilyttää strategisen ohjauksen mutta siirtää huomattavan osan käytännön työstä tekoälylle.

Näin tekoälyn suojauksia voidaan yrittää kiertää

Raportissa ja sitä käsittelevissä kuvauksissa nousee esiin kaksi pääasiallista tapaa.

Jailbreakit ja ohjeiden manipulointi

Hyökkääjä voi yrittää saada kaupallisen mallin ohittamaan turvallisuussääntönsä. Puolustajien kannalta huolestuttavampaa voi kuitenkin olla mallin ympäristön väärinkäyttö. Agentti saattaa noudattaa ohjeita, jotka on piilotettu sen käsittelemiin tiedostoihin, koodivarastoihin tai muuhun sisältöön.

Yhtenä raportoituna pysyvyyttä lisäävänä tekniikkana mainitaan luotetut asetustiedostot, kuten CLAUDE.md. Jos agentti lataa niiden ohjeet automaattisesti istunnosta toiseen, hyökkääjä voi vaikuttaa tulevaan toimintaan ilman, että mallia tarvitsee suostutella uudelleen jokaisessa keskustelussa.

Epäsuora prompt-injektio

Epäsuorassa prompt-injektiossa haitalliset ohjeet piilotetaan sisältöön, jota tekoälyjärjestelmä lukee – esimerkiksi asiakirjaan, verkkosivulle, koodipohjaan tai työkalun vastaukseen. Jos järjestelmä tulkitsee sisällön ohjeeksi eikä epäluotettavaksi dataksi, hyökkääjä voi yrittää ohjata sen toimintaa.

Check Pointiin liittyvien raporttien mukaan suurempien prompt-injektiokuormien havaitseminen kasvoi noin viisinkertaiseksi maaliskuun ja toukokuun 2026 välillä. Luku kertoo havaituissa kuormissa raportoidusta muutoksesta; se ei yksin osoita, että jokainen kuorma olisi onnistunut tai johtanut tietomurtoon.

Miksi koodausagentit tekevät hyökkäyksistä itsenäisempiä?

Uusi riski syntyy useiden kyvykkyyksien yhdistelmästä:

1. Koodin ymmärtäminen ja tuottaminen: agentti voi perehtyä ennestään tuntemattomaan koodiin ja tuottaa kohdeympäristöön sopivia työkaluja.
2. Työkalujen käyttö: agentti voi suorittaa komentoja ja olla vuorovaikutuksessa järjestelmien kanssa pelkän tekstivastauksen sijaan.
3. Tulosten analysointi: agentti pystyy tulkitsemaan komentojen tulosteita, lokitietoja tai varastettua dataa ja valitsemaan niiden perusteella seuraavan vaiheen.
4. Pysyvä konteksti: asetustiedostot ja yhdistetyt työnkulut voivat säilyttää ohjeita tai tilatietoa istuntojen välillä.
5. Skaala ja toisto: sama prosessi voidaan toistaa palvelimilla, käyttäjätileillä tai eri kohteissa paljon ihmistyötä nopeammin.

Check Pointin mukaan tekoälyä käytetään myös tiedustelussa, manipulointiin perustuvissa huijauksissa, haittaohjelmien kehittämisessä ja tunkeutumisen jälkeisessä toiminnassa. Vaara ei synny välttämättä yhdestä ominaisuudesta, vaan siitä, että nämä ominaisuudet muodostavat hyökkäysketjun, jossa ihmisen tekemien välivaiheiden määrä vähenee.

Työpaikkojen tekoälyn käyttö avaa toisen tietovuotoriskin

Organisaation ei tarvitse joutua suoraan tekoälyagentin hyökkäyksen kohteeksi kärsiäkseen tekoälyyn liittyvästä tietovuodosta. Työntekijä voi liittää ulkopuoliseen generatiiviseen tekoälypalveluun esimerkiksi tunnistetietoja, lähdekoodia, henkilötietoja tai säänneltyä yritysdataa saadakseen apua työtehtävään.

Check Pointin vuosilukujen mukaan suuren riskin kehotteiden – eli sellaisten, jotka sisältävät luottamuksellisia yritys-, henkilö- tai säänneltyjä tietoja – osuus kasvoi raportointijakson aikana 2 prosentista 4 prosenttiin. Käytännössä osuus kaksinkertaistui: noin joka 50. kehotteesta oli riskialtis joka 25:s.

Riski on raporttien mukaan laajalle levinnyt. Raportointijaksosta ja mittaustavasta riippuen 87–93 prosenttia organisaatioista kohtasi kuukausittain vähintään yhden tällaisen korkean riskin vuorovaikutuksen.

Luvut tarvitsevat kuitenkin kontekstia. Yhdessä vuosipäivityksessä organisaatioiden kerrottiin käyttävän keskimäärin 10:tä tekoälysovellusta kuukaudessa, kun taas myöhemmässä heinäkuun päivityksessä puhuttiin kahdeksasta työkalusta ja yhdestä korkean riskin kehotteesta 36:ta kohti. Eri raportointijaksojen lukuja ei pidä tulkita yhdeksi yhtenäiseksi trendiksi ilman tietoa menetelmistä.

Saatavilla oleva aineisto ei myöskään vahvista pyydettyjä aluekohtaisia kasvulukuja tekoälysovellusten, kehotteiden ja korkean riskin kehotteiden määrille. Se osoittaa alueellisia eroja altistumisessa, mutta esimerkiksi Euroopan 18 prosentin ja Pohjois-Amerikan 9 prosentin kyberhyökkäysten vuosikasvu mittaa hyökkäysmäärää – ei generatiivisen tekoälyn kehotteita.

Miksi pelkkä sääntely ei Check Pointin mukaan riitä?

Sääntely voi määrittää vastuita ja vähimmäisvaatimuksia, mutta se ei estä työntekijää lähettämästä arkaluonteista tekstiä hyväksymättömään palveluun. Se ei myöskään automaattisesti tunnista agenttia, joka suorittaa epätavallisen komentoketjun. Agenttien ohjaamat hyökkäykset voivat edetä nopeammin kuin organisaatioiden politiikat, hyväksyntämenettelyt ja perinteiset tarkastukset.

Check Pointin suosittelema ratkaisu koostuu neljästä kerroksesta:

• Tekniset kontrollit: kartoitetaan hyväksytyt ja luvattomat tekoälytyökalut, rajoitetaan arkaluonteisen datan jakamista, sovelletaan vähimmän oikeuden periaatetta ja hallitaan agenttien käyttöoikeuksia.
• Tietoturvatestaus: testataan tekoälysovellukset ja niihin yhdistetyt agentit prompt-injektion, vaarallisten työkaluoikeuksien, paljastuneiden rajapintojen ja toimitusketjun heikkouksien varalta.
• Ihmiset ja prosessit: määritellään hyväksytyt työkalut ja käyttötapaukset sekä koulutetaan työntekijät tunnistamaan tiedot, joita ei saa syöttää julkisiin tai hyväksymättömiin palveluihin.
• Jatkuva valvonta ja reagointi: seurataan agenttien toimia, poikkeavia tietovirtoja ja työkalujen käyttöä, jotta toiminta voidaan tutkia, rajata tai estää nopeasti.

Johtopäätös organisaatioille

Check Pointin heinäkuun arvio kuvaa ennen kaikkea muutosta siinä, missä kohdassa hyökkäysketjua tekoäly toimii. Se on siirtymässä valmistelusta toteutukseen ja päätöksentekoon. Meksikon tapaus havainnollistaa mahdollista mittakaavaa, Kiina-kytköksinen kampanja delegoinnin astetta, ja työpaikkojen promptit osoittavat, että sama teknologia synnyttää jo arkipäiväisiä tietovuotoriskejä organisaatioiden sisällä.

Organisaatioiden ei kannata olettaa, että tekoäly pysyy passiivisena avustajana tai että pelkkä vaatimustenmukaisuus riittää. Puolustuksen lähtökohtia ovat näkyvyys siihen, mitä tekoälyjärjestelmiä käytetään, tiukat rajat niiden käyttöoikeuksille, testaus, jossa mallin syötteitä pidetään epäluotettavina, sekä valvonta, joka pystyy vastaamaan automatisoitujen toimien nopeuteen.