Tekoäly mullistaa monien yritysten toimintatapoja. Erään tutkimuksen mukaan noin 97 % johtajista sanoo ottaneensa käyttöön agentteja viimeisen vuoden aikana, ja yli puolet (57 %) heidän henkilöstöstään käyttää heitä jo. Mutta se auttaa myös vauhdittamaan kyberrikollisuustaloutta. CrowdStrike väittää, että tekoälyn mahdollistama hyökkäystoiminta kasvoi 89 % viime vuonna.
Monissa näistä tapauksista tekoäly ei luo täysin uusia riskiluokkia. Sen sijaan se tarjoaa uhkaryhmille tehokkaita tapoja skaalata ja kiihdyttää hyökkäyksiään. Verkkojen puolustajat ovat yhä enemmän ylikuormitettuja. Ja kun yhä useammat heidän vastustajansa ottavat käyttöön agenttityökaluja, epätasapaino voi pahentua.
Tätä taustaa vasten vaatimustenmukaisuudesta, riskienhallinnasta ja tietoturvatoiminnoista (SecOps) vastaavilla tiimeillä on kaikilla tärkeä rooli.
Ikkunan sulkeminen
CrowdStriken äskettäin julkaisema vuoden 2026 uhkien metsästysraportti on opettavainen. Se selittää, kuinka tekoäly auttaa kuromaan umpeen historiallista ikkunaa haavoittuvuuksien löytämisen ja hyödyntämisen välillä. Kyse ei välttämättä ole uusien puutteiden löytämisestä, vaikka tekoäly voi tehdä sitäkin. Kyse on hakkereiden voimaannuttamisesta hyödyntää uusimpia löydöksiä ja luoda konseptitodistushyökkäyksiä (PoC) ja hyökkäyspolkuja nopeasti ja skaalautuvasti.
”Ketjuttamalla toimintaa identiteetti-, pilvi-, SaaS-, päätepiste- ja perimeter-infrastruktuurin välillä hyökkääjät voivat luoda jalansijaa, laajentaa käyttöoikeuksia, vuotaa tietoja tai käynnistää häiritseviä hyökkäyksiä ennen kuin puolustajat ehtivät yhdistää signaaleja ja reagoida”, raportissa todetaan.
Tulokset ovat karuja. Tammi-kesäkuun välisenä aikana 88 % CrowdStriken havaitsemista julkiseen PoC-haavoittavuuden hyväksikäytöistä tehtiin 48 tunnin kuluessa kyseisen PoC-haavoittavuuden julkaisusta. Joissakin tapauksissa, kuten kiinalaisten Vault Panda- ja Genesis Panda -ryhmien tapauksessa, hyökkäykset käynnistettiin 24 tunnin kuluessa haavoittuvuuksien julkistamisesta.
Suhteellisen pieni mutta kasvava määrä uusia haavoittuvuuksia on tekoälypalvelimissa ja niihin liittyvissä ohjelmistoissa: joskus ne auttavat hyökkääjiä louhimaan kryptovaluuttaa, keräämään arkaluonteisia konfiguraatioita
tietoja tai jopa käyttää itse tekoälymalleja.
CrowdStrike huomauttaa myös, että tekoälymallien käyttötekniikat (joista haavoittuvuuksien hyödyntäminen on yksi) muodostivat 16 % kaikista MITRE ATLAS -tekniikoista, joita on havaittu viimeisten 12 kuukauden aikana. Tämä kertoo nykypäivän uhkakuvan todellisuudesta. Tekoäly on sekä tehokas teknologia hyökkäyksiin että itsessään kohde. Kuten CrowdStrike sanoo: "Tekoäly on nyt työkalu, kohde ja voiman moninkertaistaja vastustajille."
Hukkuminen CVE-tapauksiin
Kysymys kuuluu, voiko tekoäly olla myös verkkopuolustajien voimakerroin, koska asiat ovat vasta alussa. Raporttien mukaan vuonna 2025 julkaistiin yli 48 000 CVE-tapausta, mikä on 20 prosentin vuosittainen kasvu. Kesäkuussa luku oli noin 7 400 – lähes kaksinkertainen kesäkuun 2025 lukuun verrattuna. Muutosvauhti tulee vain kiihtymään.
Toisaalta tämän pitäisi olla hyviä uutisia verkkopuolustajille, koska mitä enemmän tietoturvapäivityksiä on saatavilla, sitä enemmän on mahdollisuuksia parantaa IT-järjestelmien sietokykyä. Mutta korjauksista ei ole hyötyä, jos niitä on niin paljon, etteivät verkkopuolustajat pysty kohtuullisesti priorisoimaan, testaamaan ja ottamaan niitä käyttöön. Se saattaa vaikeuttaa heidän työtään ainakin lyhyellä aikavälillä.
Vastauksen kartoittaminen
KnowBe4:n tietoturvaneuvojan Erich Kronin mukaan perusasioiden oikeellisuus tulisi olla tietoturvatiimien ensimmäinen askel.
”Organisaatioiden tulisi varmistaa, että niillä on käytössä hyvä prosessi korjauspäivitysten tai haavoittuvuuksien nopeaan testaamiseen ja suunnitelma niiden nopeaan käyttöönottoon”, hän kertoo IO:lle (entinen ISMS.online). ”Organisaatioiden tulisi myös varmistaa, että niillä on tarkka luettelo kaikista verkossa olevista laitteista, mukaan lukien asennetut ohjelmistot ja versiot, jotta mahdolliset haavoittuvuudet voidaan nopeasti luokitella vakavuuden mukaan heidän organisaationsa osalta.”
Black Duckin vanhempi tutkimus- ja kehityspäällikkö Christopher Jess on samaa mieltä siitä, että inventaario on välttämätöntä, erityisesti avoimen lähdekoodin maailmassa, ja että riskienhallinnan on oltava jatkuvaa. Tiimien on määritettävä selkeät riskikynnykset korjaavien toimenpiteiden välittömäksi käynnistämiseksi.
”Yritysten on poistettava mahdollisimman paljon manuaalista viivettä haavoittuvuuksien havaitsemisesta, priorisoinnista ja korjaamisesta”, hän kertoo IO:lle. ”Tämä tarkoittaa resurssien ja riippuvuuksien jatkuvaa etsimistä, koodin ja avoimen lähdekoodin skannausta koko ohjelmistokehityskeskuksen (SDLC) alueella, uuden haavoittuvuustiedon automaattista korrelointia jo käytössä olevan tiedon kanssa sekä ongelmien priorisointia hyödynnettävyyden ja liiketoimintavaikutusten mukaan sen sijaan, että vain tuotettaisiin yhä pidempiä CVE-listoja.”
Hyökkääjien ja puolustajien nopeus- ja kykyerojen kasvaessa jatkuvasta seurannasta tulee välttämätöntä, lisää Filigranin kyberturvallisuusasiantuntija Deborah Galea.
”Säännölliset, reaktiiviset riskien tarkastelut eivät enää riitä. Organisaatiot tarvitsevat jatkuvaa, reaaliaikaista ja ennakoivaa uhkien seurantaa, joka löytää alttiudet ennen kuin niitä voidaan hyödyntää. Painopisteen tulisi olla todellisessa riskissä, ei teoreettisessa riskissä: haavoittuvuuksissa, joita tosiasiallisesti hyödynnetään luonnossa, ja uhissa, joita havaitaan samankokoisia, -toimialaisia ja -maantieteellisesti samanlaisiin organisaatioihin kohdistuen”, hän kertoo IO:lle.
”Reaaliaikaisen uhkatiedon jakaminen on myös yhä tärkeämpää, sillä se lyhentää kuilua hyökkäyksen ilmaantumisen ja puolustusmekanismien reagoinnin välillä. Näin organisaatiot voivat toimia toimittajiensa, kilpailijoidensa tai toimialojensa riskeihin ennen kuin ne saavuttavat heidät.”
Vaatimustenmukaisuus tekee osansa
Tässä kaikessa on tärkeä rooli sekä vaatimustenmukaisuudesta että tietoturvaoperaatioista vastaavilla tiimeillä, väittää Oliver Simonnet, CultureAI:n johtava kyberturvallisuustutkija.
”Vaatimustenmukaisuuden ja hallintotoimintojen tulisi priorisoida sen arviointia, noudatetaanko käytäntöjä ja menettelyjä todella, jotta voidaan vähentää tekoälyn sisäisen käytön ja ulkoisen altistumisen vaikutuksia”, hän selittää IO:lle.
”Riskienhallinnan on parannettava kykyään arvioida, havaita ja ratkaista tietoturvaongelmia, olivatpa ne sitten tekoälyyn liittyviä tai perinteisiä, jotta voidaan maksimoida liiketoiminnan tekninen häiriönsietokyky. Toimittajien valvontamenettelyjen tulisi myös rutiininomaisesti tarkistaa toimittajien sopimukset, käytännöt ja ehdot sen varmistamiseksi, että heidän tietonsa ja yleinen riskialtistus pysyvät tiedossa ja ymmärrettyinä.”
Simonnetin mukaan vaatimustenmukaisuus voi myös auttaa varmistamalla selkeän vastuuvelvollisuuden, kolmannen osapuolen valvonnan sekä mitattavissa olevat toteutus- ja testaussuunnitelmat. ”Jos organisaatiot kehittävät ja testaavat sisäisesti työkaluja, joissa on integroituja tekoälyteknologioita, niitä tulisi kohdella etuoikeutettuna, riskialttiina infrastruktuurina, jolla on vahva näkyvyys, lokitiedot, korjauspäivitykset, käyttöoikeuksien hallinta ja suojausominaisuudet”, hän sanoo.
Ehkä ennen kaikkea tietoturvajohtajat eivät saa antaa tämän jäädä asialistan alapuolelle. Tekoäly on tullut jäädäkseen, ja sen vaikutus haavoittuvuuksien tutkimukseen ja hyödyntämiseen on kiistaton. CVE-uhkien määrä räjähtää. Avoimen lähdekoodin mallit tehostuvat jokaisen uuden julkaisun myötä. Kuten Simonnet väittää: ”organisaatioiden tulisi pyrkiä olemaan askeleen edellä nyt sen sijaan, että ne pitäisivät tekoälyn riskejä myöhemmin ratkaistavana asiana.”
Laajenna tietosi
Blogi: Siirtyminen "Pidä heidät poissa" -asetelmasta "Pidä liiketoiminta käynnissä" -asetelmaan
Podcast: Tietojenkalastelu ongelmanratkaisussa, kausi 2, jakso 5: Olet määräysten mukainen. Oletko joustava?
