Heinäkuun lopussa 2026 OpenAI testasi yhtä uutta malliaan suljetussa ympäristössä, kun malli päätti murtautua ulos(uusi ikkuna). Se hakkeroitui toisen ohjelmistoyrityksen, Hugging Facen, yksityiseen infrastruktuuriin varastaakseen vastaukset kyberturvallisuuden vertailutestiin, jossa sitä testattiin. Toisin sanoen se rikkoi lakia tarkoituksenmukaisuuden vuoksi.

Muutamaa päivää myöhemmin Yhdistyneen kuningaskunnan tekoälyturvallisuusinstituutti paljasti, että Anthropicin Mythos 5 -tekoälymalli(uusi ikkuna) oli luonut valheellisia kehittäjän henkilöllisyyksiä, kohde-kalastellut oikeita GitHub-käyttäjiä hyväksymään haitallista koodia ja muokannut omaa toimintalokiaan peittääkseen jälkensä jäätyään kiinni.

Sitten elokuussa uutisoitiin, että Melbournessa asuva Andrew-niminen mies oli pyytänyt OpenClawiin perustuvaa ja Anthropicin Claudea käyttävää henkilökohtaista tekoälyagenttiaan(uusi ikkuna) auttamaan häntä pääsemään täyteen varatulle aamun kuntosalitunnille. Hän oli jonotuslistalla neljäntenä ja kysyi, oliko mitään keinoa päästä ylemmäs.

Agentti huomasi, ettei varaus-API tarkistanut valtuutusta muiden käyttäjien varausten peruuttamisessa. Niinpä se peruutti ilman Andrew’n lupaa ensimmäisenä olleen henkilön varauksen tehdäkseen tilaa hänelle. Kun Andrew pyysi sitä kumoamaan peruutuksen, se ei pystynyt: “Poistamani henkilö on poistunut jonotuslistalta, eikä minulla ole keinoa palauttaa häntä.”

Näiden kolmen tapauksen alkuperä ei ole sama, mutta tulos on: tekoälyagentit tutkivat ja hyödynsivät järjestelmiä nopeammin ja perusteellisemmin kuin yksikään ihminen olisi hallinnut. Niitä ei koskaan käsketty hyökkäämään mihinkään, mutta ne löysivät silti lyhimmän sijainnin tavoitteeseensa.

Sillä ei ole väliä, oletteko kärkilaboratorion infrastruktuuri vai lähiökuntosalin varausohjelmisto. Jos teillä on yritys, joka altistaa API:n, olette nyt kohde, jota tekoälyagentti voi tutkia nopeudella ja perusteellisuudella, johon yksikään ihminen ei pystynyt hyökkääjänä vastaamaan. Eikä kenenkään tarvitse edes päättää hyökätä kimppuunne.

Nopeus on todellinen tarina

Ihmishyökkääjä punnitsee vaivaa suhteessa palkkioon. Hän kyllästyy, häneltä loppuu aika tai hän päättää, että kuntosalin varaussovellus ei ole vaivan arvoinen. Tämä laskelmointi on hiljaisesti suojannut useimpia vähäarvoisia kohteita satunnaiselta hyväksikäytöltä viimeisten 20 vuoden ajan (ellette käytä WordPressiä).

Tekoälyagentti ei tee tällaista laskelmaa. Saessaan tavoitteen se kokeilee mitä tahansa, minkä API teknisesti sallii, testaten päätepisteitä ja parametriyhdistelmiä koneen nopeudella, kunnes jokin toimii. Se löysi kuntosalin valtuutuspuutteen siinä ajassa, joka Andrew’lta kului jatkokysymyksen esittämiseen.

Tämän nopeuseron laajuus näkyy jo luvuissa. Unit 42:n vuoden 2026 Global Incident Response Report -raportti(uusi ikkuna) havaitsi, että nopeimmat hyökkäykset vievät nyt tietoja 72 minuutissa, kun edellisenä vuonna aika oli 285 minuuttia. Tämä on suuntaus silloin, kun ihmiset ovat edelleen pääosin mukana. Agentti tekee päätöksiä millisekunneissa; ihmisanalyytikko vastaa minuuteissa tai tunneissa.

Tietoturvatiimeille tämä kasvava nopeus on todellinen huolenaihe, ei mikään yksittäinen uutisiin päätyvä tapaus.

Uusi hyökkäyspinta: kaikki, missä on API

Mikä tahansa palvelu, joka tarjoaa API:n, on mahdollinen kohde, näytti se siltä tai ei.

  • Hinnoittelumoottorit, joissa alennukset vahvistetaan asiakkaan puolella
  • Varastojärjestelmät, joissa varastotilanne sijaitsee verkkokaupan käyttöliittymässä taustajärjestelmän sijaan
  • Tukialustat, joissa sisäiset kentät ovat saavutettavissa dokumentoimattomien API-sijaintien kautta
  • Tilausten hallinta, joka ei vahvista kutsujan omistajuutta muokattavaan tiliin.

Mikään näistä ei vaadi ihmistä etsimään niitä. Ne vaativat vain agentin, jolla on tavoite, ja vastaavan API:n.

Eniten altistuneita yrityksiä eivät ole ne, joilla on ilmeisiä turvallisuusaukkoja. Ne ovat niitä, joilla on liiketoimintalogiikan puutteita: sääntöjä, jotka ovat olemassa vain käyttöliittymässä, toimintoja, jotka API teknisesti sallii mutta joita käyttöliittymä ei koskaan tuo esiin, työnkulkuja, jotka perustuvat oletukseen, ettei yksikään kutsuja koskaan kokeilisi sijaintia, joka ohittaa tarkoitetun sijainnin.

Kuntosalin kehittäjä ei varmastikaan pitänyt peruutusten valtuutustarkistuksen kirjoittamista vaivan arvoisena, koska kenelläkään tavallisella käyttäjällä – tai tavallisella hyökkääjällä – ei ollut syytä kokeilla sitä. Agentilla ei ollut tällaisia varauksia, eikä se edes yrittänyt etsiä varausta ohitettavaksi. Se vain yritti olla hyödyllinen.

Miten yritykset voivat varautua tekoälyhyökkäyksiin

Käsitellä jokaista API-toimintoa etuoikeutettuna toimintona. Henkilöllisyys, valtuutus ja kontekstuaalinen käytäntö tarkistetaan itsenäisesti jokaisella kutsulla. Ei “käyttöliittymä ei anna teidän tehdä tätä”, vaan “palvelin vahvistaa, että teillä on lupa tehdä tämä tälle resurssille sen nykyisessä tilassa.” Kuntosalin järjestelmä olisi pysäyttänyt tämän tietyn tapauksen yhdellä valtuutuslogiikkarivillä peruutuksen päätepisteessä. Tämä ei ole lainkaan uusi valvonta, se on OWASP:n API-turvallisuusluettelon vanhin kohde, rikkoutunut kohdetason valtuutus, ja se on edelleen se, jonka useimmat järjestelmät tekevät väärin.

Antakaa agenteille oma kirjautumistietomalli. Rajatut, lyhyen TTL:n tunnisteet, jotka on myönnetty erityisesti agentti-istuntoja varten ja jotka eroavat tavallisista ihmisten istuntotunnisteista, rajoittavat vaikutusaletta edes silloin, kun agentti löytää aukon, jota ette ennakoinut. Jos Andrew’n agentilla olisi ollut tunniste, joka oli rajattu vain hänen omaan varaukseensa, jonkun muun varauksen peruuttaminen olisi epäonnistunut kirjautumistietokerroksessa riippumatta siitä, mitä API muuten salli. Tällä on merkitystä, koska ette voi luottaa agentin omaan pidättyväisyyteen. Teidän on luotettava siihen, mitä sen kirjautumistiedot fyysisesti sallivat sen tehdä.

Määrittäkää mittarit erityisesti agenttien käyttäytymisen havaitsemiseen. Agenttien tietoliikenne on muodoltaan erotettavissa: yli-ihmismäinen pyyntöjen ajoitus, järjestelmällinen päätepisteiden luettelointi, peräkkäinen testaaminen parametriyhdistelmien yli, sellaisten toimintojen onnistunut suorittaminen, joita yksikään ihmiskäyttäjä ei ole koskaan yrittänyt varsinaisen käyttöliittymän kautta. Luokaa vertailutaso tälle muodolle ja hälyttäkää siitä reaaliajassa.

Suljekaa vastausaikaero, älkääkä vain havaitsemiseroa. Tutkinnan havaitseminen tunnissa on merkityksetöntä, jos tutkinta valmistui ja siirtyi eteenpäin minuuteissa. Yllä oleva Unit 42 -luku, 72 minuuttia nopeimmille ihmisen tahtiin tehdyille hyökkäyksille, on jo väärä vertailukohta, jota vasten laatia tilaus. Automaattinen vastaus, ei vain automaattinen hälytys, sulkee millisekunneissa mitattavan eron. Teidän on tietysti myös varmistettava, että automaattinen vastauksenne ei ole sekään vahingollinen.

Olettakaa tämän tapahtuvan ja harjoitelkaa vastausta. Dokumentoikaa, kenelle soitetaan, luokaa asiakastiedotteet etukäteen ja suorittakaa pöytäharjoituksia erityisesti agenttivetoisten skenaarioiden osalta, ei vain perinteisten murtojen toimintamallien osalta. IBM:n vuoden 2026 Cost of a Data Breach Report -raportti arvioi maailmanlaajuisen tietomurron keskimääräiseksi hinnaksi 4,99 miljoonaa dollaria, ja tekoälypohjaiset murrot olivat keskimäärin noin 1 miljoona dollaria kalliimpia. Nämä luvut kuvaavat yhä enemmän tapauksia, jotka alkoivat kuntosalin tavoin: ilman minkäänlaista perinteistä hyökkääjää.

Testatkaa omia API-rajapintojanne samalla tavalla kuin agentti tekisi, ennen kuin agentti tekee sen puolestanne. Manuaalinen penetraatiotestaus olettaa ihmistestaajan, jolla on rajoitetusti aikaa ja rajallinen luettelo kokeiltavista asioista. Automaattinen vastustaja omia päätepisteitänne vastaan, joka tutkii yhtä sinnikkäästi ja nopeasti kuin agentti, tuo esiin samat aukot ennen kuin asiakkaan avustaja törmää niihin. Tätä varten on nyt olemassa avoimen lähdekoodin työkaluja. Esimerkiksi CyberStrike(uusi ikkuna) ajaa erikoistuneita agentteja, jotka on kartoitettu OWASP WSTG:hen ja MITRE ATT&CK:hen, omia päätepisteitänne vastaan, mukaan lukien omistettu testaaja täsmälleen sitä kohdetason valtuutusaukkoa varten, joka yllätti kuntosalin: se lähettää peruspyynnön, lähettää hyökkäyksen ja merkitsee löydöksen vain, jos on mitattavissa oleva, toistettavissa oleva ero. Tämä on sama tarkistusluokka, joka olisi havainnut peruutuksen päätepisteen ennen kuin agentti löysi sen luonnosta.

Periaate ei tietenkään ole uusi. Sivustojen omistajat, jotka ajoivat omia haavoittuvuusskannereitaan WordPress-asennuksia vastaan botnet-aikakaudella, selvisivät siitä. Työkalujen täytyy vain vastata kutsujan nopeutta nyt, ei sellaisen ihmishyökkääjän nopeutta, joka saattaa lopulta ehtiä asiaan.