01 heinä, 2026

Tietoturva Artikkeli

Tekoäly, uusi hyökkäyskohde

Sarjan ”Kun turvallisuus pettää ja luottamus murtuu” 2. artikkeli (5 osaa)

Tekoälyavustajat ovat nopeasti tulossa osaksi monien organisaatioiden perusinfrastruktuuria.

Ne liittyvät strategia-asiakirjoihin, asiakastietoihin ja sisäisiin prosesseihin. Tämä tekee niistä erittäin hyödyllisiä – mutta jos tietoturva ei ole kunnossa, ne ovat myös erittäin haavoittuvia.

Monet organisaatiot ottavat tekoälyn käyttöön nopeasti ja tehokkaasti. Harvempi esittää kriittisen kysymyksen:

Mihin tekoälyjärjestelmällä on oikeastaan pääsy ja kuka voisi hyödyntää sitä?

Miksi tällä on merkitystä juuri nyt

Tekoälyavustajilla on yhä laajempi pääsy organisaation tietoihin – asiakirjoista ja sähköposteista sisäisiin prosesseihin ja päätöksenteon perusteluihin.

Samalla hyökkääjät kehittävät omia tekoälytyökalujaan löytääkseen heikkouksia nopeammin kuin ihmiset ehtivät reagoida.

Tuloksena on uudenlainen hyökkäyskohde: kyse ei ole pelkästään järjestelmistä ja tiedoista, vaan organisaation omasta päätöksentekologiikasta.

Tekoälyn tietoturva ei ole sama asia kuin perinteinen sovellusturvallisuus

Monet tietoturva-alalla työskentelevät tuntevat hyvin perinteiset hyökkäystyypit, SQL-injektion, sivustojen välisen skriptauksen ja väärin määritetyt käyttöoikeudet. Tämä tieto on tärkeää ja säilyttää merkityksensä.

Tekoälyjärjestelmät tuovat kuitenkin mukanaan uudenlaisia haasteita, jotka vaativat erilaista ajattelutapaa.

Perinteinen sovellusturvallisuus	Tekoälyjärjestelmien tietoturva
Suojaa koodi ja tiedot	Suojaa koodi ja tiedotja päätöksentekologiikka
Tunnetut hyökkäystyypit (SQLi, XSS jne.)	Uudet tyypit: välitön syöttö, aineen väärinkäyttö
Toimintojen kirjaaminen	Vuorovaikutusten kirjaaminenja vastaukset
Käyttöoikeuksien hallinta käyttäjäkohtaisesti	Pääsyn hallinta roolin, kontekstin ja kyselyn mukaan
Riskien arviointi käyttöönoton yhteydessä	Jatkuva riskien arviointi tekoälyn oppiessa ja muuttuessa

Se, mikä tekee tekoälystä turvallisuuden kannalta erityisen haastavan, on se, että nämä ovat päätöksentekojärjestelmät. Jos tietopohja, tai järjestelmän toimintaperiaatteet, on vaarantunut, myös niihin perustuvat vastaukset ja päätökset ovat vaarantuneet. Kyse ei ole pelkästään teknisestä ongelmasta. Kyse on luottamuskysymyksestä.

Tekoälyn käyttöönoton yleisimmät tietoturvaongelmat

NetNordicin tekoälyjärjestelmien tietoturva-arvioinneissa havaitsemme samojen kaavojen toistuvan. Ne ovat harvoin dramaattisia. Ne johtuvat tyypillisesti siitä, että tekoäly on otettu käyttöön nopeasti ja tietoturvatarkastus on tullut liian myöhään.

Yleisimmät tekniset puutteet:

Liian laajat käyttöoikeudet – vähimmäisoikeuksien periaatetta ei ole noudatettu
Suojattomat API-liittymäpisteet ilman riittävää todennusta
Järjestelmän kehotteet ja ohjeet on tallennettu ilman käyttöoikeuksien hallintaa
Käyttäjien järjestelmälle esittämiä kyselyjä ei tallenneta eikä seurata

Myös organisaation puutteet ovat yhtä yleisiä:

Uusi tekoälytekniikka otettiin käyttöön ilman etukäteen tehtyä riskinarviointia
Tietoja ei luokiteltu ennen kuin tekoälylle annettiin pääsy järjestelmiin
Ei ole selvää, kuka organisaatiossa ”vastaa” tekoälyratkaisun tietoturvasta
Tavallisiin tietoturvatesteihin sisältymättömät tekoälyjärjestelmät

Tärkeä huomautus:

Suurin osa havaitsemistamme tekoälyn tietoturvaongelmista ei johdu sisäpiirin pahantahtoisuudesta.

Ne johtuvat siitä, että joku otti käyttöön tehokkaan työkalun – miettimättä kunnolla, mihin kaikkeen sillä oli pääsy.

Tekoäly vastaan tekoäly: laadullinen muutos uhkaympäristössä

Edellisessä artikkelissa kerroimme tapauksesta, jossa erään kansainvälisen asiantuntijapalveluyrityksen sisäinen tekoälyavustaja joutui tietomurron kohteeksi. Tärkeää ei ole pelkästään mitä tapahtui, mutta miten.

Hyökkäystä ei toteuttanut hakkeri, joka olisi testannut järjestelmää manuaalisesti. Sen suoritti itsenäisesti toimiva tekoälypohjainen hyökkäystyökalu, joka tunnisti kohteet, analysoi hyökkäyskohteet ja hyödynsi haavoittuvuuksia täysin ilman ihmisen puuttumista asiaan. Koko prosessi kesti alle kaksi tuntia.

Tämä ei ole pelkkä hypoteettinen skenaario. Kyberhyökkäykset lisääntyivät Ruotsissa 30 prosenttia ja DDoS-hyökkäykset jopa 466 prosenttia sen jälkeen, kun Ruotsi hyväksyttiin Naton jäseneksi, sama kehitys kuin Suomessa sen liittyessä liittokuntaan vuonna 2023. FraudGPT:n kaltaisia työkaluja, generatiivista tekoälyä hyödyntäviä työkaluja, jotka on kehitetty phishing-hyökkäysten ja harhaanjohtavien kampanjoiden luomiseen, käytetään jo aktiivisesti koko alueella.

Tämä merkitsee laadullista muutosta uhkakuvassa:

→ Hyökkäysnopeus kasvaa räjähdysmäisesti – ihmisen reaktioaika ei enää riitä

→ Kehittyneiden hyökkäysten kynnys on laskemassa jyrkästi. Se, mikä aiemmin vaati asiantuntemusta ja aikaa, voidaan nyt automatisoida

→ Hyökkääjät hyödyntävät jo tekoälyä heikkouksien etsimiseen. Siksi organisaatioiden tulisi käyttää samaa tekniikkaa omien järjestelmiensä testaamiseen

Tämä ei ole tulevaisuuden riski. Se tapahtuu juuri nyt – ja se kohdistuu organisaatioihin, jotka eivät usko olevansa tarpeeksi kiinnostavia kohteita.

Kun tekoäly pääsee käsiksi organisaation tietoihin ja prosesseihin, siitä tulee myös osa hyökkäyskohteita. Kysymys ei ole pelkästään siitä, mitä tekoäly voi tehdä sinun hyväksesi – vaan siitä, mitä joku voisi saada tekoälyn tekemään sinua vastaan.

Stian Lysnes, johtava tietoturvakonsultti, NetNordic

Pohjoismaiden luottamuspula

Tietoevryn raportin ”Nordic Cyber Resilience Report 2024” luvut ovat silmiinpistäviä: 54 prosenttia organisaatioista Suomessa ja Ruotsissa ilmoitti kokeneensa vähintään yhden vakavan kyberhyökkäyksen kuluneen vuoden aikana. Lähes yhdeksän kymmenestä arvioi hyökkäysten määrän kasvavan edelleen, mutta vain 32 prosenttia luottaa organisaationsa kykyyn havaita ja reagoida tietoturvaloukkauksiin.

Juuri tuossa kuilussa, altistumisen ja varautumisen välissä, tekoälyyn liittyvät haavoittuvuudet jäävät useimmiten pisimpään huomaamatta. Tekoälyjärjestelmä, jonka tietoturva on vaarantunut huomaamatta, ei laukaise perinteisiä tietoturvahälytyksiä. Se alkaa yksinkertaisesti antaa hienovaraisesti virheellisiä vastauksia.

54 %
pohjoismaisista organisaatioista koki viime vuoden aikana vähintään yhden vakavan kyberhyökkäyksen (Tietoevry, 2024)

32 %
luottavat kykyynsä havaita ja reagoida poikkeustilanteisiin (Tietoevry, 2024)

87 %
hyökkäysten määrän odotetaan kasvavan entisestään tulevina vuosina (Tietoevry, 2024)

Tekoälyjärjestelmien sisäänrakennettu turvallisuus: mitä se tarkoittaa käytännössä

Ratkaisu ei ole tekoälyn käyttöönoton keskeyttäminen. Ratkaisu on sen oikea toteuttaminen.

Suunnitteluvaiheessa huomioitu turvallisuus tarkoittaa, että turvallisuus arvioidaan ja sisällytetään järjestelmäänennen järjestelmä otetaan käyttöön, eikä sitä siivota jälkikäteen. Tekoälyjärjestelmien osalta tämä tarkoittaa:

Organisaatiotoimenpiteet	Tekniset toimenpiteet
Luokittele tiedot ennen kuin tekoälylle annetaan pääsy niihin	Vähimmäisoikeuksien periaatetta sovelletaan johdonmukaisesti
Määritä tekoälyratkaisujen tietoturvavastuu	Käyttöoikeuksien jakautuminen roolin ja tarpeen mukaan
Riskien arviointi ennen uusien tekoälytyökalujen käyttöönottoa	API-päätelaitteiden järjestelmällinen testaus
Koulutus tekoälytyökalujen turvalliseen käyttöön	Tekoälyn vuorovaikutusten kirjaaminen ja seuranta

Molemmat osa-alueet ovat välttämättömiä. Teknisiä toimenpiteitä ei pystytä ylläpitämään ilman organisaation sitoutumista. Ja organisaation prosessit ilman teknistä toteutusta tuottavat vain turhaa turvallisuuden tunnetta.

NetNordicilla autamme organisaatioita tekoälyn tietoturva-arvioinneissa, tietojen luokittelussa, käyttöoikeuskäytännöissä sekä tekoälyratkaisujen tunkeutumistestauksessa, sillä olemme vakuuttuneita siitä, että tekoälyä voidaan ottaa käyttöön turvallisesti.

Viisi kysymystä, joihin johdon tulisi osata vastata tekoälystä organisaatiossa

Riippumatta siitä, mitä tekoälytyökaluja organisaatiossasi käytetään, olipa kyseessä sitten sisäiset työkalut tai kolmansien osapuolten tarjoamat ratkaisut, nämä ovat hyvä lähtökohta:

VIISI KYSYMYSTÄ, JOIHIN JOHDON PITÄISI OSATA VASTATA ORGANISAATION TEKOÄLYSTÄ

1.Mihin tietoihin tekoälyjärjestelmillä on pääsy – ja onko kaikki tämä pääsy välttämätöntä?

2.Kuka voi tehdä kyselyjä järjestelmään, ja mitä vastauksia se voi antaa?

3.Onko järjestelmän ohjeet (järjestelmän kehotteet) tallennettu turvallisesti ja testattu?

4.Kirjataanko ja analysoidaanko vuorovaikutusta tekoälyjärjestelmien kanssa?

5.Sisältyvätkö tekoälyratkaisut organisaation säännöllisiin tietoturvatesteihin?

Jos et osaa vastata kaikkiin viiteen kysymykseen, se on vahva peruste arvioinnin tekemiselle. Ei siksi, että organisaatio olisi välttämättä haavoittuvainen. Vaan siksi, että sinun pitäisi tietää.

Tekoäly ei ole ongelma, ongelmana on puuttuva turvallisuusnäkökulma

Organisaatiot, jotka ottavat tekoälyn käyttöön turvallisesti ja kestävästi, eivät tee mitään salaperäistä. Ne toimivat samalla tavalla kuin ovat aina toimineet kriittisten järjestelmien kohdalla: arvioivat riskejä, luokittelevat tietoja, testaavat toteutuksia ja seuraavat käyttöä.

Tätä kutsumme nimellä ”Security by Design”, se on digitaalisen luottamuksen perustan ensimmäinen osa.

Seuraavassa artikkelissa tarkastelemme toista osa-aluetta: verkkoarkkitehtuuria ja segmentointia. Sillä jopa parhaankin tekoälypohjaisen tietoturvaohjelman taustalla on oltava vankka verkkoarkkitehtuuri.

Onko organisaationne tekoälyratkaisuja arvioitu tietoturvan näkökulmasta?

Ota yhteyttä, niin neuvonantajamme arvioivat tilanteesi ilman sitoumuksia.

→ netnordic.com/contact

Lue koko sarja: ”Kun turvallisuus pettää ja luottamus murtuu”

1. Kun kyberhyökkäys johtaa mainekriisiin

2. Tekoäly, uusi hyökkäyskohde (tämä artikkeli)

3. Segmentointi, verkko, joka pysäyttää hyökkäyksen

4. Testaa järjestelmäsi, ennen kuin hyökkääjät ehtivät tehdä sen

5. Turvallisuus on johdon vastuulla

Lähteet ja viitteet

Tietoevry: Pohjoismainen kyberturvallisuusraportti 2024
McKinsey: Pohjoismainen kyberturvallisuus – alueen seuraava veturi, 2025
ENISA: Uhkakuva 2024
Nordic Cyber Group: Kyberturvallisuuden trendit vuonna 2024 – Pohjoismaat ja laajemmin EU-alueet (FraudGPT-viite)
OWASP: Suurten kielimallisovellusten 10 suurinta riskiä, 2025
NetNordicin tietoturva-arvioinnit ja asiakastapaukset, 2024–2025
Anonymisoitu tapaus: kansainvälinen asiantuntijapalveluyritys, 2025