Tuomiopäivän ennusteista huolimatta tekoäly ei ole tietoturvan loppu. Rikollisilta pitää suojautua entiseen tapaan, mutta vauhti kiihtyy, Eronen neuvoo.
Avaa kuvien katselu
Huhtikuun alussa tekoäly-yhtiö Anthropic ilmoitti, että sen uusi Claude Mythos -malli oli löytänyt tuhansia vakavia ohjelmistovirheitä. Yhtiö myös varoitti, että sen tekoäly osaa hyödyntää löytämiään ohjelmistovirheitä verkkohyökkäyksissä. Uutinen herätti nopeasti pelkoa siitä, että kehitys johtaa hallitsemattomiin tietoturvaongelmiin.
Anthropicin vanavedessä muutkin testaustyökaluja ja tekoälymalleja kehittävät yritykset ovat kilvan todistelleet, että myös heidän järjestelmillään pystyy löytämään ohjelmistovirheitä. Riippumattomat arviot tukevat osaa väitteistä.
Tekoälyn kehitys herättää pelkoa hallitsemattomista tietoturvaongelmista.
Julkistusten myötä tekoälyn vaarallisuus nousi puheenaiheeksi keskuspankkeja ja G7-maiden kokousta myöden. Jopa sääntelyyn nihkeästi suhtautuva Yhdysvallat alkoi pohtia tekoälykehityksen suitsimista.
Tämä ei ole kuitenkaan ensimmäinen kerta, kun tietotekniikan kehitys aiheuttaa suurta huolta. Olin vuosituhannen vaiheessa kehittämässä uusia testausmenetelmiä, joilla löysimme virheitä satojen valmistajien ohjelmistoista. Tällöin Yhdysvalloissa pelättiin, että al-Qaida käyttäisi ohjelmistovirheitä terroritekojen välineinä.
Monet asiantuntijat ovat myös kritisoineet Anthropicin Mythos-julkistusta markkinointitempauksena, jonka tarkoituksena oli saada yritykselle arvostusta ja uusia asiakkaita. Toki tuhannet löydetyt virheet kertovat myös perustavanlaatuisista ongelmista ohjelmistojen laadun varmistamisessa.
Vastoin yleistä käsitystä ohjelmistovirheet ovat yleisiä.
Koko maailma pyörii nykyisin ohjelmistoilla. Kymmenet miljoonat ohjelmistokehittäjät tuottavat päivittäin miljoonia rivejä uutta ohjelmakoodia.
Vastoin yleistä käsitystä ohjelmistovirheet ovat yleisiä. Eri asiantuntijoiden mukaan ohjelmistoihin jää laadunvalvonnan jälkeen huonoimmillaan noin kymmenen virhettä tuhatta koodiriviä kohti.
Se on paljon. Esimerkiksi Microsoft Windowsin uusimmassa ohjelmistoversiossa arvellaan olevan 50 -100 miljoonaa koodiriviä.
Niin ikään vastoin yleistä käsitystä – yksittäisen ohjelmistovirheen löytäminen ei ole vaikeaa. Virheitä löytää varmasti käyttämällä tarpeeksi aikaa, vaivaa ja hyviä työkaluja.
Tekoälyä voikin ajatella vain uudeksi työkaluksi ohjelmistojen tietoturvan tutkimiseen. Uusien työkalujen käyttö johtaa lähes aina uusien virheiden tai jopa uusien virhetyyppien löytämiseen. Viime aikoina raportoitujen ohjelmistovirheiden määrät ovat jopa moninkertaistuneet. Syyksi kasvuun on arvioitu juuri tekoälyn apu virheen etsimisessä.
Tekoälyyn voi myös suhtautua vain uutena työkaluna ohjelmistojen tietoturvan tutkimiseen
Silti tekoäly ei ole toistaiseksi paljastanut ohjelmistojen heikkouksista mitään täysin uutta ja ennennäkemätöntä. Parhaimmillaan tekoäly löytää ohjelmistovirheitä samalla tavalla kuin ihmisasiantuntija.
Sen tekoäly on saanut aikaan, että nyt on tullut entistäkin näkyvämmäksi, miten tietoturvaosaamisen niukkuus on ohjelmistoturvan pullonkaula: kaiken koodin turvallisuutta ei arvioida kattavasti.
Tulevaisuudessa ohjelmistojen turvallisuus riippuu siitä, alkavatko valmistajat käyttää tekoälyä virheiden etsimisen ohella myös niiden korjaamiseen. Tähän tulisi heti panostaa. Rikolliset eivät nimittäin jää arpomaan, käyttäisikö virhettä hyödykseen.
Valmistajien ja rikollisten kilpajuoksussa valmistaja voittaa, jos se pystyy korjaamaan ohjelmistovirheen, ennen kuin hyökkääjä keksii, miten sen avulla hyökätään. Tässä kilvassa valmistajilla on hyökkääjiin nähden kotikenttäetu.
Tietoturvalle on keskeistä, käytetäänkö tekoälyä virheiden etsimisen ohella myös niiden korjaamiseen.
Virheen korjaaminen on yleensä helpompaa ja nopeampaa kuin hyökkäysmenetelmän luominen. Eli uusinkaan tekoäly ei mullista sitä kissa hiiri leikki -asetelmaa, joka verkkorikollisten ja ohjelmakehittäjien välillä on vallinnut tähänkin asti. Vain eri toimenpiteiden nopeus ja rytmi kiihtyy, mutta edelleen pätee: tietoturvan perusasioista huolehtiminen on tärkeää.
Jos valmistaja ei itse etsi koodistaan virheitä, rikolliset tekevät sen. Virheiden löytäminen on halvempaa kuin niiden korjaaminen, mutta kovin hinta maksetaan silti aina siitä, että jättää korjaamisen tekemättä.
Keskittymällä virheiden korjaamiseen puolustaja pysyy tietoturvan kilpajuoksussa rikollisten edellä tekoälystä huolimatta. Tavalliselle käyttäjälle tämä näkyy vain yhä tihentyvinä ohjelmistopäivityksinä.
Jussi Eronen
Kirjoittaja ei ole vielä onnistunut korvaamaan omaa työpanostaan tekoälyllä.