Sofia MäkinenAnthropic löytää ohjelmistovirheitä tekoälyllä – mitä suomalaisten yritysten johtajien pitää nyt tietää?
Tekoälyyhtiö Anthropic ilmoitti 7. huhtikuuta 2026 käynnistävänsä Project Glasswing -hankkeen, jonka tarkoituksena on käyttää uutta Claude Mythos -tekoälymallia löytämään kriittisiä ohjelmistohaavoittuvuuksia. Malli löysi muutamassa viikossa tuhansia niin kutsuttuja zero-day-haavoittuvuuksia, mukaan lukien 27 vuotta vanha virhe OpenBSD-käyttöjärjestelmässä. Mitä tämä kehitys merkitsee suomalaisille organisaatioille?
Claude Mythos löysi haavoittuvuuksia, joita ei ole löydetty vuosikymmeniin
Anthropicin uusi tekoälymalli Claude Mythos on osoittautunut poikkeuksellisen tehokkaaksi tietoturvaheikkouksien etsijäksi. Mallin esiversio löysi TechCrunchin mukaan huhtikuussa 2026 tuhansia kriittisiä haavoittuvuuksia kaikista suurista käyttöjärjestelmistä ja selaimista. Joukossa oli virheitä, jotka ovat piileskelleet koodissa vuosikymmeniä – mukaan lukien lähes kolme vuosikymmentä vanha tietoturvaongelma OpenBSD:ssä, käyttöjärjestelmässä, jota pidetään erityisen tietoturvapainotteisena.
Löydös on merkittävä: jos tekoäly pystyy löytämään näin vanhoja ja piilossa olleita haavoittuvuuksia nopeasti, tarkoittaa se myös, että haitantekijät voivat tulevaisuudessa hyödyntää vastaavia malleja hyökkäysten rakentamiseen.
Project Glasswing – tekoälyn rajoitettu käyttöönotto turvallisuussyistä
Anthropic reagoi löydöksiin perustamalla Project Glasswing -hankkeen. Hanke sallii tiukan seulan läpäisseille organisaatioille, kuten Amazonille, Applelle, Microsoftille, Googlelle ja JPMorganille, käyttää Mythos-mallia puolustukselliseen tietoturvatyöhön. Lisäksi yli 40 kriittistä ohjelmistoinfrastruktuuria rakentavaa tai ylläpitävää organisaatiota on saanut rajoitetun pääsyn malliin.
Anthropic on selittänyt päätöstä sillä, että malli on niin tehokas, että se voisi väärinkäytettynä mahdollistaa laajamittaisia tekoälypohjaisia kyberhyökkäyksiä. CNBCn mukaan Anthropic on huolissaan, että Mythos voi kasvattaa merkittävästi kyberiskujen todennäköisyyttä vuoden 2026 aikana.
Mitä tämä tarkoittaa suomalaisille yrityksille?
Suomi on yksi Euroopan digitalisoituneimmista maista. Suomalaisten yritysten käyttämä ohjelmisto ei poikkea kansainvälisistä standardeista: Windows, Linux, erilaiset pilvipalvelut ja avoimen lähdekoodin kirjastot ovat kaikkialla. Jos Claude Mythos löysi haavoittuvuuksia kaikista suurimmista käyttöjärjestelmistä, nämä haavoittuvuudet koskevat myös suomalaisia järjestelmiä.
Tietoturva-asiantuntijoiden mukaan yritysten tulee nyt toimia kahdella rintamalla:
Ensiksi: Ohjelmistopäivitykset on otettava vakavasti. Mytosin löytämät zero-day-haavoittuvuudet tulevat korjausten myötä julkiseksi tiedoksi. Kun haavoittuvuuden olemassaolo tulee yleiseen tietoon, sen hyödyntäminen muuttuu triviaaliseksi. Jokainen päivittämätön järjestelmä on mahdollinen kohde.
Toiseksi: Tekoälypohjaisten hyökkäystyökalujen demokratisoituminen. Vaikka Anthropic itse rajoittaa Mytosin käyttöä, kilpailevat toimijat kehittävät vastaavia malleja ilman samoja rajoituksia. Suomalaistenkin yritysten on varauduttava siihen, että kyberrikollisilla on käytössään yhä kehittyneempiä automaattisia haavoittuvuuksien etsijöitä.
Milloin suomalaisen yrityksen kannattaa kääntyä IT-asiantuntijan puoleen?
Kaikki organisaatiot eivät tarvitse päivittäistä tietoturva-asiantuntijaa. On kuitenkin tilanteita, joissa ulkopuolinen IT-asiantuntija on välttämätön:
Ohjelmistopäivityksiä on laiminlyöty. Jos järjestelmissä on pitkä päivityshistoria ilman säännöllistä ylläpitoa, kriittisiä haavoittuvuuksia on todennäköisesti olemassa. Asiantuntija voi tehdä kattavan auditoinnin.
Yritys käsittelee arkaluonteisia tietoja. Terveydenhuolto, lakipalvelut, finanssisektori ja julkinen hallinto ovat erityisen suosittuja hyökkäyskohteita, koska niissä käsitellään arvokasta dataa.
Yritys on siirtymässä pilveen tai ottamassa käyttöön uusia järjestelmiä. Teknologiamurrokset ovat tyypillinen hetki, jolloin haavoittuvuudet lisääntyvät hallitsemattoman monimutkaisuuden vuoksi.
Tietoturvatapahtuma on jo tapahtunut. Jälkiselvittelyssä asiantuntijan osaaminen on välttämätön, jotta vastaavat tapahtumat voidaan estää.
Artikkeli ChatGPT muuttaa suomalaista työelämää: mitä IT-asiantuntija neuvoo? käsittelee laajemmin, miten suomalaiset yritykset voivat parhaiten hyödyntää tekoälyä – ja milloin tarvitaan ammattilaista.
EU:n kyberturvallisuusasetus tuo lisävaatimuksia 2026
Suomalaiset yritykset eivät toimi tietoturvakysymyksissä tyhjiössä. EU:n NIS2-direktiivi (Network and Information Systems Directive 2) asetti uudet velvoitteet keskeisille toimijoille jo vuonna 2024, mutta valvonta tiukkenee edelleen vuonna 2026. Direktiivi koskee entistä laajempaa joukkoa yrityksiä ja organisaatioita.
NIS2 velvoittaa organisaatioita raportoimaan merkittävistä tietoturvatapahtumista 24 tunnin sisällä ja ryhtymään välittömiin korjaustoimenpiteisiin. Laiminlyönneistä voidaan määrätä merkittäviä sakkoja – jopa 10 miljoonaa euroa tai 2 prosenttia vuotuisesta liikevaihdosta.
Suomen Kyberturvallisuuskeskus ylläpitää ajantasaisia ohjeita yrityksille NIS2-vaatimuksista osoitteessa kyberturvallisuuskeskus.fi.
Mitä käytännössä tehdä nyt?
Suomalaisten pienten ja keskisuurten yritysten ei tarvitse panikoida, mutta toimia kannattaa. Tarkista ohjelmistopäivitysten ajantasaisuus, arvioi käytössä olevat pilvipalvelut ja niiden tietoturvakäytännöt, sekä selvitä, vaatiiko NIS2-direktiivi organisaatioltasi erityisiä toimia.
Mikäli IT-arkkitehtuuri on monimutkainen tai epäselvä, Expert Zoomin kautta voit löytää pätevän IT-tietoturva-asiantuntijan, joka voi tehdä riippumattoman auditoinnin. Anthropicin Mytosin kaltaiset mallit muuttavat tietoturvakenttää pysyvästi – proaktiivinen lähestymistapa on nyt tärkeämpää kuin koskaan aiemmin.
Huomio: Tietoturva-asiat voivat olla monimutkaisia ja kontekstikohtaisia. Tämä artikkeli on yleinen katsaus, ei tekninen tai oikeudellinen neuvonta. Ota yhteyttä ammattilaiseen organisaatiosi erityistilanteiden arvioimiseksi.
Tekoäly tietoturvassa: mahdollisuus vai uhka suomalaiselle yritykselle?
Antropicin Project Glasswing kuvaa hyvin tekoälyn kaksiteräistä luonnetta tietoturvan kontekstissa. Sama malli, joka löytää haavoittuvuuksia puolustaakseen järjestelmiä, voisi väärissä käsissä olla ase hyökkäyksiä varten. Tämä ei ole uutta tietotekniikassa – mutta tekoälyn myötä vastakkaisten voimien välinen nopeus ja skaala kasvaa eksponentiaalisesti.
Suomalaisille yrityksille tämä tarkoittaa, että reaktiivinen tietoturva ei enää riitä. Kun kyberhyökkäykset automatisoidaan tekoälyn avulla, hyökkäysten määrä ja kohdentuminen kasvavat samaan aikaan. Pienen yrityksen ei tarvitse olla erityisen houkutteleva kohde päästäkseen automatisoitujen haavoittuvuusskannerien listalle.
Proaktiivinen asenne tarkoittaa konkreettisesti: säännölliset tietoturva-auditoinnit, henkilöstön koulutus tietoturvatietoisuudesta, selkeä vastuunjako tietoturvatapahtumissa sekä ajantasainen varasuunnitelma häiriötilanteita varten.
Hyvä uutinen on, että Suomessa on vahva IT-asiantuntijakanta. Expert Zoom kokoaa yhteen yritysturvallisuuteen perehtyneitä IT-ammattilaisia, jotka tuntevat myös suomalaisen lainsäädäntöympäristön ja NIS2-velvoitteet. Oikean asiantuntijan löytäminen ei vaadi pitkiä hakuprosesseja.
Vertailua: kuinka suomalaiset yritykset sijoittuvat tietoturvakypsyydessä?
EU:n kyberturvallisuusvirasto ENISA:n raporttien mukaan pk-yritykset ovat edelleen tietoturvaketjun heikoin lenkki Euroopassa. Monet yritykset investoivat tietoturvaan vasta, kun jokin on jo mennyt pieleen. Anthropicin Mytosin kaltaiset kehitykset muistuttavat, että ajatus "meihin ei hyökätä, olemme liian pieni" on vanhentunut – automaatio tekee hyökkäämisestä yhtä kallista pieneen kuin suureen yritykseen.
Suomalainen IT-kenttä on kuitenkin reagoinut vahvasti NIS2:n vaatimuksiin. Monet tietoturvatoimistot ovat kehittäneet selkeitä paketteja pk-yritysten tarpeisiin: perusauditointi, koulutukset henkilöstölle ja jatkuvan seurannan ratkaisut ovat saatavilla eri budjeteille.
