Tekoälyn voimistamat kyberuhat: vaikutukset rahoitusvakauteen

Ilmiön tausta

Keväällä 2026 kiihtyi keskustelu siitä, kuinka kehittyneet tekoälymallit löytävät haavoittuvuuksia eri järjestelmistä ja lisäävät kyberuhkia.¹ Anthropicin Claude Mythos Preview -malli annettiin valikoidulle joukolle teknologia-, tietoturva- ja rahoitusalan toimijoita käytettäväksi ohjelmistojen turvallisuuden parantamiseen (Project Glasswing²). Myös OpenAI julkaisi vuoden alkupuoliskolla tietoturvaan erikoistuneita tekoälymalleja ja kumppaniohjelmia.³ Tietoturvahuolet saivat Yhdysvaltojen hallinnon asettamaan ja sittemmin purkamaan käyttörajoituksia uusimmille malliversioille.⁴

Kyky löytää haavoittuvuuksia seuraa näiden tekoälymallien edistyneistä kyvyistä ymmärtää ja muokata monimutkaista ohjelmistokoodia. Kyvyn voi odottaa yleistyvän nopeasti myös muiden kuin yhdysvaltalaisten valmistajien kielimallipohjaisissa tekoälytuotteissa ja työkaluissa vuosien 2026–2027 aikana. Kiinan arvioidaan olevan nopea seuraaja tällä alueella.⁵

Kehityksellä on kaksi vastakkaista seurausta ohjelmistojen turvallisuudelle. Ohjelmistojen ja kriittisen infrastruktuurin turvallisuudesta vastaavat tahot saavat työkalun, jolla heikkoudet voidaan löytää ja korjata aiempaa nopeammin ja kattavammin. Työkalujen vaikutus kybertoimintaympäristön turvallisuuteen on siten selvästi myönteinen. Samalla vastaava kyky on väistämättä myös rikollisten ja valtiollisesti tuettujen toimijoiden ulottuvilla, ja on syytä olettaa, että nämä toimijat käyttävät työkalujaan samoihin tarkoituksiin kuin nytkin: geopoliittisten vastustajien vakoiluun, kriittiseen infrastruktuuriin tunkeutumiseen, tuhotöihin osana kansainvälisiä kriisejä sekä yritysten kiristämiseen ja muihin taloudellista etua tavoitteleviin toimiin. Lyhyellä aikavälillä hyöty voi kallistua väärinkäyttäjien puolelle, mikäli tärkeimpiä ohjelmistojamme ei voida turvata ajoissa.

Ohjelmistohaavoittuvuuksien mittakaava

Useimmat tuotteet ja palvelut sisältävät niin paljon ohjelmakoodia, ettei kaikkia haavoittuvuuksia ole pystytty tunnistamaan luotettavasti aiemmilla testaustyökaluilla. OpenAI:n julkisen koodin projekteilla tekemän analyysin mukaan karkeasti arvioiden noin prosentti koodimuutoksista tuo mukanaan jonkinlaisen virheen.⁶ Osa näistä virheistä on tietoturvahaavoittuvuuksia. Tämän vuoksi jopa avoimen lähdekoodin projekteissa on edelleen vuosikymmeniä vanhoja vakavia haavoittuvuuksia.

Julkisiin haavoittuvuuskantoihin kirjattiin vuonna 2025 noin 49 000 uutta haavoittuvuutta.⁷ Valtaosa näistä ei ole vakavia. Vakavimpia ovat haavoittuvuudet, joita hyökkääjät ehtivät käyttää ennen kuin niihin on saatavilla korjaus (ns. nollapäivähaavoittuvuus ja -hyökkäys). Googlen uhkatiedusteluyksikkö havaitsi 90 tällaisen haavoittuvuuden aktiivista hyväksikäyttöä vuonna 2025; vuonna 2024 vastaava luku oli 78.⁸ Hyökkääjät kohdistivat lähes puolet vuoden 2025 tapauksista yritysten käyttämiin alustateknologioihin, erityisesti verkko- ja tietoturvalaitteisiin. Syy on looginen: yhden tällaisen laitteen murtaminen avaa pääsyn laajaan järjestelmäkokonaisuuteen. Esimerkiksi verkon reunalaitteiden tehokas tietoturvavalvonta⁹ edellyttää erilaista teknologiaa kuin työntekijöiden päätelaitteiden, eikä vastaavaa valvontakykyä useimmissa reunalaitteissa ole ¹⁰, mikä on osaltaan myötävaikuttanut ilmiöön.

Haavoittuvuuksia hyödyntävät valtiolliset toimijat ja ammattimaiset rikollisryhmät. Tähän asti haavoittuvuustutkinta ja niitä hyödyntävät kohdennetut hyökkäykset korkean tietoturvatason yrityksiin ovat vaatineet tekijältä paljon osaamista ja resursseja sekä kohdistuneet rajattuun toimijajoukkoon. Nyt tekoälytyökalut auttavat haavoittuvuuksien tunnistamisessa ja hyökkäysten automatisoinnissa.

Tekoäly tehostaa esimerkiksi syötteiden käsittelyyn liittyvien ohjelmistovirheiden löytämistä. Tällainen haavoittuvuus perustuu siihen, että ohjelmisto hallitsee puutteellisesti tilanteita, joissa käyttäjä voi tarkoituksella manipuloida ohjelmiston toimintaa omilla viesteillään tai muilla syötteillään, kuten tiedostoilla. Manipulointi voi esimerkiksi harhauttaa verkkokaupan tulostamaan käyttäjälle asiakastietokantansa sisällön.

Tekoälytyökalujen hyödyntäminen näkyy jo löydettyjen haavoittuvuuksien määrässä. Anthropicin toukokuussa 2026 julkaistun väliraportin mukaan Mythos Preview -malli oli löytänyt ensimmäisen kuukauden aikana yhdessä noin 50 kumppanin kanssa yli 10 000 vakavaa, aiemmin tuntematonta haavoittuvuutta kriittisen infrastruktuurin käyttämistä ohjelmistoista.¹¹ OpenAI puolestaan kertoi sen nykyisiä palveluja edeltäneen mallin myötävaikuttaneen yli 3 000 haavoittuvuuden korjaamiseen.¹² Konkreettisena ja julkisesti raportoituna esimerkkinä Mozilla korjasi huhtikuussa 2026 yhden kuukauden aikana yli 400 Firefox-selaimen tietoturvavirhettä, joka on noin kaksikymmenkertainen määrä tavanomaiseen kuukauteen verrattuna.¹³ Löydösten määrä on kasvanut niin suureksi, että ohjelmistoturvallisuuden pullonkaula on siirtynyt: haavoittuvuuksien löytäminen ei ole enää hidastava tekijä, vaan löydösten varmentaminen, ilmoittaminen ja korjaaminen.

Tekoälypalveluiden käyttöä kyberhyökkäyksissä pyritään estämään rakentamalla niihin pidäkkeitä (safeguards), jolloin niiden käyttö kyberturvan osalta on rajatumpaa kuin suljettuihin kumppaniohjelmiin osallistuvilla yrityksillä ja tutkijoilla. Näin on esimerkiksi kesäkuussa 2026 julkaistun Claude Fable 5 -malliversion tapauksessa, jossa valmistaja pyrkii aktiivisesti rajoittamaan mahdollista kaksoiskäyttöä kyberturvallisuuden, biologian ja kemian alueilla¹⁴. Tämä tarkoittaa sitä, että palvelu analysoi aktiivisesti käyttäjän pyyntöjä ja mallin vastauksia, ja riskitason ylittyessä keskeyttää tämän mallin käytön.

Vaikka pidäkkeet estävät mallien hyödyntämistä esimerkiksi kyberhyökkäyksissä, muodostavat ne yksittäisen vikapisteen, jonka ohittamisella voisi olla vakavia vaikutuksia. Esimerkiksi Anthropicin tapauksessa riskiä rajoittaa se, että valmistaja valvoo palveluidensa käyttötapoja ja on aiemmin tunnistanut ja estänyt väärinkäyttöä¹⁵. Kuitenkaan skenaariota, jossa pidäkkeet kierretään (nk. prompt jailbreak), ei voi poissulkea, sillä väärinkäyttöä on tapahtunut aikaisemmissakin malleissa ja palveluissa¹⁶.

Ilmiön vaikutukset rahoitusvakauteen

Rahoitusala kuuluu toimialoihin, joihin kohdistuu eniten kyberhyökkäyksiä.¹⁷ Kyberhyökkäys voi uhata rahoitusvakautta erityisesti silloin, kun se kohdistuu finanssimarkkinoiden infrastruktuureihin, keskuspankkeihin ja muihin sellaisiin järjestelmän kannalta merkittäviin yrityksiin tai kriittisiin palveluntarjoajiin, joita ei voi nopeasti korvata. Koska systeemisesti merkittävät infrastruktuurit ovat tiiviisti kytkeytyneitä toisiinsa, niihin kohdistuva hyökkäys voi levitä sekä kotimaisille että kansainvälisille markkinoille.

Lyhyellä aikavälillä tekoäly lähinnä voimistaa ja muuttaa olemassa olevia rahoitusvakausriskejä. Hyökkääjän kyvyssä muutos näkyy ennen kaikkea neljällä tavalla: monivaiheisten ja kompleksisten hyökkäysten toteuttaminen helpottuu, hyökkäysten nopeus ja skaalautuvuus kasvavat, osaamiskynnys madaltuu tuntuvasti, ja vanhan koodikannan riski (tekninen velka) korostuu, kun aiemmin piiloon jääneet haavoittuvuudet tulevat helpommin löydetyiksi. Nämä kykymuutokset heijastuvat rahoitusvakauteen kolmen näkökulman kautta:

1. Samanaikaisuus ja mittakaava
   
   Tähän saakka haavoittuvuudet ovat voineet maata syvällä koodissa vuosia, ja hyökkäykset ovat olleet työläitä valmistella. Kun työkalu käy läpi valtavat koodimäärät ja rakentaa hyökkäyksen nopeasti, samanaikaiset hyökkäykset niin suuriin kuin pieniin toimijoihin eri puolilla maailmaa muuttuvat mahdollisiksi.
   
   Monet sektorin toimijoista tukeutuvat samoihin johtaviin alustateknologioihin ja perusohjelmistoihin, joten yhdestä laajalti käytetystä tuotteesta löytyvä haavoittuvuus on lähtökohtaisesti hyödynnettävissä yhtä aikaa useissa sen asennuksissa. Tekoälyä voi hyödyntää tällaisten hyökkäysten automatisointiin. Lyhyellä aikavälillä tämä uhkaa koko digitaalisen toimintaympäristön eheyttä: jos tuotteiden ja palveluiden valmistajat eivät ehdi korjata ohjelmistojaan ennen kuin rikolliset murtavat ne, syntyy aikaikkuna, jonka aikana laajat häiriöt ovat mahdollisia. Kriittiselle infrastruktuurille tämä on olennainen riski. Rahoitusvakauden kannalta on tärkeää, että sektorin suurten toimijoiden ohella myös keskisuuret ja pienet yritykset onnistuvat pitämään järjestelmänsä turvassa.
   
   Anthropicin väliraportti havainnollistaa pullonkaulaa konkreettisesti: vaikka haavoittuvuuksia löytyy nopeasti, yhden vakavan virheen korjaaminen kestää keskimäärin noin kaksi viikkoa.¹⁸ Tuotteiden kaupalliset valmistajat ja avoimen lähdekoodin vapaaehtoiset ylläpitäjät voivat kuormittua löydösten määrästä. Kun haavoittuvuuksia löytyy nopeammin kuin niitä ehditään korjata, tunnistettu korjausvelka kasvaa. Systeemisen riskin mahdollisuus korostuu juuri tässä aikaikkunassa.
   
   
2. Keskittymä ja korvattavuus
   
   Monet rahoitusalan palvelut ovat keskittyneet pienelle joukolle kansainvälisiä palveluntarjoajia. Kun vakavia haavoittuvuuksia löydetään tekoälyn avulla aiempaa suurempia määriä, kuormitus kohdistuu juuri näiden toimittajien rajalliseen korjaus- ja tukikapasiteettiin. Vaikka valmistuneet korjaukset ovat lähtökohtaisesti kaikkien asiakkaiden saatavilla samanaikaisesti, keskeinen kysymys on, pystyvätkö palveluntarjoajat tukemaan eri alueilla ja eri kokoluokissa olevien asiakkaidensa korjausten käyttöönottoa yhtä aikaa. Koska keskittyneitä palveluntarjoajia ei voi nopeasti korvata, niiden kapasiteetista voi käytännössä syntyä kilpailua. Tässä kilpailussa parhaiten pärjäävät ne toimijat, joilla on varaa maksaa eniten tai riittävästi omaa osaamista. Korjausresursseista joutuvat kilpailemaan myös eri toimialat keskenään. Viimeisenä korjauksia odottavat toimijat eivät kuitenkaan ole irrallisia muusta järjestelmästä. Rahoitusvakauden kannalta riskinä on, että häiriö yhdessäkin sektorin toimijassa heijastuu vastapuoliin ja palveluihin. Keskittymä, korvaamattomuus ja keskinäiskytkennät voivat siten yhdessä muuttaa paikallisen ongelman järjestelmänlaajuiseksi.
   
   
3. Luottamus
   
   Laajamittaiset samanaikaiset tekoälyteknologialla voimistetut hyökkäykset horjuttaisivat luottamusta pankkisektoriin ja muihin rahoitusalan toimijoihin, vaikka asiakasvarat pysyisivät turvassa.
   
   Luottamusta heikentävät myös ihmisiin suoraan kohdistuvat hyökkäykset. Kehittyneet mallit mahdollistavat syväväärennösten, valeinformaation ja kalasteluviestien laajamittaisen tuotannon, jolloin hyökkäysten ei tarvitse enää kohdistua valikoituihin uhreihin, vaan ne voidaan suunnata laajasti digitaalisten palveluiden käyttäjiin. Manipulaation tavoitteena voi olla yksilön tai yrityksen huijaaminen tai esimerkiksi informaatiolle herkkien osakemarkkinoiden heilautus. Tällaisten häiriöiden torjunta edellyttää uudenlaisia työkaluja ja kuluttajien tekoälyosaamisen vahvistamista.

Koska kyseessä on globaali ilmiö, tiedonkulun, toimenpiteiden ja sääntelyn kansainvälinen koordinointi on avainasemassa näiden kysymysten ratkaisemisessa. Tiedonkulussa korostuu kyky jakaa nopeasti tietoa uusista haavoittuvuuksista, hyökkäysmenetelmistä ja torjuntakeinoista viranomaisten, finanssisektorin toimijoiden ja muiden kriittisten toimialojen välillä. Mitä nopeammin tieto uusista uhkista leviää, sitä paremmin voidaan ehkäistä yksittäisten teknisten ongelmien muuttuminen laajoiksi systeemisiksi häiriöiksi.

Kriittisen infrastruktuurin omistajat avainroolissa

Samat työkalut antavat myös järjestelmien ylläpitäjille mahdollisuuden löytää ja korjata heikkoudet aiempaa nopeammin, ja uusien järjestelmien kehityksessä voidaan välttää sekä vanhoja että uusia haavoittuvuuksia. Kun nämä kyvyt ovat aikanaan kaikkien ohjelmistokehittäjien käytössä osana ohjelmistojen kehitystä ja ylläpitoa, uusien vakavien haavoittuvuuksien pääsy tuotantoon vähenee todennäköisesti tuntuvasti ja voi muuttua harvinaiseksi. Pidemmällä aikavälillä lopputulos voi siten olla aiempaa vahvemmat järjestelmät. Tämä ei kuitenkaan tapahdu itsestään: vanha koodikanta, korjausten käyttöönoton hitaus ja toimijoiden eritasoiset resurssit jättävät pitkäksi aikaa siirtymävaiheen, jonka aikana hyökkääjillä voi olla etu. Siirtymä edellyttää riittäviä investointeja, sillä tekoälykehitys vain kiihtyy ja muut teknologiat, kuten kvanttilaskenta, voimistavat uhkia entisestään.

Kyberturvallisuuskeskus painottaa ennakoivan varautumisen merkitystä.¹⁹ Painopiste siirtyy haavoittuvuuksien löytämisestä niiden korjaamiseen ja häiriöiden rajaamiseen. Kun löydösten määrä kasvaa nopeammin kuin niitä ehditään korjata, keskeistä on kyky priorisoida²⁰, ottaa korjaukset käyttöön ripeästi ja rajata yksittäisen haavoittuvuuden vaikutukset.

Kaikkia haavoittuvuuksia ei kuitenkaan voida poistaa ennen niiden mahdollista hyväksikäyttöä. Tämän vuoksi rahoitusvakauden kannalta ratkaisevaa on myös operatiivinen resilienssi, eli kyky ylläpitää kriittisiä palveluja häiriöiden aikana sekä palauttaa ne nopeasti toimintakuntoon. Varajärjestelmät, vaihtoehtoiset toimintatavat, palautumiskyvykkyys ja säännöllinen harjoittelu korostuvat tilanteessa, jossa hyökkäysten nopeus ja mittakaava kasvavat.

Toimijoiden oman varautumisen lisäksi Eurooppa tarvitsee kansainvälistä yhteistyötä kyberuhkia torjuttaessa. Tekoälykehitys on globaalia, mutta huippumallien saatavuus oli ainakin kesällä 2026 rajoitettua. Niitä kehittävien yhtiöiden kumppanuusohjelmat ovat suurelta osin yhdysvaltalaisvetoisia, eikä eurooppalainen yritys välttämättä pääse testaamaan tehokkainta yhdysvaltalaista tai kiinalaista mallia johtuen kumppanuusohjelman säännöistä tai mallien vientirajoituksista. Ja vaikka pääsisikin, se ei ehkä halua viedä omaa koodiaan toisella mantereella sijaitsevaan testausympäristöön eikä toisen mantereen toimija välttämättä luovuta tuotettaan eurooppalaisen yrityksen tietojärjestelmiin. Teknologian turvallinen testaus edellyttäisi neutraalia ympäristöä.

Euroopan riippuvuus Euroopan ulkopuolisista järjestelmätoimittajista on suurta, ja sitä tulisi pyrkiä vähentämään. Teknologinen kehitys ei ole ainoastaan kilpailukykytekijä, vaan myös edellytys strategisen autonomian kannalta. Nykytilanteessa varautuminen nojaa pitkälti kansainvälisen yhteistyön sujuvuuteen. Perustutkimus, osaaminen ja kasvuyritykset ovat Euroopassa huippuluokkaa, mutta niiden kaupallistaminen ja skaalaaminen viedään muualle²¹. Ratkaisuja, kuten yhteisiä pääomamarkkinoita, on yritetty edistää jo pitkään, mutta kehitettävää riittää edelleen²². Tekoälyteknologia kehittyy nopeasti ja sillä on jo nyt voimakkaat vaikutukset, mikä kannustaa entistä rohkeampiin ratkaisuihin.

Kyberriskit uhkaavat rahoitusvakautta

Kehittyneet kielimallit löytävät ohjelmistokoodeista haavoittuvuuksia aiempaa nopeammin ja kattavammin. Tämä voi ainakin lyhyellä aikavälillä lisätä rahoitusalan kyberriskejä ja uhata rahoitusvakautta. Yhtäältä uudet tekoälytyökalut auttavat puolustajia tunnistamaan ja korjaamaan vakavia virheitä aiempaa tehokkaammin. Toisaalta ne edesauttavat rikollisten ja valtiollisten toimijoiden mahdollisuuksia toteuttaa laajoja ja samanaikaisia hyökkäyksiä rahoitusalan yrityksiin ja kriittiseen infrastruktuuriin. Sekä rahoitusalan toimijoiden että viranomaisten on vahvistettava varautumista, nopeutettava korjausten käyttöönottoa ja tiivistettävä yhteistyötä kansallisesti ja kansainvälisesti.