KUN HYÖKKÄYSJÄRJESTELMÄ JATKAA TYÖTÄ ILMAN OPERAATTORIA

Anthropic tunnisti vuoden 2026 aikana kiinankielisen ryhmän, joka käytti Claude-malleja tiedusteluun, haavoittuvuustutkimukseen ja tunkeutumisyritysten koordinointiin. Ryhmän tunniste oli GTG-10007. Tutkijoiden mukaan kaksi sen toimijaa oli kiinalaisen yliopiston opiskelijoita, mutta havainnoista ei voi päätellä kaikkien operaatioon osallistuneiden henkilöiden taustaa tai mahdollista valtiollista ohjausta.

Ryhmän toiminta oli laajaa. Noin 50 organisaatiota oli kohdistamisen piirissä, ja ne edustivat koulutusta, terveydenhuoltoa, energiaa, valmistavaa teollisuutta, rahoitusalaa ja viranomaisia. Raportin mukaan hyökkääjät pääsivät muun muassa koulutusteknologiayhtiön pilvitallennukseen ja veivät sieltä satoja megatavuja opiskelijoiden henkilötietoja. Lisäksi he pääsivät vähittäiskaupan tuotantoympäristöön ja noutivat kansalaisia koskevia tietoja Kaakkois-Aasian viranomaisjärjestelmästä.

KONEELLISTA HAAVOITTUVUUKSIEN ETSINTÄÄ

Ryhmän kiinnostavimpiin työvälineisiin kuului jatkuvasti toimiva tutkimusprosessi, jossa tekoälyagentit tarkastelivat ohjelmistojen toimintaa, muodostivat oletuksia puutteista ja testasivat niitä omissa laboratorioympäristöissä. Yhtiö kertoo, että yhdessä verkkolaitteiden tutkimuslinjassa syntyi yhden kuukauden aikana yli tusina mahdollista aiemmin tuntematonta haavoittuvuutta.

Kaikkia laboratorion havaintoja ei pidä tulkita todellisissa kohteissa hyödynnetyiksi aukoiksi. Anthropic kuvaa erikseen yrityksiä käyttää löydöksiä organisaatioiden verkkoihin. Samanaikaisesti toiset agentit keräsivät avoimista lähteistä tietoa ja ylläpitivät kampanjan muistia, jotta työ saattoi jatkua seuraavassa istunnossa.

TEKOÄLYPARVET MUUTTAVAT RESURSSITARVETTA

Yksi pääagentti jakoi tehtäviä alaisilleen, joista osa keskittyi verkkokartoitukseen, osa ohjelmistojen tutkimiseen ja osa varastettujen tietojen järjestämiseen. Näin pienikin operaattorijoukko saattoi käsitellä useita kohteita rinnakkain.

THE PROMPTIN ANALYYSI: Vaarallista ei ole ainoastaan yksittäisen kielimallin osaamistaso, vaan se, että sen ympärille voidaan rakentaa pysyvä työjärjestelmä. Puolustajien kannattaa tarkastella yhtä aikaa tapahtuvia kirjautumisyrityksiä, poikkeavaa tiedonkeruuta ja jatkuvasti toistuvaa haavoittuvuuksien kartoitusta kokonaisuutena.

KYBEROPERAATIO EI ENÄÄ VÄLTTÄMÄTTÄ PYSÄHDY TYÖPÄIVÄN PÄÄTTYESSÄ

Anthropic kertoo GTG-10007-ryhmästä, joka järjesti osan hyökkäysten tiedustelusta ja haavoittuvuustutkimuksesta jatkuviksi työnkuluiksi. Järjestelmä säilytti aikaisempien vaiheiden tuloksia ja pystyi jatkamaan tietojen keruuta myös silloin, kun operaattorit eivät olleet aktiivisesti sen ääressä. Tämä on olennainen muutos verrattuna yksittäiseen kielimallikysymykseen: tekoäly ei ollut vain vastauksia tuottava sovellus, vaan osa jatkuvasti toimivaa teknistä prosessia.

Ryhmän ympärillä näkyi useita rinnakkaisia tehtäviä. Osa keskittyi kohteiden kartoittamiseen ja osa ohjelmistojen heikkouksien tutkimiseen, kun taas muut prosessit ylläpitivät havaintoja ja järjestelivät kerättyjä tietoja. Käytännössä eri työvaiheet voivat ruokkia toisiaan, kun niiden väliin ei tarvita jokaisen havainnon jälkeen erillistä ihmisen käsittelyä.

MITÄ NOIN 50 KOHTEEN LUKU OIKEASTI KERTOO?

Anthropicin mukaan hyökkääjien kohdejoukkoon kuului noin 50 organisaatiota useilta toimialoilta. Se ei merkitse, että kaikki olisi murrettu. Raportti erottaa tiedustelun, tunkeutumisyritykset ja dokumentoidut onnistumiset. Tutkijat kuvaavat muun muassa tietojen varastamista koulutusteknologia-alan yrityksestä sekä luvattomia pääsyjä muihin ympäristöihin. Jos näistä laaditaan uutisotsikoita, pitää välttää sekoittamasta kohteiden kokonaismäärää vahvistettujen uhrien määrään.

Tutkimuksessa kerrotaan kahden toimijan olleen kiinalaisen yliopiston opiskelijoita. Tieto on huomionarvoinen, mutta siitä ei voi yksin päätellä koko ryhmän taustaa, toimeksiantajaa tai valtiollista ohjausta. Kyberuhkien attribuutio perustuu monenlaisiin teknisiin ja käyttäytymistä koskeviin havaintoihin, ja osa niiden merkityksestä jää julkisen raportin ulkopuolelle.

HAAVOITTUVUUSTUTKIMUKSESTA VOI TULLA JATKUVA TEOLLINEN PROSESSI

Monimutkaisen hyökkäyskoodin kehittäminen vaatii edelleen osaamista ja käytännön testausta. Tekoäly voi kuitenkin auttaa kokoamaan tutkimusvaiheen, testaustulosten tulkinnan ja uusien kokeilujen suunnittelun tiiviiksi kierroksi. Kun tulokset tallennetaan yhteiseen muistijärjestelmään, myöhempi agentti voi jatkaa siitä, mihin aikaisempi jäi. Juuri tämä prosessin pysyvyys lisää toiminnan mahdollisia mittakaavaetuja.

Sama rakenne on puolustajille hyödyllinen. Organisaatiot voivat automatisoida omien ohjelmistojensa ja julkisten palveluidensa turvallisuustarkastuksia luvallisessa ympäristössä. Tällöin täytyy huolehtia kohderajauksesta, käyttöoikeuksista ja siitä, että automaattinen testaus ei vahingossa häiritse ulkopuolisia järjestelmiä.

PUOLUSTUKSEN ON YHDISTETTÄVÄ ERILLISILTÄ NÄYTTÄVÄT HAVAINNOT

Jos samaan organisaatioon tehdään pieniä, eriaikaisia tiedustelupyyntöjä monista lähteistä, yksittäinen tapahtuma voi näyttää vähämerkityksiseltä. Yhdistetyt lokit voivat kuitenkin paljastaa toistuvan kartoituksen tai tunnusten väärinkäytön. Erityisen tärkeää on seurata julkisten rajapintojen käyttöä, pilvitunnusten poikkeamia ja arkaluonteisten tietojen massaluonteista hakemista.

THE PROMPTIN LISÄANALYYSI: Pienetkin ryhmät voivat tekoälyn avulla organisoida työtään aiempaa järjestelmällisemmin. Puolustuksen pitää arvioida ennen kaikkea operaatioiden jatkuvuutta, ei ainoastaan sitä, montako ihmistä niiden takana arvioidaan olevan.

Lähde: Anthropic, GTG-10007, syyskuu 2026. https://www.anthropic.com/threat-intelligence-report-september-2026?page=1