TeamPCP yritti kääntää tekoälykoodiavustajat ja tietoturvaskannerit puolustajia vastaan

HAITALLINEN OHJE VOI PIILOUTUA TAVALLISEEN PROJEKTITIEDOSTOON

Google Threat Intelligence Group kertoi syyskuussa 2026 UNC6780- eli TeamPCP-ryhmästä, joka on kohdistunut avoimen lähdekoodin ohjelmistopaketteihin ja ohjelmistokehittäjien työvälineisiin. Ryhmän DUSTMAKER-haittaohjelmassa tutkijat havaitsivat mekanismeja, joilla hyökkääjä pystyi vaikuttamaan tekoälypohjaisiin koodiavustajiin sekä niiden käyttämään kehitysympäristöön.

Perinteisessä tietomurrossa hyökkääjä etsii ohjelmavirheen tai varastaa tunnuksen. Tässä tapauksessa yksi keskeinen hyökkäyspinta oli tekoälyavustajan käsittelemä teksti. Ohjeita voitiin piilottaa projektin konfiguraatiotiedostoihin ja skriptien kommentteihin. Kun avustaja tulkitsi niitä luotettavana työympäristön osana, se saattoi ohjautua suorittamaan hyökkääjän haluamia komentoja.

PROMPT INJECTION EI OLE TAVALLISTA OHJEISTUSTA

Ilmiötä kutsutaan prompt injection -hyökkäykseksi. Siinä epäluotettu lähde, esimerkiksi ohjelmistopaketti tai verkkosivu, yrittää esittää omat ohjeensa tekoälylle määräyksinä. Google kertoo DUSTMAKERin piilottaneen tällaisia sisältöjä tekoälyavustajien ja kehitystyökalujen käyttämiin hakemistoihin. Ryhmä pyrki myös hämäämään kielimalleihin perustuvia turvatarkistuksia sijoittamalla haittaohjelmien alkuun järkyttäviä ja turvallisuusrajoja koettelevia tekstijaksoja, joiden toivottiin katkaisevan skannauksen.

Tämä ei tarkoita, että jokainen tekoälymalli olisi totellut hyökkääjää. Google kertoo omien torjuntatoimiensa ja suojauksensa häirinneen kampanjaa. Tutkijoiden löydökset paljastavat silti selkeän riskin: tekoälyyn kytketty ohjelmistokehitys voi antaa epäluotetulle aineistolle aivan liian paljon vaikutusvaltaa.

OHJELMISTOJEN TOIMITUSKETJU MUUTTUU

TeamPCP:n toimintaa havaittiin myös pakettirekisterien, ohjelmistovarastojen ja automaattisten julkaisujärjestelmien hyödyntämisessä. Haitalliseen pakettiin voidaan rakentaa mekanismeja, jotka käynnistyvät silloin, kun kehittäjä tai tekoälyavustaja ottaa projektin käyttöön.

THE PROMPTIN ANALYYSI: Tekoälyavustajalle annettu oikeus suorittaa komentoja on uusi luottamusraja. Kehitysympäristön on erotettava ulkopuolisen projektin sisältö käyttäjän valtuuttamista ohjeista. Automaattista asennusta, salaisuuksien käyttöä ja tuotantoympäristöön julkaisemista pitää suojata erillisillä käyttöoikeuksilla ja valvonnalla.

KUN LUOTETTU KEHITYSTYÖKALU LUKI VÄÄRÄNLAISEN OHJEEN

TeamPCP-ryhmän tapauksessa hyökkääjä pyrki hyödyntämään ohjelmistokehittäjien normaalia työnkulkua. Tekoälyavustajalle voidaan antaa tehtäväksi tutkia projektia, asentaa riippuvuuksia tai korjata ohjelmakoodia. Samalla avustaja joutuu lukemaan projektikansion tiedostoja, joiden sisältö voi olla peräisin ulkopuolisilta kehittäjiltä. Tässä syntyy luottamusraja: tiedoston sisältö on aineistoa, jota pitää tarkastella, mutta sitä ei saa automaattisesti käsitellä käyttäjän valtuuttamana määräyksenä.

Google kertoo DUSTMAKERin muokanneen piilotettuja kansioita ja asetustiedostoja, joita muun muassa koodiavustajat ja editorit käyttävät. Tarkoitus oli saada haitallisia komentoja näyttämään tavanomaisilta projektin alustus- tai käynnistystoimilta. Tällainen hyökkäys ei vaadi, että tekoälymalli olisi itsessään rikollinen: riittää, että se tottelee epäluotettuun ympäristöön piilotettua ohjetta.

HAITTAOHJELMA YRITTI MYÖS HÄMÄTÄ AI-TURVATARKISTIMIA

Tutkimuksen mukaan osaan haitallisista JavaScript-tiedostoista oli sijoitettu provosoivia ja vaarallisia ohjeita. Niiden tarkoituksena saattoi olla saada tekoälypohjainen tarkistin pysäyttämään analyysinsä turvallisuussyistä ennen varsinaisen haittakoodin tutkimista. Toisin sanoen hyökkääjä yritti käyttää mallin turvallisuusrajoituksia tarkistuksen heikentämiseen.

Tämä ei osoita, että kaikki tekoälyskannerit olisivat epäluotettavia. Se näyttää kuitenkin, miksi turvallisuusarvioinnin pitää erottaa lähdetiedoston sisältämä teksti työkalun omista käsittelysäännöistä. Koodin turvallisuutta ei voida ratkaista vain sillä, suostuuko kielimalli vastaamaan tietynlaiseen kehotteeseen.

OHJELMISTOJEN TOIMITUSKETJU TUO ONGELMAAN UUDEN ULOTTUVUUDEN

TeamPCP:n toiminnassa havaittiin myös ohjelmistopakettien jakeluun ja automaattisiin julkaisuprosesseihin liittyviä keinoja. Google kuvaa tapauksia, joissa haittaohjelma pyrki käyttämään hyväksi kehitysjärjestelmän tunnuksia ja julkaisemaan saastuneita paketteja luotetuiksi tarkoitettujen prosessien kautta. Jos julkaisu perustuu varastettuun oikeutettuun tunnukseen, paketin ulkoinen alkuperä voi näyttää uskottavalta, vaikka sen sisältö on haitallinen.

Tämän vuoksi riippuvuuksien tarkistus on muutakin kuin yksittäisten tiedostojen virustarkistusta. Organisaation pitäisi tietää, mistä ohjelmistokirjastot tulevat, kuka ne on voinut julkaista ja mitä oikeuksia niiden asennus saa käyttöönsä. Automaattinen koodiavustaja ei saa laajentaa näitä oikeuksia huomaamatta.

MITEN TEKOÄLYAVUSTAJAN VOI SUOJATA?

Ulkopuolista projektia kannattaa käsitellä lähtökohtaisesti epäluotettuna. Koodiavustajan komennot voidaan suorittaa eristetyssä ympäristössä, ja tuotantotunnuksia kannattaa säilyttää erillään kehityksen tavallisista työvaiheista. Erityisen arkaluonteiset toiminnot, kuten uusien avainten lukeminen tai tuotantoversion julkaiseminen, tarvitsevat erillisen hyväksymis- ja lokitusprosessin.

THE PROMPTIN LISÄANALYYSI: Kun tekoälyavustaja saa oikeuden suorittaa komentoja, sen lukemasta tekstistä voi tulla hyökkäyspinta. Luottamus ei saa määräytyä sen perusteella, että ohje näyttää teknisesti asialliselta tai sijaitsee projektikansiossa.

Lähde: Google Threat Intelligence Group, 8.9.2026. https://cloud.google.com/blog/topics/threat-intelligence/from-prompting-to-autonomy-the-evolution-of-adversarial-ai