Tekoäly haastaa kyberturvallisuuden

Blogi

Tekoälyaika-ohjelmalla on vahvat kytkökset digitaaliseen turvallisuuteen ja luottamukseen datan, analytiikan, algoritmien, tekoälyn ja koneoppimisen kautta.

Tekoälyä hyödynnetään nykyisin lähes kaikilla elämän- ja teollisuudenaloilla. Digitaaliseen turvallisuuteen ja kokonaisturvallisuuteen liittyvät asiat nousevat käytön laajentuessa entistä keskeisempään rooliin .1

Laskentatehon ja -kapasiteetin kasvu on mahdollistanut tekoälyyn perustuvien aiempaa tehokkaampien toimintatapojen ja ratkaisujen kehittämisen esimerkiksi kyberuhkien ja -rikollisuuden ennakointiin ja tunnistamiseen. Markkinoilla on jo järjestelmiä, jotka seuraavat tapahtumia tietoverkoissa ja niihin kytkeytyneissä laitteissa ja palveluissa sekä pyrkivät havaitsemaan käyttäjien tavanomaisesta poikkeavan käyttäytymisen tai haitallisen informaatiovaikuttamisen.

Tekoälyä voidaan hyödyntää myös tavanomaisten rikosten estämisessä ja tunnistamisessa. Esimerkiksi luottokorttiyhtiöt ja pankit käyttävät sovelluksia, jotka opettelujakson jälkeen kykenevät löytämään varsin tehokkaasti vilpilliset osto- ja tilitapahtumat.

Kyberuhkia tunnistavat tekoälysovellukset täydentävät muita, perinteisempiä havainnointi- ja analysointitapoja. Kun epäilyttävä käyttäytyminen tietojärjestelmissä tunnistetaan, järjestelmän tietoturvatasoa voidaan nostaa.

Lisäksi tekoälyä voidaan hyödyntää hyökkääjien tunnistamisessa ja päätöksenteon tukena hyökkäyksen vaikutusten minimoimiseksi ja vastatoimenpiteiden suuntaamiseksi optimaalisella tavalla. Hyökkäyksen jälkeen tekoäly auttaa tapahtumien analysoinnissa ja luokittelussa, jotta järjestelmien häiriönsietoisuutta sekä puolustus- ja toipumiskykyä voidaan kehittää ja vahvistaa.

Väärinkäytöksiin on varauduttava

Tekoäly luo siis uusia mahdollisuuksia, mutta se mahdollistaa myös väärinkäytöksiä, sillä rikollisilla on sama osaaminen. Vihamieliset toimijat voivat esimerkiksi simuloida erilaisia käyttötilanteita kohdejärjestelmästä laaditun toiminnallisen mallin avulla ja pyrkiä siten selvittämään järjestelmän heikot kohdat. Tekoälypohjainen hyökkääjä voi siis harjoitella erittäin hyväksi hyökkääjäksi ja vastapuolen tekoälyn harhauttajaksi.

Vihamieliset toimijat voivat hyökätä myös suoraan tekoälyalgoritmeja vastaan ja yrittää saada ne toimimaan omien tarkoitusperiensä mukaisesti. Hyökkäykset kohdistuvat tyypillisesti tunnistautumiseen, auktorisointiin ja niiden pohjalta tehtävään päätöksentekoon. Erityisesti hahmon- ja kasvojentunnistuksen alueella tähän ongelmaan on jo törmätty.

Ohjattua oppimista (supervised learning) hyödyntäviä järjestelmiä vastaan voidaan hyökätä myös niiden opetusvaiheessa, sillä opetusaineistoa manipuloimalla järjestelmä saadaan toimimaan hyökkääjän haluamalla tavalla. Tekoälyä vastaan on jo tehty onnistuneita hyökkäyksiä ja harhautuksia, esimerkiksi Microsoftin tekoälypohjainen Tay-keskustelujärjestelmä harhautettiin alle 24 tunnissa käyttämään ja tuottamaan vihapuhetta. Myös autonomisten autojen käyttämää liikennemerkkien tunnistusta on pystytty harhauttamaan.

Tekoälyteknologioiden kehittyminen tuo mukanaan joukon uusia ja arvaamattomia kehityskulkuja. Tekoälysovellusten kehittäjien tuleekin huolehtia sovellustensa turvallisuudesta ja varautua väärinkäytöksiin mahdollisuuksiensa mukaan jo suunnitteluvaiheessa (security by design). Käyttäjien koulutukseen tulee myös panostaa ja heidän on ymmärrettävä tekoälysovellusten toimintaa ja rajoitteita. Lisäksi valmiita sovelluksia on testattava säännöllisesti ja niiden turvallisuusratkaisujen päivittämisestä on huolehdittava uhkakuvien muuttuessa.

Tekoäly vaatii uudenlaisia analysointi- ja auditointimenetelmiä

Eräs tärkeä turvallisuuteen liittyvä näkökohta on tekoälyä hyödyntävien järjestelmien läpinäkyvyys ja auditoitavuus: voidaanko niiden päätöksentekoprosesseja eli ratkaisujen perusteluja ja logiikkaa tarvittaessa avata ja analysoida? Erityisen haastavaa tämä on ohjaamatonta oppimista (unsupervised learning) tai vahvistusoppimista (reinforcement learning) hyödyntävissä järjestelmissä.

Käyttäjän kannalta katsottuna tällaiset tekoälyjärjestelmät ovat mustia laatikoita, joiden sisäinen rakenne ei muodosta ihmiskäyttäjän ymmärrettävissä olevia loogisia kokonaisuuksia tai päättelypolkuja. Nämä järjestelmät perustuvat valtavan datamassan suodattamisen, jaottelun, muokkauksen ja analysoinnin pohjalta laadittuihin luokitteluihin ja sääntöihin, jotka voivat myös muuttua käsiteltävän uuden tiedon pohjalta dynaamisesti ja itseohjautuvasti.

Tavanomaiset analysointi- ja auditointimenetelmät eivät ole riittävän tehokkaita, joten niiden tilalle on saatava jotain uutta. Eräs vaihtoehto on nostaa tekoälypohjaisen järjestelmän toiminnan analysointi ylemmälle tasolle eli koko järjestelmän kattavaksi, ja analysoida sen tekoälypohjaisia osia osana tätä laajempaa kokonaisuutta. Tällaisia menetelmiä meillä ei vielä ole, joten ne ovat lähitulevaisuudessa mielenkiintoinen tutkimuskohde, joka kuitenkin edellyttää vahvaa ja poikkitieteellistä tekoäly-, teknologia- ja kyberosaamista.

Tekoälyn hyödyntäminen kyberturvallisuudessa ei poista kokonaan väärinkäytöksiä, teollisuusvakoilua, kyberrikollisuutta tai kybersodankäyntiä. Kyberhyökkäykset muuttavat jatkuvasti muotoaan ja vaihtavat kohteitaan, joten kyberpuolustuksen on pyrittävä ennakoimaan näitä muutoksia ja sopeuttamaan omaa toimintaansa vastaavasti.

Tulevaisuudessa tekoälyä käytetään yhä enemmän hyökkäyksiä ennalta ehkäisevässä toiminnassa eli uhkien ennakoinnissa ja mahdollisimman aikaisessa tunnistamisessa. Parhaassa tapauksessa se auttaa tunnistamaan epäilyttävältä vaikuttavaa toimintaa jo ennen, kuin vahinko on ehtinyt tapahtua.

DIMECC Oy teki syksyn 2018 aikana työ- ja elinkeinoministeriön, opetus- ja kulttuuriministeriön, liikenne- ja viestintäministeriön, Business Finlandin sekä Huoltovarmuuskeskuksen toimeksiannosta selvitystyön Kasvua digitaalisesta turvallisuudesta – tiekartta 2019-2030. Työssä selvitettiin koordinoidun ohjelmatoiminnan edellytyksiä ja tavoitteita digitaaliseen turvallisuuteen ja luottamukseen liittyvien kasvumahdollisuuksien hyödyntämiseksi Suomessa. Valmistelutyö nosti esille tarpeen kytkeä digitaalinen turvallisuus paremmin muihin käynnissä oleviin hankkeisiin, kuten tekoälyaikaohjelmaan.

Tätä tekstiä hyödynnettiin Tekoälyohjelman loppuraportin kappaleessa ”Tekoälyn turvallisuuteen liittyvät riskit” (ks. sivu 109).

1 Esimerkiksi Sasu Tarkoma: Tekoäly ja kokonaisturvallisuus, Maanpuolustus-lehti, 5.12.2017

Tietoa kirjoittajista

Mitä mieltä sinä olet?

Mitä mieltä sinä olet?