Tiiviisti
- Tutkijat osoittivat, että äänitteeseen voi kätkeä tekoälylle tarkoitetun käskyn, jota ihminen ei välttämättä huomaa.
- Riski kasvaa, jos ääniagentilla on pääsy sähköpostiin, tiedostoihin tai muihin työkaluihin, jolloin ulkopuolinen äänite voi käynnistää luvattomia toimia.
- Piilotettuja äänikäskyjä tulisi testata jo järjestelmien hankinnassa ja rajata agenttien oikeuksia tehtävän mukaan.
1960-luvun yhdysvaltalaisessa kaukopuhelinverkossa puhe ja puhelinkeskusten omat ohjausäänet kulkivat samalla linjalla. Yksi verkon käyttämistä merkeistä oli 2600 hertsin ääni, joka kertoi puhelinkeskukselle tietoa linjan tilasta.
Puhelinverkosta kiinnostuneet harrastajat huomasivat, että tuon saman äänen pystyi tuottamaan myös tavallinen käyttäjä. He rakensivat blue box -nimisiä laitteita, joilla verkolle lähetettiin sen omia merkkisäveliä. Puhelinkeskus saattoi tulkita käyttäjän tuottaman äänen sisäiseksi käskyksi.
Tapaus kuuluu tietojärjestelmien hakkeroinnin varhaishistoriaan, mutta se tarjoaa myös vertauskuvan nykyhetkeen, jossa ääntä ymmärtävät tekoälymallit kuuntelevat kokouksia, ääniviestejä, podcasteja, musiikkia ja verkkovideoita.
Tutkijat ovat nyt osoittaneet, että tällaiseen ääniraitaan voidaan kätkeä koneelle tarkoitettu ohje, vaikka ihminen kuulee vain ehkä hieman kaikua tai muuta pientä epätasaisuutta.
Tekoäly saattaa tulkita taustaäänestä ohjauskäskyn, ja tälle menetelmälle eräässä on tutkimuksessa annettu nimi AudioHijack.
Sama äänite, kaksi kuulijaa
Kuvitellaan suomalaisen yrityksen tavallinen etäkokous. Työntekijät käyvät läpi myyntilukuja, ja kokousavustaja tekee keskustelusta muistiinpanot. Esityksen aikana näytetään video, jonka taustalla soi hiljainen musiikki, joka on lainattu jostain ilmaislähteestä.
Osallistujille musiikki on vain taustaääntä. Ääntä käsittelevälle tekoälylle siihen voi olla kätketty ohje etsiä tietty asiakirja, avata kalenteri tai lähettää tietoa johonkin sähköpostiosoitteeseen.
AudioHijack-tutkijat muokkasivat ääniaaltoa hyvin pienillä, tarkasti lasketuilla muutoksilla. Muutokset naamioitiin muistuttamaan luonnollista huonekaikua.
Huhtikuussa 2026 julkaistussa tutkimuksessa menetelmää kokeiltiin 13 avoimeen ääntä ja kieltä käsittelevään tekoälymalliin. Raportoidut onnistumisasteet olivat eri koetilanteissa keskimäärin 79–96 prosenttia.
Kaupallisiin Microsoftin ja Mistralin ääniagentteihin siirretyissä kokeissa saatiin aikaan myös luvattomia työkalukutsuja, kuten verkkohakuja, tiedostojen lataamista ja tietojen lähettämistä sähköpostilla.
Luvut kuulostavat suurilta, joten niitä kannattaa lukea tutkimusasetelman kautta.
Kokeet tehtiin hallituissa ympäristöissä, ja hyökkäyksen rakentajilla oli tarkkaa tietoa käyttämistään avoimista malleista. Testauksen ulkopuolelle jäivät kokonaiset Teams-ympäristöt, älypuhelimet ja vaikkapa suomalaisten organisaatioiden tuotantojärjestelmien kaltaiset kokonaisuudet.
Tutkimus kuvaa silti mahdollisen hyökkäysreitin ja osoittaa sen toimivan valituissa kokeissa. Arjen kannalta olennainen kysymys onkin, mitä ääntä kuunteleva ja yrityksen tiedostoihin yhdistetty agentti saa tehdä käyttäjän puolesta?
Kuinka lähellä tämä on tavallista työpäivää?
Pidän itse tätä AudioHijack-tutkimusta varhaisena varoituksena, jonka todennäköisyyttä on tässä vaiheessa vaikea arvioida. Tutkimus jättää avoimeksi, kuinka hyvin menetelmä todellisuudessa selviäisi eri mikrofonien, kaiuttimien, kokousohjelmien ja äänen pakkausmenetelmien muodostamasta ketjusta.
Käyttöoikeudet kannattaa silti tarkastaa jo siinä vaiheessa, kun ääniagenttia otetaan käyttöön. Hyökkäystavan ei tarvitse olla yleinen, jotta ylimitoitetut oikeudet muodostavat ongelman.
Työpaikoilla käytetään jo kokouksia litteroivia palveluja. Tekoälylle annetaan tiivistettäväksi videoita, puhelutallenteita ja ääniviestejä. Samalla markkinoille tulee agentteja, jotka käyttävät sähköpostia, kalenteria, pilvitallennusta ja verkkopalveluja.
Ilmaiset, näppärän tuntuiset mutta heikkolaatuisemmat varjotyökalut voivat etenkin muodostaa kokonaan oman riskinsä, joka voi heijastua myös organisaation toimintoihin.
Tässä kehityskulussa voi syntyä tilanne, jossa ulkopuolinen pahantahtoinen äänite päätyy toimivaltaisen agentin käsiteltäväksi.
Suomalaisessa arjessa ensimmäisiä riskipaikkoja voisivat olla asiakaspalvelu, etäkokoukset ja viestipalveluihin saapuvat äänitiedostot:
- Asiakas voi lähettää vakuutusyhtiölle ääniviestin.
- Rekrytointipalvelu voi käsitellä videohaastattelua.
- Kokousavustaja voi kuulla ulkopuolisen osallistujan jakaman videon.
- Mediaseurantaa tekevä agentti voi käydä läpi podcasteja ja lähetyksiä.
Jokaisessa esimerkissä tekoäly käsittelee organisaation ulkopuolelta tulevaa aineistoa.
Miten järjestelmä tietää, kuka sille puhuu?
Ihminen tulkitsee ääntä tilanteen perusteella, ja asettaa tiedon oikeaan kontekstiin maalaisjärjellä:
- Elokuvan henkilöhahmon lause kuuluu tarinaan.
- Navigaattorin ohje koskee ajamista.
- Kokouksessa jaettu mainosvideo on käsiteltävää sisältöä.
Tekoäly sen sijaan saa kaiken tiedon yhtenä äänivirtana, eikä automaattisesti osaa erottaa näitä, ellei sille ole tätä erikseen opetettu.
Turvallisen järjestelmän pitäisikin erottaa käyttäjän käsky, käsiteltävä aineisto ja ympäristöstä kuuluva ääni. Tämän voi toteuttaa esimerkiksi erillisellä käskypainikkeella, herätesanalla, tunnistetulla käyttäjätilillä tai näytölle tulevalla vahvistuksella.
Verkkovideo ja kokoustallenne voidaan merkitä aineistoksi, josta agentti tekee yhteenvedon ilman oikeutta ottaa vastaan uusia toimintaohjeita.
Puhujan äänen tunnistaminen tarjoaa yhden lisäkerroksen. Nauhoitettu puhe, synteettinen ääni ja äänen kloonaus vaikeuttavat puhujan aitouden arviointia.
Itä-Suomen yliopistossa professori Tomi Kinnusen ryhmä tutkii puheen syväväärennösten tunnistamista, synteettisen puheen alkuperän jäljittämistä ja puhujantunnistuksen suojaamista huijauksilta. Kinnunen on kuvannut tutkimusalaa kissa ja hiiri -leikiksi, jossa tunnistusmenetelmät kehittyvät, ja uudet puhesynteesin tavat haastavat niiden kyvyn selvitä ennestään tuntemattomista väärennöksistä.
AudioHijack kohdistuu hieman eri kohtaan ääniketjua, mutta yhteinen kysymys on luottamus. Mistä järjestelmä päättelee, että ääni on käsky, ja millä oikeudella se ryhtyy toimimaan? Tällainen rajaus tarvitaan myös ääniohjatuille agenteille.
Mitkä toiminnot tarvitsevat ihmisen hyväksynnän?
Asettaisin vahvistusrajan kolmeen kohtaan: arkaluonteiseen tietoon, ulkopuolisiin vaikutuksiin ja vaikeasti peruttaviin tekoihin.
Ihmisen hyväksyntä kuuluu mukaan, kun agentti:
- lähettää henkilötietoja tai liikesalaisuuksia organisaation ulkopuolelle
- tekee maksuja, tilauksia tai muita taloudellisia sitoumuksia
- julkaisee viestejä käyttäjän nimissä
- poistaa tiedostoja tai rekisterimerkintöjä
- muuttaa käyttöoikeuksia tai järjestelmien asetuksia
- suorittaa ohjelmakoodia tai komentoja
Vahvistuksen pitää kertoa täsmällisesti, mitä tapahtuu. ”Lähetetäänkö kolme henkilöstöasiakirjaa osoitteeseen X?” antaa käyttäjälle selkeän arvioitavan päätöksen. Liian geneerinen ”Haluatko jatkaa?” -tyyppinen kysymys ei ole selkeä, koska sellainen muuttuu helposti rutiininomaiseksi napinpainallukseksi.
Toinen suoja syntyy oikeuksien rajaamisesta.
Kokousmuistioita laativan agentin käyttöoikeudet voidaan rajata kokouksen aineistoon ja muistiinpanojen tallentamiseen. Pääsy henkilöstöhallinnon kansioon tai mahdollisuus lähettää tiedostoja uusiin osoitteisiin kasvattaa tehtävän riskit aivan toiseen mittaluokkaan.
Traficomin ja Huoltovarmuuskeskuksen alkuvuonna 2026 julkaisema ohjekorostaa juuri agentille annettujen oikeuksien merkitystä. Mitä arkaluonteisempaan tietoon agentilla on pääsy ja mitä kriittisempiä päätöksiä se saa tehdä, sitä suurempi on sen riskipotentiaali.
Ajatus on tuttu työelämästä. Uudelle työntekijälle annetaan tehtävän mukaiset käyttöoikeudet, tapahtumat kirjataan ja suurille päätöksille asetetaan hyväksymiskäytäntö. Samat hallintakeinot sopivat myös tekoälylle.
Piilotettuja äänikäskyjä tulisi testata jo hankinnassa
Ääntä käsittelevää järjestelmää testataan tavallisesti puheen tunnistamisen, kielten, murteiden ja taustamelun kannalta. Ääniälykkääseen turvallisuustestaukseen tulisi kuulua myös tahallisesti muokatut tallenteet, nauhoitettu puhe, synteettinen ääni ja aineisto, johon on yritetty kätkeä ohjeita.
Hankinnassa kysyisin toimittajalta ainakin seuraavat asiat:
- Miten järjestelmä erottaa käyttäjän käskyn käsiteltävästä äänitteestä?
- Voidaanko ulkopuolisesta aineistosta tulevat työkalukutsut estää?
- Mitkä toiminnot vaativat käyttäjän vahvistuksen?
- Kuinka tarkasti agentin oikeuksia voidaan rajata?
- Tallentuuko tapahtumaloki kuullusta aineistosta, päätöksestä ja käynnistetystä toiminnosta?
- Millä tavoin järjestelmää on testattu muokatuilla tai vihamielisillä äänitteillä?
- Kuinka toimittaja ilmoittaa haavoittuvuuksista ja toimittaa korjaukset?
Traficomin ohje antaa suomalaisille organisaatioille hyvän hallinnollisen lähtökohdan. Siinä käsitellään käyttöoikeuksia, ihmisen hyväksyntää, uhkamallinnusta ja tarkoituksellista hyökkäystestausta. AudioHijack-tutkimuksen havainnot lisäävät tähän tarkistuslistaan myös ääniälyn.
Suomessa tutkitaan ääneen liittyvää luottamusta
Suomessa on paljon osaamista, jonka avulla kansainvälinen tietoturvatutkimus voidaan kääntää käytännön kysymyksiksi. Tarpeellinen seuraava askel olisi AudioHijack-asetelman kaltaisten hyökkäysten testaaminen suomalaisilla puheaineistoilla, kielimalleilla ja työelämän järjestelmillä.
Ääniäly-uutiskirjeessä kerrottiin keväällä, millä tavoin Aalto-yliopiston Tom Bäckström tutkii puheteknologian yksityisyyttä, luottamusta ja turvallista suunnittelua.
Hänen ryhmänsä työ muistuttaa, että puhe sisältää sanojen lisäksi paljon tietoa puhujasta. Äänestä voidaan päätellä henkilöllisyyteen ja terveydentilaan liittyviä asioita. Myös taustalla kuuluvien ihmisten ääni voi päätyä palvelun käsiteltäväksi.
Tämä näkökulma laajentaa AudioHijack-tutkimuksen kysymystä. Ääniagentin turvallisuus koskee käskyjen alkuperää, tallenteiden sisältämää henkilötietoa, käyttöliittymän antamia varoituksia ja käyttäjän mahdollisuutta ymmärtää järjestelmän toimintaa.
Aiemmin viitattu Itä-Suomen yliopiston syväväärennöstutkimus tuo mukaan toisen näkökulman. Koneen täytyy arvioida äänen aitoutta toimintaympäristössä, jossa synteettisen puheen tekeminen helpottuu jatkuvasti.
Ääniäly tarvitsee myös rajat
Vanhan 1960-luvun puhelinverkon ongelma syntyi, kun käyttäjän puhe ja verkon sisäiset käskyt kulkivat samassa kanavassa. Ratkaisu löytyi lopulta ohjaussignaalien erottamisesta käyttäjien puheesta.
Ääniagenttien kohdalla vastaava periaate tarkoittaa tunnistetun käyttäjän käskyjen erottamista ulkopuolisesta ääniaineistosta. Agentin oikeudet rajataan tehtävään, ja seurauksiltaan suuret toimet vahvistetaan ihmisellä.
Podcast, YouTube-video tai kokouksen taustamusiikki tuskin muodostaa suomalaisen organisaation kiireellisintä kyberuhkaa vielä tänään. AudioHijack-tutkimuksen löydökset osoittavat kuitenkin ennakoivasti, kuinka tavallinen äänimedia voi muuttua tekoälylle ohjauskäskyjen lähteeksi.
Kun koneelle annetaan korvat, samalla pitää päättää, missä sen kädet saavat liikkua.
Lähteet
AudioHijack. Huhtikuussa 2026 julkaistu tutkimus testasi menetelmää 13 audio-kielimallissa. Tutkimus raportoi 79–96 prosentin keskimääräisiä onnistumisasteita avoimissa malleissa sekä luvattomia työkalukutsuja Microsoftin ja Mistralin kaupallisissa ääniagenteissa. Tutkijat tekivät kokeet eristetyissä ympäristöissä ja käyttivät kaupallisia palveluja niiden virallisten rajapintojen kautta.
https://arxiv.org/abs/2604.14604
Itä-Suomen yliopisto. Tomi Kinnusen ryhmä kehittää puheen syväväärennösten tunnistamista ja niiden alkuperän jäljittämistä. Kinnusen mukaan uusilla synteesimenetelmillä tuotettujen, ennestään tuntemattomien väärennösten tunnistaminen on edelleen vaikeaa.
https://www.uef.fi/fi/artikkeli/puheen-syvavaarennokset-haastavat-tutkijoita-edelleen
Traficom ja Huoltovarmuuskeskus. Tammikuussa 2026 julkaistu ohje painottaa tekoälyagenttien oikeuksien, käsiteltävän tiedon arkaluonteisuuden ja päätösvallan vaikutusta riskitasoon.
https://traficom.fi/fi/julkaisut/tekoalyagenttien-kyberturvallisuus
Aalto-yliopisto. Tom Bäckströmin tutkimus käsittelee yksityisyyttä säilyttävää puheenkäsittelyä sekä yksityisyyden ja luottamuksen suunnittelua. Aallon mukaan puhetallenne voi sisältää tietoa myös puhujan henkilöllisyydestä, terveydestä ja taustalla kuuluvista ihmisistä.
https://www.aalto.fi/fi/ihmiset/tom-backstrom
Blue box -historia. Vanhojen kaukopuhelinverkkojen sisäiset ohjaussignaalit kulkivat samassa äänikanavassa käyttäjän puheen kanssa. Blue box -laitteilla verkolle voitiin tuottaa sen tunnistamia merkkisäveliä.
