11 | 2026 Erkka Korpi, Senior Software and Cloud Security Engineer, Partner, Kipinä
Tietoturva ei turhaan ole ollut kuuma keskustelunaihe viime aikoina. Globaalilla tasolla tapahtuvat tietomurrot ja uhat koskettavat niin yhtiö- kuin yksilötasolla. Tekoäly muuttaa ohjelmistokehitystä kahdesta suunnasta yhtä aikaa. Yritykset pystyvät rakentamaan uusia sovelluksia ja toiminnallisuuksia ennennäkemättömällä vauhdilla. Samaan aikaan hyökkääjillä on käytössään täsmälleen sama teknologia – ilman yritysten prosesseja, sääntelyä tai varovaisuutta.
Kysyimme Kipinän tietoturva-asiantuntijalta Erkka Korvelta kolme kysymystä, jotka jokaisen digitaalista liiketoimintaa rakentavan yrityksen kannattaa juuri nyt esittää.
1. Miten tietoturva varmistetaan tekoälyn mahdollistamissa nopeissa tuotekokeiluissa, innovoinnissa ja esim. vibekoodauksessa?
Tekoäly on madaltanut ohjelmistojen rakentamisen kynnystä radikaalisti, jolloin ideasta voidaan päästä toimivaan prototyyppiin tunneissa tai päivissä, ja samalla ihmiset ilman syvää ohjelmistokehityksen osaamista pystyvät rakentamaan yhä monimutkaisempia teknisiä ratkaisuja.
"Tämä valtava mahdollisuus innovoinnin näkökulmasta on toisaalta mieletöntä, mutta samalla se synnyttää uudenlaisen riskin."
Vibekoodauksessa lopputulos voi näyttää toimivalta ilman, että tekijällä on välttämättä kykyä arvioida, mitä pinnan alla tapahtuu. Toimiiko autentikointi oikein? Ovatko käyttöoikeudet kunnossa? Mihin data päätyy? Onko AI ehdottama kirjasto turvallinen? Voiko ulkopuolinen päästä käsiksi sellaiseen, mihin hänen ei pitäisi?
Niinpä AI tuottamaa koodia ei siksi pitäisi sellaisenaan ajatella automaattisesti 'turvallisena koodina'. Myös OWASP nostaa esiin AI-generoidun koodin kritiikittömän hyväksymisen kasvavana ohjelmistokehityksen riskinä.Ratkaisu ei kuitenkaan ole innovoinnin hidastaminen, vaan turvallisten reunaehtojen rakentaminen sen ympärille.
Yritystasolla se käytännössä tarkoittaa esimerkiksi sitä, että AI käyttöön, dataan ja käyttöoikeuksiin on entistä selkeämmät pelisäännöt, AI tuottama koodi kulkee normaalien katselmointi- ja testauskäytäntöjen läpi, riippuvuudet ja haavoittuvuudet tarkistetaan ja tuotantoympäristöihin pääsy rajataan tarkasti – asiantuntevan tietoturva-asiantuntijan johdolla. Erityisesti kriittisten toimintojen kohdalla tarvitaan yhä enemmän syvää asiantuntijuutta, jolla on kyky ymmärtää, mitä koodi todella tekee, ja kantaa siitä myös vastuu.
"Hyvä nyrkkisääntö voisikin olla hyvin yksinkertainen: mitä helpommaksi rakentaminen muuttuu, sitä tärkeämmiksi rakentamisen reunaehdot muuttuvat."
2. Miksi tietoturva on yhä kriittisempi osa agenttista ohjelmistokehitystä?
Agenttisessa ohjelmistokehityksessä AI ei enää vain ehdota yksittäistä koodiriviä. Agentti voi suunnitella ratkaisuja, muokata useita tiedostoja, asentaa riippuvuuksia, ajaa komentoja ja testejä sekä käyttää erilaisia työkaluja osana tehtävän suorittamista.
"Kyvykkyyden kasvaessa kasvaa myös niin digitaalinen jalanjälki ja hyökkäyspinta-ala kuin mahdollisen virheen vaikutusalue."
Perinteisessä kehityksessä kehittäjä on jatkuvasti tekemisen välissä: hän kirjoittaa, lukee ja arvioi koodia. Agenttisessa kehityksessä yhdellä ihmisellä voi olla ohjattavanaan huomattavasti suurempi määrä tekemistä. Kaikkea syntyvää ei enää voida arvioida samalla tavalla pelkästään kehittäjän silmin. Tämä itsessään muuttaa tietoturvan roolia.
Tietoturva ei voi olla kehitysprojektin lopussa tehtävä tarkistus, jossa katsotaan, tuliko valmiista tuotteesta turvallinen. Sen täytyy olla osa ympäristöä ja kehitysprosessia: millaiset oikeudet agenteilla on, mihin dataan ja järjestelmiin ne pääsevät käsiksi, mitä ne saavat tehdä itsenäisesti, miten muutoksia testataan ja kuka hyväksyy kriittiset päätökset.
Agenttien kanssa korostuu erityisesti principal of least privilege -periaate: agentille ei anneta kaikkea sitä, mihin kehittäjällä itsellään sattuu olemaan pääsy, vaan vain ne oikeudet, joita kyseisen tehtävän suorittaminen edellyttää.
"Tietoturva ei siis missään nimessä ole agenttisen kehityksen jarru. Päinvastoin! Hyvin rakennettu tietoturva mahdollistaa agenttien hyödyntämisen entistä rohkeammin ja laajemmin."
3. Miksi tietoturvariskit korostuvat erityisesti juuri nyt?
Yksinkertaisesti siksi, että sama teknologia, joka tehostaa puolustajia ja ohjelmistokehittäjiä, tehostaa myös hyökkääjiä.
Yrityksissä tekoälyn käyttöönottoa tehdään usein hallitusti. Uusia työkaluja arvioidaan, käyttöoikeuksia pohditaan, juristit tarkistavat ehtoja ja organisaatio opettelee uusia toimintatapoja.
Hyökkääjillä samoja rajoitteita ei ole, ja samat erittäin tehokkaat tekoälytyökalut tekevät hyökkäyksistä yhä aggressiivisempia. AI voi myös osaltaan madaltaa hyökkäämisen kynnystä sekä auttaa automatisoimaan ja skaalaamaan tekemistä. Samalla yritysten oma digitaalinen jalanjälki kasvaa nopeasti: syntyy uusia sovelluksia, integraatioita, API-rajapintoja, pilvipalveluita, AI-komponentteja ja agentteja. Jokainen uusi yhteys voi tarkoittaa myös uutta kohtaa, jonka turvallisuus pitää ymmärtää.
Siksi tietoturvassa ei voida enää ajatella vain sitä, miten estämme hyökkäyksen.
Yhtä tärkeä kysymys on: mitä tapahtuu, jos joku pääsee läpi?
Missä kriittinen data sijaitsee? Kuinka laajalle hyökkääjä voi päästä? Huomaammeko tapahtuneen? Pystymmekö eristämään ongelman? Onko meillä toimivat varmuuskopiot? Kuka tekee päätökset kriisitilanteessa? Kuinka nopeasti liiketoiminta pystytään palauttamaan?
Hyvä tietoturva rakentuu siksi kolmesta kyvykkyydestä: ennaltaehkäisystä, havaitsemisesta ja palautumisesta.
“Hyökkääjät eivät jää odottamaan yritysten AI-valmiuksien kehittymistä.”
Erkka Korpi, Senior Software and Cloud Security Engineer, Partner, Kipinä
Nopeampi kehitys tarvitsee rinnalleen nopeammin kehittyvän tietoturvan
AI ja agenttisen kehityksen tuoman vauhdin rinnalla yritysten tulisi varmistaa, että kyky hallita riskejä kehittyy samaa tahtia uuden kehityskyvykkyyden kanssa.
Ensimmäinen askel on mielestäni hyvin käytännöllinen: selvitä, missä olet nyt.
Kipinän sovellus-, pilvi- ja AI-tietoturvan arvioinnissa tarkastellaan sovellusta ja sen pilviympäristöä puolustajan sekä hyökkääjän näkökulmasta. AI-tietoturvan arvioinnissa mukaan otetaan lisäksi AI- ja kielimallikomponentit, AI-avusteinen kehitysprosessi sekä datan, käyttöoikeuksien ja työkalujen hallinta.
Tavoitteena ei ole tuottaa pitkää listaa mahdollisista uhista, vaan vastata olennaisempaan kysymykseen: missä suurimmat riskimme ovat juuri nyt – ja mitä meidän kannattaa tehdä niille ensimmäiseksi?
Erkka Korpi, Senior Software and Cloud Security Engineer, Partner, Kipinä
Kirjoittajana on yksi Kipinän kokeneista asiantuntijoista. Erkan suoraselkäinen ja utelias luonne luo intohimon ymmärtää miten asiat todella toimii syvällä pinnan alla. Tietotekniikka on Erkan intohimo niin konsulttina Supercellin tiimissä, kuin vapaa-ajalla: “tykkään mennä sinne todella syvään päätyyn.”