Vuonna 2026 raportoitiin päivässä 131% enemmän CVE:itä kuin edellisenä vuonna.

Vertaa

Tekoäly ja tietoturva

Missä tekoäly auttaa ja missä tarvitset determinististä näyttöä.

Päivitetty

An inferred answer or a recorded one Asked what went into a build, an AI tool infers an answer from code and files; the answer can vary between runs and cannot show what it missed. A deterministic record from the build lists what the job fetched, gives the same record for the same build, and states its own completeness. Used together, AI works on the accurate record, for example to triage findings or write fix pull requests. What went into this build? AI-generated answer Inferred from code and files Can vary between runs Cannot show what it missed A guess, not evidence Deterministic record Recorded by CRACI during the build What the job fetched Same build, same record States its completeness Use both AI triages findings and writes fix pull requests on top of the accurate record

Jokainen vertailu kertoo, missä toinen tuote on hyvä, missä CRACI eroaa ja milloin käyttäisit molempia. Kaikki kategoriat: kaikki vertailut.

Kaksi kerrosta, kaksi tehtävää

Useimmat tietoturvatiimit ottavat jo tekoälyä käyttöön: koodin katselmointiin, löydösten triageen (luokittelu ja priorisointi) ja korjausten kirjoittamiseen. Se on hyvä käyttötapa. Kysymys on siitä, minkä pohjalta tekoäly toimii. Tietoturvaohjelma tarvitsee kaksi kerrosta:

  • Tekoälykerros, joka lukee, selittää ja toimii: koodikatselmointi, triage ja korjaukset pull requesteina.
  • Tallennekerros, joka kertoo, mitä todella tapahtui: mitkä riippuvuudet kukin buildi haki, tallennettuna joka kerta samalla tavalla, ja missä tallenne on puutteellinen.

Tekoäly toimii parhaiten tallenteen päällä. Tämän sivun loppuosa ja alla olevat oppaat kertovat, missä kumpikin kerros on vahva.

Kolme testiä tietoturvadatalle

Tietoturvadatan, joka lähtee kehitystiimin ulkopuolelle, auditointiin, asiakkaan kyselylomakkeeseen tai CRA-raporttiin, on läpäistävä kolme testiä.

  • Toistettavuus. Kysy sama kysymys kahdesti ja saat saman vastauksen. Mallin tuotos voi vaihdella ajojen välillä; buildin tallenne ei vaihtele.
  • Auditoitavuus. Näytä, mistä tiedät. Tallenne osoittaa buildiin, josta se on peräisin; päätelty vastaus ei pysty näyttämään perustelujaan samalla tavalla.
  • Kattavuus. Et voi raportoida sitä, mitä et koskaan nähnyt. Tekoälytyökalu tai skanneri ei voi listata riippuvuutta, jota sille ei koskaan näytetty.

Determinismi on välttämätöntä mutta ei riittävää. SBOM-generaattorit ovat deterministisiä ja silti eri mieltä keskenään, joten aukon sulkee havainnointi: sen tallentaminen, mitä buildi haki, ja sen kertominen, milloin tallenne on puutteellinen. CRACI merkitsee jokaisen jobin ja välimuistin tilaan Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Tekoäly vs. deterministinen tietoturva esimerkin kanssa

Missä tekoäly onnistuu

  • Koodikatselmointi: lukutyö, jonka kiireinen katselmoija ohittaa, kommentteina ja ehdotuksina pull requesteihin.
  • Triage: tietoturvatiedotteen selittäminen selkokielellä ja sen järjestäminen, mitä katsoa ensin.
  • Korjaukset: muutoksen kirjoittaminen, koodin sovittaminen rikkovaan päivitykseen ja pull requestin avaaminen. Se, auttavatko korjaukset, riippuu siitä, mitä tekoälyä pyydetään korjaamaan. Haavoittuvuuksien korjaus tekoälyllä
  • Työskentely tallennetun SBOM:n kanssa: yhteenveto siitä, mitkä komponentit kantavat riskiä, ja siihen liittyvän dokumentaation luonnostelu ihmisen tarkistettavaksi.

Missä tarvitset tallenteen

  • "Koskeeko tämä meitä?" Kun uusi tietoturvatiedote julkaistaan, vastauksen on katettava jokainen buildi, joka haki paketin, ei vain ne, joita malli tai skannaus sattui katsomaan.
  • Tekoälyn lisäämät riippuvuudet. Tekoälypohjaiset koodausavustajat lisäävät riippuvuuksia ja nimeävät joskus paketteja, joita ei ole olemassa. Buildin tallenne näyttää, mitä todella ladattiin.
  • Auditoinnit ja asiakkaiden kysymykset. Auditoija tai asiakas haluaa näyttöä, jonka voi tarkistaa, ei kuvausta.
  • SBOM:t CRA:n alaisuudessa. Tekoälyn tuottama SBOM on arvaus buildistasi; EU:n kyberkestävyyssäädös (Cyber Resilience Act) ja CISA:n vuoden 2026 vähimmäiselementit edellyttävät tallennetta. Miksi tekoälyn tuottama SBOM ei ole näyttöä

Sääntö on yksinkertainen: anna buildin tuottaa tallenne ja tekoälyn lukea se. Miten tekoälyn tietoturvatyökalut ja CRACI sopivat yhteen

CRACI verrattuna kuhunkin työkaluun

Tekoäly ja tietoturva: kysymykset ja vastaukset

Voiko tekoälytyökalu kirjoittaa SBOM:ni?

Se voi kirjoittaa nopeasti jotain, joka näyttää SBOM:lta. Malli työskentelee kuitenkin sille näytetyn koodin ja tiedostojen pohjalta, ei sen pohjalta, mitä buildi haki, ja hallusinointi on dokumentoitu virhetyyppi. Viranomaiset ja asiakkaat pyytävät tallennetta siitä, mitä tuote sisältää. Anna buildin tuottaa SBOM ja mallin lukea se.

Korvaavatko tekoälypohjaiset tietoturvatyökalut SCA:n tai buildin näytön?

Eivät. Tekoälyn tekemä koodikatselmointi, triage ja korjaukset pull requesteina ovat hyödyllisiä lisäyksiä tietoturvaohjelmaan, mutta ne toimivat parhaiten täydellisen ja toistettavan datan päällä. Kerroksilla on eri tehtävät, ja useimmat tiimit tarvitsevat molemmat.

Riittääkö deterministinen skanneri?

Determinismi on välttämätöntä mutta ei riittävää. SBOM-generaattorit ovat deterministisiä ja silti eri mieltä keskenään, koska kukin päättää itse, mikä lasketaan komponentiksi. Deterministinen skanneri voi toistaa saman puutteellisen vastauksen joka kerta. Aukon sulkee se, että tallennetaan, mitä buildi todella haki, ja kerrotaan, milloin tallenne on puutteellinen.

Mihin CRACI sijoittuu?

Tallennekerrokseen. CRACI korvaa GitHub Actions -runnerin, ja pakettitietoinen välityspalvelin (proxy) tallentaa ajon aikana, mitä kukin jobi haki. Tuloksena on SBOM siitä, mitä jobi haki, kattavuustila jokaiselle jobille ja välimuistille sekä verkkojälki. API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot (provenance). Tekoälytyökalut voivat toimia tämän tallenteen päällä.

Muut kategoriat

Näe CRACI omassa putkessasi

Varaa demo, niin käymme läpi buildisi, SBOM:isi ja vaatimustenmukaisuuden näyttösi.

Varaa demo