Generatiivinen tekoäly on noussut ohjelmistoturvallisuuden uudeksi voimaksi – mutta samalla se on tuonut mukanaan uudenlaisen ongelman. Tekoäly löytyy myös itse keksimiään, olemattomia bugeja.
Curl-projektin luoja ja pääylläpitäjä Daniel Stenberg varoitti jo kesällä 2025, että niin sanotut “AI slop” – raportit kuormittavat avoimen lähdekoodin hankkeita. Stenbergin mukaan jopa viidennes kaikista Curlille saapuneista tietoturvaraporteista oli tekoälyn generoimia ja täysin virheellisiä.
- On vaikea erottaa, mikä on aito raportti ja mikä vain tekoälyn keksimä, Stenberg kirjoitti blogissaan Death by a Thousand Slops. Hänen mukaansa ongelma ei ole yksittäinen, vaan laaja ilmiö: tekoäly pystyy tuottamaan uskottavan näköisiä bugiraportteja, jotka kuulostavat teknisesti päteviltä, mutta eivät perustu todelliseen koodivirheeseen.
AI-slopin ongelma ei ole pelkästään ajanhukkaa. Se voi myös heikentää luottamusta oikeisiin raportteihin ja viedä kehittäjien huomion todellisista tietoturvariskeistä.
Samaan aikaan toinen tapaus osoittaa, että tekoäly voi parhaimmillaan tehdä juuri päinvastoin. Australialainen tietoturva-asiantuntija Joshua Rogers käytti uusia generatiiviseen tekoälyyn perustuvia koodianalyysityökaluja, ja löysi yli 50 todellista virhettä Curlin lähdekoodista.
Rogers testasi muun muassa ZeroPath-nimistä ohjelmaa, joka yhdistää koodin rakenteellisen analyysin ja luonnollisen kielen ymmärryksen. Tekoäly havaitsi virheitä, joita tunnetut työkalut kuten clang-tidy, scan-build, CodeSonar ja Coverity eivät olleet koskaan raportoineet – vaikka Curlin koodi on niiden läpikäymää lähes päivittäin.
Rogersin raportit olivat tarkasti validoituja, ja ne johtivat konkreettisiin korjauksiin Curlin lähdekoodissa. Yksikään virhe ei ollut kriittinen, mutta useat paljastivat loogisia ja rakenteellisia puutteita, jotka olisivat voineet aiheuttaa ongelmia tulevaisuudessa.
Toisaalta tekoäly pystyy löytämään virheitä, joita ihmiset ja perinteiset analyysityökalut eivät koskaan huomaisi. Toisaalta se voi tuottaa uskottavia mutta virheellisiä raportteja, jotka hidastavat kehitystyötä ja hämärtävät todellisuuden ja fiktion rajaa.
