Microsoftin Defender Security Research -tiimi julkaisi neljä viikkoa sitten kaksi CVE-haavoittuvuutta omasta Semantic Kernel -kehyksestään. CVE-2026-26030 on In-Memory Vector Storessa. CVE-2026-25592 tekee Sessions Python Pluginista keinon kirjoittaa mielivaltaisia tiedostoja. Tiimin valitsema näkökulma on se, jota kannattaa pysähtyä miettimään. Ei bugeja. Arkkitehtuuri. Tiimin omin sanoin: ”developed by design.”

Tähän ilmaukseen kannattaa kiinnittää huomiota. Kun kielimalli (LLM) saa käyttöönsä lisäosia, malli tekee juuri sitä, mihin se on rakennettu: muuttaa luonnollista kieltä työkalukutsuiksi. Jos hyökkääjä hallitsee sisään menevää kieltä, hyökkääjä hallitsee myös ulos tulevia työkalukutsuja. Siinä vaiheessa kehoteinjektio lakkaa olemasta sisältöongelma. Siitä tulee suoritusongelma. Microsoft vain antoi ilmeiselle CVE-numerot.

Microsoftin kirjoitus siirtyy sitten aiheeseen ”Defending the agentic edge”. Se kannattaa lukea. Neuvot ovat hyviä, ja suurin osa niistä koskee agentin puolen koventamista: käyttöoikeuksia, hiekkalaatikointia, lisäosien tarkastelua ja ajonaikaista valvontaa. Se ei kata agenttia edeltävää puoliskoa. Ennen kuin kielimalli edes näkee kehotteen, josta tulee komentotulkki, vaarallisen syötteen on päästävä kehotteeseen. Siihen heySec keskittyy.

Mitä eristäminen tarkoittaa kehotteen rajalla

Eristäminen on kehotteen puolen vastaus Microsoftin nimeämään arkkitehtuuriongelmaan. Julkaisussa kaksi asiaa, ei enempää:

  1. Eristystunnisteet. Jokainen kehotteeseen menevä ulkoinen tieto kääritään niin, että kielimalli erottaa toisistaan ”tämä on ohjeesi” ja ”tämä on vihamielistä sisältöä, jonka pyydän sinua tiivistämään”. Kääre pannaan täytäntöön rajalla, eikä se ole järjestelmäkehotteeseen kirjoitettu tyylillinen toive, jonka toimimista toivotaan sormet ristissä.
  2. Uhkatason skannaus. Jokainen ulkoinen sisältö verrataan tunnettuihin kehoteinjektiokuvioihin, pisteytetään ja merkitään riskitasolla, jonka perusteella kutsuva sovellus voi toimia, ennen kuin se päätyy agentin silmukkaan.

Tämä on lupauksemme julkaisuhetkellä. Julkaisuversiossa ei ole laajaa ”agenttipalomuuri”-kattavuutta. Työkalukutsuja ei siepata ajon aikana. Emme lupaa, että heySec korvaa hiekkalaatikkosi tai käyttöoikeusmallisi. Julkaisussa toimitamme kehotteen puolen puolustuksen juuri sitä uhkaa vastaan, josta Microsoft julkaisi CVE:t.

Miksi tämä on tärkeää juuri nyt

Agenttikehyksiä otetaan käyttöön nopeammin kuin niiden tietoturva ehtii perässä. Semantic Kernel on yksi monista. Jos Microsoftin oma tietoturvatiimi julkaisee CVE:itä omasta kehyksestään, muilla kehyksillä on sama rakenne, vain ilman CVE-raporttia. Agentteja julkaisevat tiimit huomaavat pian, minkä puoliskon puolustuksesta ne hoitavat itse ja minkä ne luulivat kehyksen hoitavan. Kehotteen raja kuuluu lähes kaikilla jälkimmäiseen.

Rakennettu EU:ssa

heySec on rakennettu Virossa, sitä ylläpidetään EU:ssa, ja se noudattaa GDPR:ää oletuksena. EU:ssa toimiville kehitystiimeille, jotka lukivat Microsoft Defenderin CVE:t ja alkoivat miettiä agenttiensa datan sijaintia, tämä sopii suoraan. Ei datan vientiä, ei rajat ylittävää telemetriaa eikä erillistä tietojenkäsittelysopimuksesta (DPA) neuvottelua heti alkuun.

Aluksi vain kutsusta

Aloitamme vain kutsusta. Syy on osin kapasiteetti ja osin oikeellisuus. Eristäminen kannattaa ottaa käyttöön niin, että perustajat seuraavat ensimmäisiä asennuksia, ei massana kerralla. Kutsulistaa täytetään niistä kehittäjäyhteisöistä, jotka ovat viimeisen vuoden ajan puhuneet julkisesti kehoteinjektiosta suoritusriskinä. Jos tiimisi on yksi niistä ja haluat testata eristyskerrosta omilla agenteillasi, jonotuslista löytyy osoitteesta heysec.com.

Microsoft teki alalle palveluksen julkaisemalla CVE:t, jotka antavat nimen sille, mistä yhteisössä aiemmin puhuttiin vain ympäripyöreästi. Eristäminen kehotteen rajalla on puolet vastauksesta. Me toimitamme sen puolen. Toinen puoli on sinun.

Lähde: When prompts become shells: RCE vulnerabilities in AI agent frameworks, Microsoft Security Blog, 7.5.2026. microsoft.com/en-us/security/blog/2026/05/07/prompts-become-shells-rce-vulnerabilities-ai-agent-frameworks