Vulnérabilité de sécurité de Microsoft Copilot : nouvel avertissement sur le risque de fuite de données d'IA

Une grave faille de sécurité dans Microsoft Copilot permet le vol des données des utilisateurs sans intervention. Cet incident soulève une question cruciale : l’intelligence artificielle nous aide-t-elle ou nous met-elle en danger ?

EchoLeak et les risques potentiels de l'intelligence artificielle

Alors que l'intelligence artificielle (IA) s'impose dans tous les métiers, de la rédaction de rapports à l'analyse de données en passant par la réponse aux e-mails, les utilisateurs semblent vivre dans une ère de confort sans précédent. Mais le côté obscur de ce confort commence également à émerger, notamment en matière de sécurité.

Une récente vulnérabilité de sécurité baptisée EchoLeak a exposé les utilisateurs du service Microsoft Copilot au risque de voir leurs données sensibles divulguées sans qu'ils prennent aucune mesure.

Quand l’IA devient une vulnérabilité de sécurité

Selon les recherches de Tuoi Tre Online , EchoLeak est une vulnérabilité de sécurité qui vient d'être enregistrée avec le code CVE-2025-32711, que les experts ont classé comme dangereux à 9,3/10 selon l'échelle du NIST.

Ce qui inquiète les experts en sécurité, c'est sa nature « zéro clic » : les attaquants peuvent exploiter les données de Copilot sans que l'utilisateur ait à cliquer, à ouvrir un fichier ou même à savoir que quelque chose se passe.

Il ne s'agit pas d'un simple bug. L'équipe de recherche d'Aim Labs, qui a découvert la vulnérabilité, estime qu'EchoLeak reflète un défaut de conception courant dans les systèmes RAG (génération augmentée de récupération) et les systèmes d'IA basés sur des agents. Copilot faisant partie de la suite d'applications Microsoft 365 qui stocke les e-mails, documents, feuilles de calcul et agendas de réunions de millions d'utilisateurs, le risque de fuite de données est très élevé.

Le problème ne réside pas seulement dans le code spécifique, mais aussi dans le fonctionnement des grands modèles de langage (MLL). Les IA ont besoin de beaucoup de contexte pour réagir avec précision et ont donc accès à de grandes quantités de données d'arrière-plan. Sans contrôle clair des entrées et des sorties, les IA peuvent être pilotées de manière inconsciente par les utilisateurs. Cela crée un nouveau type de « porte dérobée », non pas à cause d'une faille dans le code, mais parce que les IA se comportent en dehors de la compréhension humaine.

Microsoft a rapidement publié un correctif, et aucun dommage concret n'a été signalé jusqu'à présent. Mais la leçon d'EchoLeak est claire : lorsque l'IA est profondément intégrée aux systèmes opérationnels, même de petites erreurs dans sa compréhension du contexte peuvent avoir des conséquences majeures sur la sécurité.

Plus l'IA est pratique, plus les données personnelles sont fragiles

L'incident EchoLeak soulève une question inquiétante : les utilisateurs font-ils tellement confiance à l'IA qu'ils ignorent qu'ils peuvent être pistés ou que leurs informations personnelles peuvent être divulguées par un simple SMS ? Une vulnérabilité récemment découverte, permettant aux pirates d'extraire discrètement des données sans que les utilisateurs aient à appuyer sur un bouton, était autrefois réservée aux films de science-fiction, mais elle est désormais une réalité.

Alors que les applications d’IA sont de plus en plus populaires, des assistants virtuels comme Copilot, des chatbots dans le secteur bancaire et l’éducation , aux plateformes d’IA qui écrivent du contenu et traitent les e-mails, la plupart des gens ne sont pas avertis de la manière dont leurs données sont traitées et stockées.

« Discuter » avec un système d’IA ne consiste plus seulement à poser quelques questions par commodité, mais peut également révéler par inadvertance votre localisation, vos habitudes, vos émotions ou même les informations de votre compte.

Au Vietnam, nombreux sont ceux qui connaissent l'utilisation de l'IA sur les téléphones et les ordinateurs sans posséder les connaissances de base en sécurité numérique . Nombreux sont ceux qui partagent des informations privées avec l'IA, persuadés qu'il s'agit simplement d'une machine. Mais en réalité, derrière tout cela se cache un système capable d'enregistrer, d'apprendre et de transmettre des données, surtout lorsque la plateforme d'IA provient d'un tiers et n'a pas été clairement testée en termes de sécurité.

Pour limiter les risques, les utilisateurs ne doivent pas nécessairement renoncer à la technologie, mais doivent être plus vigilants : ils doivent vérifier soigneusement si l’application d’IA qu’ils utilisent a une source fiable, si les données sont cryptées, et surtout ne pas partager d’informations sensibles telles que des numéros d’identification, des comptes bancaires, des informations de santé… avec un quelconque système d’IA sans en être clairement avertis.

Tout comme lorsque l’Internet est né, l’IA a également besoin de temps pour se perfectionner et pendant ce temps, les utilisateurs doivent être les premiers à se protéger de manière proactive.

Partagez-vous parfois trop de choses avec l’IA ?

Lorsqu'ils saisissent la commande « Réécrire ce compte rendu, mais de manière plus conviviale » ou « Résumer la réunion d'hier », nombreux sont ceux qui ne pensent pas que toutes les informations saisies, y compris les détails internes, les sentiments personnels ou les habitudes de travail, peuvent être enregistrées par l'IA. Nous nous sommes progressivement habitués à discuter avec des outils intelligents, oubliant la frontière entre commodité et confidentialité.

Retour au sujet

TUAN VI

Source: https://tuoitre.vn/lo-hong-bao-mat-trong-microsoft-copilot-canh-bao-moi-ve-nguy-co-ro-ri-du-lieu-tu-ai-20250620103045262.htm