Faillete de sécurité dans Microsoft Copilot : nouvel avertissement concernant le risque de fuites de données liées à l’IA.

Une faille de sécurité critique dans Microsoft Copilot permet le vol de données utilisateur sans aucune intervention de l'utilisateur. Cet incident soulève une question majeure : l'intelligence artificielle nous aide-t-elle ou nous met-elle en danger ?

EchoLeak et les risques potentiels liés à l'intelligence artificielle.

L'intelligence artificielle (IA) s'intégrant de plus en plus à toutes les tâches, de la rédaction de rapports aux réponses par courriel en passant par l'analyse de données, les utilisateurs semblent vivre dans une ère de confort sans précédent. Cependant, les inconvénients de ce confort commencent également à apparaître, notamment en matière de sécurité.

Une récente faille de sécurité, baptisée EchoLeak, expose les utilisateurs du service Microsoft Copilot à un risque de fuite de données sensibles sans qu'aucune action ne soit requise.

Quand l'IA devient une vulnérabilité de sécurité

Selon l'enquête de Tuoi Tre Online , EchoLeak est une vulnérabilité de sécurité nouvellement identifiée sous le code CVE-2025-32711, que les experts ont classée comme dangereuse à 9,3/10 sur l'échelle NIST.

Ce qui inquiète les experts en sécurité, c'est sa nature « zéro clic » : les attaquants peuvent exploiter les données de Copilot sans que l'utilisateur clique, ouvre de fichiers, ni même se rende compte de ce qui se passe.

Il ne s'agit pas d'un simple bug. L'équipe de recherche d'Aim Labs, qui a découvert la vulnérabilité, estime qu'EchoLeak révèle un défaut de conception courant dans les systèmes et agents d'IA basés sur la génération augmentée par récupération (RAG). Étant donné que Copilot fait partie de la suite d'applications Microsoft 365, qui héberge les courriels, documents, feuilles de calcul et calendriers de réunions de millions d'utilisateurs, le risque de fuite de données est très sérieux.

Le problème ne réside pas uniquement dans ce fragment de code, mais dans le fonctionnement des grands langages de modélisation (LLM). L'IA a besoin d'un contexte riche pour fournir des réponses précises et, par conséquent, elle a accès à d'immenses quantités de données de base. Sans un contrôle clair du flux d'entrée-sortie, l'IA peut être totalement manipulée à l'insu de l'utilisateur. Cela crée une nouvelle forme de « porte dérobée », non pas due à une vulnérabilité du code, mais parce que l'IA se comporte de manière incompréhensible pour l'humain.

Microsoft a rapidement publié un correctif et aucune perte de données n'a été signalée à ce jour. Cependant, la leçon d'EchoLeak est claire : lorsque l'IA est profondément intégrée aux systèmes d'information, même une petite erreur dans sa compréhension du contexte peut avoir des conséquences majeures en matière de sécurité.

Plus l'IA devient pratique, plus les données personnelles deviennent vulnérables.

L'incident EchoLeak soulève une question inquiétante : les utilisateurs font-ils trop confiance à l'IA sans se rendre compte qu'ils pourraient être suivis à la trace ou que leurs informations personnelles pourraient être divulguées après un seul message ? Cette vulnérabilité récemment découverte, qui permet aux pirates d'extraire des données discrètement, sans que l'utilisateur n'ait à intervenir, relevait autrefois de la science-fiction, mais est désormais une réalité.

Alors que les applications d'IA gagnent en popularité, des assistants virtuels comme Copilot et des chatbots dans les secteurs bancaire et éducatif aux plateformes d'IA pour la rédaction de contenu et le traitement des courriels, la plupart des gens ne sont pas avertis de la manière dont leurs données sont traitées et stockées.

« Discuter » avec un système d'IA ne se limite plus à envoyer quelques questions pratiques ; cela peut révéler par inadvertance votre localisation, vos habitudes, vos émotions, voire même des informations sur votre compte.

Au Vietnam, nombreux sont ceux qui utilisent l'IA sur leurs téléphones et ordinateurs sans posséder de connaissances de base en sécurité numérique . Beaucoup partagent des informations privées avec l'IA, la considérant comme une simple machine. Or, en réalité, elle constitue un système capable d'enregistrer, d'apprendre et de transmettre des données, notamment lorsque la plateforme d'IA provient d'un tiers et n'a pas fait l'objet d'une vérification de sécurité approfondie.

Pour atténuer les risques, les utilisateurs n'ont pas nécessairement à abandonner la technologie, mais ils doivent être plus vigilants : ils doivent vérifier attentivement si les applications d'IA qu'ils utilisent proviennent d'une source fiable, si les données sont cryptées et, surtout, ils ne doivent pas partager d'informations sensibles telles que des numéros d'identification, des coordonnées bancaires, des informations de santé, etc., avec un système d'IA sans avertissement clair.

Tout comme lors de l'apparition d'Internet, l'IA a également besoin de temps pour mûrir, et pendant cette période, les utilisateurs devraient être les premiers à se protéger de manière proactive.

Avez-vous déjà partagé trop d'informations avec une IA ?

Lorsqu'ils saisissent des commandes comme « réécris ce rapport, mais de façon plus douce » ou « résume la réunion d'hier », beaucoup ignorent que toutes les informations qu'ils saisissent, y compris les détails internes, les sentiments personnels ou les habitudes de travail, peuvent être enregistrées par l'IA. Nous nous habituons à interagir avec des outils intelligents, oubliant la frontière entre commodité et respect de la vie privée.

Revenons au sujet.

TUAN VI

Source : https://tuoitre.vn/lo-hong-bao-mat-trong-microsoft-copilot-canh-bao-moi-ve-nguy-co-ro-ri-du-lieu-tu-ai-20250620103045262.htm