Biztonsági rés a Microsoft Copilotban: Új figyelmeztetés a mesterséges intelligencia okozta adatszivárgás kockázatáról.

A Microsoft Copilot egyik kritikus biztonsági rése lehetővé teszi a felhasználói adatok ellopását bármilyen beavatkozás nélkül. Ez az incidens egy fontos kérdést vet fel: Vajon a mesterséges intelligencia segít, vagy veszélybe sodor minket?

Az EchoLeak és a mesterséges intelligencia lehetséges kockázatai.

Ahogy a mesterséges intelligencia (MI) minden feladat szerves részévé válik, a jelentésírástól és az e-mailekre adott válaszoktól kezdve az adatelemzésig, úgy tűnik, hogy a felhasználók példátlan kényelem korában élnek. De ennek a kényelemnek a hátrányai is kezdenek megmutatkozni, különösen a biztonsági kérdésekben.

Egy nemrégiben megjelent, EchoLeak névre keresztelt biztonsági rés a Microsoft Copilot szolgáltatás felhasználóit érzékeny adatok szivárgásának kockázatának tette ki anélkül, hogy bármilyen intézkedést kellett volna tenni.

Amikor a mesterséges intelligencia biztonsági réssé válik

A Tuoi Tre Online vizsgálata szerint az EchoLeak egy újonnan azonosított biztonsági rés, amelynek kódja CVE-2025-32711, és amelyet a szakértők a NIST skálán 9,3/10-es veszélyesnek minősítettek.

A biztonsági szakértőket aggasztja a „kattintásmentes” jellege: a támadók a Copilotból származó adatokat anélkül is kihasználhatják, hogy a felhasználó rákattintana, fájlokat nyitna meg, vagy akár tudná, hogy bármi történik.

Ez nem egy egyszerű hiba. Az Aim Labs kutatócsoportja, amely felfedezte a sebezhetőséget, úgy véli, hogy az EchoLeak egy gyakori tervezési hibát tükröz a RAG (retrieval-augmented generation) alapú MI-rendszerekben és -ügynökökben. Mivel a Copilot a Microsoft 365 alkalmazáscsomag része, amely több millió felhasználó e-mailjeit, dokumentumait, táblázatait és értekezletnaptárait tárolja, az adatszivárgás kockázata nagyon komoly.

A probléma nem csak magával a kódrészlettel van, hanem azzal is, hogyan működnek a nagyméretű modellnyelvek (LLM-ek). A mesterséges intelligenciának sok kontextusra van szüksége a pontos válaszok adásához, ezért hatalmas mennyiségű háttéradathoz fér hozzá. A bemeneti-kimeneti folyamat feletti egyértelmű kontroll nélkül a mesterséges intelligencia teljesen manipulálható a felhasználó tudta nélkül. Ez egy újfajta „hátsó ajtót” hoz létre, nem a kódban lévő sebezhetőség miatt, hanem azért, mert a mesterséges intelligencia az emberi felfogóképességen túl viselkedik.

A Microsoft gyorsan kiadott egy javítást, és eddig nem jelentettek tényleges veszteségeket. Az EchoLeak tanulsága azonban egyértelmű: amikor a mesterséges intelligencia mélyen integrálódik a munkahelyi rendszerekbe, a kontextus megértésében bekövetkező apró hibák is súlyos biztonsági következményekkel járhatnak.

Minél kényelmesebbé válik a mesterséges intelligencia, annál sebezhetőbbé válnak a személyes adatok.

Az EchoLeak incidens aggasztó kérdést vet fel: vajon a felhasználók túlságosan megbíznak-e a mesterséges intelligenciában anélkül, hogy felismernék, hogy egyetlen üzenet elküldése után nyomon követhetik őket, vagy személyes adataik kiszivároghatnak ? Az újonnan felfedezett sebezhetőség, amely lehetővé teszi a hackerek számára, hogy csendben kinyerjenek adatokat anélkül, hogy a felhasználónak bármilyen gombot megnyomnia kellene, valami olyasmi, ami korábban csak a sci-fiben volt látható, de mára valósággá vált.

Miközben a mesterséges intelligencia alkalmazásai egyre népszerűbbek, a virtuális asszisztensektől, mint például a Copilot, és a banki és oktatási chatbotoktól kezdve a tartalomíráshoz és e-mail-feldolgozáshoz használt mesterséges intelligencia platformokig, a legtöbb embert nem tájékoztatják arról, hogyan dolgozzák fel és tárolják az adataikat.

Egy mesterséges intelligencia rendszerrel „csevegni” már nem csupán néhány kényelmes kérdés feltevéséről szól; akaratlanul is felfedheti a tartózkodási helyünket, szokásainkat, érzelmeinket, vagy akár a fiókadatainkat is.

Vietnámban sokan ismerik a mesterséges intelligencia használatát telefonjukon és számítógépükön anélkül, hogy alapvető digitális biztonsági ismeretekkel rendelkeznének . Sokan osztanak meg privát információkat a mesterséges intelligenciával, azt gondolva, hogy „ez csak egy gép”. A valóságban azonban mögötte egy olyan rendszer áll, amely képes rögzíteni, tanulni és adatokat továbbítani máshová, különösen akkor, ha a mesterséges intelligencia platformja harmadik féltől származik, és nem esett át alaposan biztonsági ellenőrzésen.

A kockázatok mérséklése érdekében a felhasználóknak nem feltétlenül kell lemondaniuk a technológiáról, de tudatosabbaknak kell lenniük: gondosan ellenőrizniük kell, hogy az általuk használt MI-alkalmazások megbízható forrásból származnak-e, hogy az adatok titkosítva vannak-e, és különösen nem szabad érzékeny információkat, például személyazonosító számokat, bankszámlaadatokat, egészségügyi információkat stb. megosztaniuk semmilyen MI-rendszerrel egyértelmű figyelmeztetés nélkül.

Csakúgy, mint az internet megjelenésekor, a mesterséges intelligenciának is időre van szüksége az éréshez, és ez idő alatt a felhasználóknak kell elsőként proaktívan megvédeniük magukat.

Megosztottál már túl sok információt a mesterséges intelligenciával?

Amikor olyan parancsokat gépelnek be, mint például az „írd át nekem ezt a jelentést, de finomabban” vagy az „összefoglald a tegnapi megbeszélést”, sokan nincsenek tisztában azzal, hogy az összes beírt információt, beleértve a belső részleteket, a személyes érzéseket vagy a munkaszokásokat, a mesterséges intelligencia rögzítheti. Kezdünk hozzászokni az intelligens eszközökhöz, elfelejtve a kényelem és a magánélet közötti határt.

Vissza a témához

TUAN VI.

Forrás: https://tuoitre.vn/lo-hong-bao-mat-trong-microsoft-copilot-canh-bao-moi-ve-nguy-co-ro-ri-du-lieu-tu-ai-20250620103045262.htm