Kerentanan Keselamatan Microsoft Copilot: Amaran Baharu tentang Risiko Kebocoran Data AI

Kepincangan keselamatan yang serius dalam Microsoft Copilot membolehkan data pengguna dicuri tanpa sebarang tindakan. Insiden itu menimbulkan persoalan besar: Adakah kecerdasan buatan membantu kita, atau meletakkan kita dalam risiko?

EchoLeak dan potensi risiko kecerdasan buatan

Memandangkan kecerdasan buatan (AI) menjadi sebahagian daripada setiap pekerjaan, daripada membantu dalam menulis laporan, membalas e-mel kepada menganalisis data, pengguna nampaknya hidup dalam era kemudahan yang belum pernah terjadi sebelumnya. Tetapi sisi gelap kemudahan juga mula muncul, terutamanya apabila ia berkaitan dengan keselamatan.

Kerentanan keselamatan baru-baru ini yang digelar EchoLeak telah menyebabkan pengguna perkhidmatan Microsoft Copilot berisiko mengalami kebocoran data sensitif mereka tanpa mereka mengambil sebarang tindakan.

Apabila AI menjadi kelemahan keselamatan

Menurut penyelidikan Tuoi Tre Online , EchoLeak ialah kelemahan keselamatan yang baru sahaja direkodkan dengan kod CVE-2025-32711, yang dinilai oleh pakar sebagai berbahaya pada 9.3/10 mengikut skala NIST.

Apa yang membimbangkan pakar keselamatan ialah sifat "sifar klik" : penyerang boleh mengeksploitasi data daripada Copilot tanpa pengguna perlu mengklik, membuka fail atau mengetahui apa-apa yang berlaku.

Ini bukan pepijat mudah. Pasukan penyelidik di Aim Labs, yang menemui kelemahan itu, percaya EchoLeak mencerminkan kecacatan reka bentuk yang biasa dalam RAG (generasi dipertingkatkan semula) dan sistem AI berasaskan ejen. Oleh kerana Copilot ialah sebahagian daripada suite aplikasi Microsoft 365 yang menyimpan e-mel, dokumen, hamparan dan jadual mesyuarat berjuta-juta pengguna, risiko kebocoran data adalah sangat serius.

Masalahnya bukan hanya terletak pada kod tertentu, tetapi pada cara model bahasa besar (LLM) beroperasi. AI memerlukan banyak konteks untuk bertindak balas dengan tepat, oleh itu mereka diberi akses kepada sejumlah besar data latar belakang. Tanpa kawalan yang jelas pada input dan output, AI boleh "didorong" dengan cara yang tidak diketahui oleh pengguna. Ini mewujudkan jenis "pintu belakang" baharu bukan kerana kecacatan dalam kod, tetapi kerana AI berkelakuan di luar pemahaman manusia.

Microsoft dengan cepat mengeluarkan patch, dan tiada kerosakan dunia nyata telah dilaporkan setakat ini. Tetapi pengajaran daripada EchoLeak adalah jelas: Apabila AI disepadukan secara mendalam ke dalam sistem kerja, walaupun ralat kecil dalam cara ia memahami konteks boleh membawa kesan keselamatan yang besar.

AI yang lebih mudah, data peribadi yang lebih rapuh

Insiden EchoLeak menimbulkan persoalan yang membimbangkan: adakah pengguna begitu mempercayai AI sehingga mereka tidak menyedari bahawa mereka boleh dijejaki atau maklumat peribadi mereka didedahkan dengan hanya mesej teks? Kerentanan yang baru ditemui yang membolehkan penggodam mengekstrak data secara senyap tanpa pengguna perlu menekan sebarang butang adalah sesuatu yang dahulunya hanya dilihat dalam filem fiksyen sains, tetapi kini menjadi kenyataan.

Walaupun aplikasi AI semakin popular daripada pembantu maya seperti Copilot, chatbots dalam perbankan, pendidikan , kepada platform AI yang menulis kandungan, memproses e-mel, kebanyakan orang tidak diberi amaran tentang cara data mereka diproses dan disimpan.

"Berbual" dengan sistem AI bukan lagi sekadar bertanya beberapa soalan untuk kemudahan, tetapi juga boleh mendedahkan lokasi, tabiat, emosi, atau maklumat akaun anda secara tidak sengaja.

Di Vietnam, ramai orang sudah biasa menggunakan AI pada telefon dan komputer tanpa pengetahuan asas tentang keselamatan digital . Ramai orang berkongsi maklumat peribadi dengan AI kerana mereka percaya "ia hanya sebuah mesin". Tetapi pada hakikatnya, di belakangnya terdapat sistem yang boleh merakam, mempelajari dan menghantar data ke tempat lain, terutamanya apabila platform AI berasal dari pihak ketiga dan belum diuji dengan jelas untuk keselamatan.

Untuk mengehadkan risiko, pengguna tidak semestinya perlu melepaskan teknologi, tetapi perlu lebih sedar: mereka harus menyemak dengan teliti sama ada aplikasi AI yang mereka gunakan mempunyai sumber yang boleh dipercayai, sama ada data disulitkan, dan terutamanya tidak berkongsi maklumat sensitif seperti nombor ID, akaun bank, maklumat kesihatan... dengan mana-mana sistem AI tanpa diberi amaran dengan jelas.

Sama seperti ketika internet pertama kali dilahirkan, AI juga memerlukan masa untuk menyempurnakan dan pada masa itu, pengguna harus menjadi yang pertama melindungi diri mereka secara proaktif.

Adakah anda pernah berkongsi terlalu banyak dengan AI?

Apabila menaip arahan "tulis semula laporan ini untuk saya tetapi dengan cara yang lebih mesra" atau "ringkaskan mesyuarat semalam", ramai orang tidak menyangka bahawa semua maklumat yang mereka masukkan, termasuk butiran dalaman, perasaan peribadi atau tabiat kerja, boleh direkodkan oleh AI. Kami secara beransur-ansur menjadi terbiasa bersembang dengan alat pintar, melupakan sempadan antara kemudahan dan privasi.

Kembali ke topik

TUAN VI

Sumber: https://tuoitre.vn/lo-hong-bao-mat-trong-microsoft-copilot-canh-bao-moi-ve-nguy-co-ro-ri-du-lieu-tu-ai-20250620103045262.htm