Kerentanan Microsoft Copilot: Amaran Baharu tentang Risiko Kebocoran Data AI

Kepincangan keselamatan yang serius dalam Microsoft Copilot membolehkan data pengguna dicuri tanpa sebarang tindakan. Insiden itu menimbulkan persoalan besar: Adakah kecerdasan buatan membantu kita, atau meletakkan kita dalam risiko?

EchoLeak dan Potensi Risiko Kepintaran Buatan

Memandangkan kecerdasan buatan (AI) menjadi sebahagian daripada segala-galanya daripada menulis laporan, membalas e-mel kepada menganalisis data, nampaknya kita hidup dalam era kemudahan yang belum pernah terjadi sebelumnya. Tetapi kelemahan kemudahan juga mula menjadi jelas, terutamanya apabila ia berkaitan dengan keselamatan.

Kerentanan keselamatan baru-baru ini yang digelar EchoLeak telah menyebabkan pengguna perkhidmatan Microsoft Copilot berisiko mengalami kebocoran data sensitif mereka tanpa mereka mengambil sebarang tindakan.

Apabila AI menjadi kelemahan keselamatan

Menurut penyelidikan Tuoi Tre Online , EchoLeak ialah kerentanan keselamatan yang baru direkodkan dengan kod CVE-2025-32711, yang dinilai oleh pakar sebagai berbahaya pada 9.3/10 mengikut skala NIST.

Apa yang membimbangkan pakar keselamatan ialah ia bersifat "sifar klik" : penyerang boleh mengeksploitasi data daripada Copilot tanpa pengguna perlu mengklik, membuka fail atau mengetahui apa-apa yang sedang berlaku.

Ini bukan pepijat mudah. Pasukan penyelidik di Aim Labs, yang menemui kecacatan itu, percaya EchoLeak mencerminkan kecacatan reka bentuk biasa dalam sistem AI berasaskan ejen dan RAG. Oleh kerana Copilot ialah sebahagian daripada suite apl Microsoft 365 yang menyimpan e-mel, dokumen, hamparan dan jadual mesyuarat berjuta-juta pengguna, potensi kebocoran data amat serius.

Masalahnya bukan hanya terletak pada kod tertentu, tetapi pada cara model bahasa besar (LLM) beroperasi. AI memerlukan banyak konteks untuk bertindak balas dengan tepat, jadi mereka diberikan akses kepada banyak data latar belakang. Tanpa kawalan yang jelas pada input dan output, AI boleh "didorong" dengan cara yang tidak diketahui oleh pengguna. Ini mewujudkan jenis "pintu belakang" baharu yang bukan disebabkan oleh kecacatan dalam kod, tetapi kerana AI berkelakuan di luar pemahaman manusia.

Microsoft dengan cepat mengeluarkan patch, dan tiada kerosakan dunia nyata telah dilaporkan setakat ini. Tetapi pengajaran daripada EchoLeak adalah jelas: Apabila AI disepadukan secara mendalam ke dalam sistem kerja, walaupun ralat kecil dalam cara ia memahami konteks boleh membawa kesan keselamatan yang besar.

Semakin mudah AI menjadi, semakin rapuh data peribadi

Insiden EchoLeak menimbulkan persoalan yang membimbangkan: Adakah orang begitu mempercayai AI sehingga mereka tidak menyedari bahawa mereka boleh dijejaki atau maklumat peribadi mereka didedahkan dengan hanya mesej teks? Kerentanan yang baru ditemui yang membolehkan penggodam mengekstrak data secara senyap tanpa pengguna perlu menekan sebarang butang adalah sesuatu yang dahulunya hanya dilihat dalam filem fiksyen sains, tetapi kini menjadi kenyataan.

Walaupun aplikasi AI semakin popular, daripada pembantu maya seperti Copilot, chatbots dalam perbankan, pendidikan , kepada platform AI yang menulis kandungan dan memproses e-mel, kebanyakan orang tidak diberi amaran tentang cara data mereka diproses dan disimpan.

"Berbual" dengan sistem AI bukan lagi sekadar bertanya beberapa soalan untuk kemudahan, tetapi juga boleh mendedahkan lokasi, tabiat, emosi, atau maklumat akaun anda secara tidak sengaja.

Di Vietnam, ramai orang sudah biasa menggunakan AI pada telefon dan komputer tanpa pengetahuan asas tentang keselamatan digital . Ramai orang berkongsi maklumat peribadi dengan AI kerana mereka percaya bahawa "ia hanya sebuah mesin". Tetapi pada hakikatnya, di belakangnya terdapat sistem yang boleh merekod, mempelajari dan menghantar data ke tempat lain, terutamanya apabila platform AI datang dari pihak ketiga dan belum diuji dengan jelas untuk keselamatan.

Untuk mengehadkan risiko, pengguna tidak semestinya perlu melepaskan teknologi, tetapi perlu lebih sedar: mereka harus menyemak dengan teliti sama ada aplikasi AI yang mereka gunakan mempunyai sumber yang boleh dipercayai, sama ada data disulitkan, dan terutamanya tidak berkongsi maklumat sensitif seperti nombor ID, akaun bank, maklumat kesihatan... dengan mana-mana sistem AI tanpa diberi amaran dengan jelas.

Sama seperti ketika internet pertama kali dilahirkan, AI juga memerlukan masa untuk menyempurnakan dan pada masa itu, pengguna harus menjadi yang pertama melindungi diri mereka secara proaktif.

Adakah anda pernah berkongsi terlalu banyak dengan AI?

Apabila menaip arahan seperti "tulis semula laporan ini untuk saya dengan cara yang lebih mesra" atau "ringkaskan mesyuarat semalam", ramai orang tidak menyangka bahawa semua maklumat yang mereka masukkan, termasuk butiran dalaman, perasaan peribadi dan tabiat kerja, boleh direkodkan oleh AI. Kami telah menjadi terbiasa bersembang dengan alat pintar sehingga kami lupa garis antara kemudahan dan privasi.

Kembali ke topik

TUAN VI

Sumber: https://tuoitre.vn/lo-hong-bao-mat-trong-microsoft-copilot-canh-bao-moi-ve-nguy-co-ro-ri-du-lieu-tu-ai-20250620103045262.htm