Vulnerabilidade de segurança do Microsoft Copilot: novo alerta sobre risco de vazamento de dados de IA

Uma falha grave de segurança no Microsoft Copilot permite que dados de usuários sejam roubados sem qualquer ação. O incidente levanta uma grande questão: a inteligência artificial está nos ajudando ou nos colocando em risco?

EchoLeak e os riscos potenciais da inteligência artificial

À medida que a inteligência artificial (IA) se torna parte de todos os empregos, desde auxiliar na elaboração de relatórios e responder e-mails até analisar dados, os usuários parecem estar vivendo em uma era de conveniência sem precedentes. Mas o lado obscuro da conveniência também está começando a emergir, especialmente quando se trata de segurança.

Uma vulnerabilidade de segurança recente chamada EchoLeak deixou os usuários do serviço Microsoft Copilot em risco de ter seus dados confidenciais vazados sem que eles tomem nenhuma providência.

Quando a IA se torna uma vulnerabilidade de segurança

De acordo com a pesquisa do Tuoi Tre Online , o EchoLeak é uma vulnerabilidade de segurança que acaba de ser registrada com o código CVE-2025-32711, que especialistas classificaram como perigosa em 9,3/10, de acordo com a escala do NIST.

O que preocupa os especialistas em segurança é sua natureza de "clique zero" : invasores podem explorar dados do Copilot sem que o usuário precise clicar, abrir um arquivo ou mesmo saber que algo está acontecendo.

Este não é um bug simples. A equipe de pesquisa da Aim Labs, que descobriu a vulnerabilidade, acredita que o EchoLeak reflete uma falha de design comum em sistemas de RAG (geração aumentada de recuperação) e de IA baseados em agentes. Como o Copilot faz parte do pacote de aplicativos do Microsoft 365 que armazena e-mails, documentos, planilhas e agendas de reuniões de milhões de usuários, o risco de vazamento de dados é muito sério.

O problema não reside apenas no código específico, mas na forma como os modelos de linguagem de grande porte (LLMs) operam. As IAs precisam de muito contexto para responder com precisão e, por isso, têm acesso a grandes quantidades de dados de fundo. Sem controles claros sobre a entrada e a saída, as IAs podem ser "conduzidas" de maneiras que os usuários desconhecem. Isso cria um novo tipo de "porta dos fundos" não por causa de uma falha no código, mas porque as IAs se comportam fora da compreensão humana.

A Microsoft lançou rapidamente um patch, e nenhum dano real foi relatado até o momento. Mas a lição do EchoLeak é clara: quando a IA está profundamente integrada aos sistemas em funcionamento, mesmo pequenos erros na forma como ela entende o contexto podem ter consequências graves para a segurança.

Quanto mais conveniente for a IA, mais frágeis serão os dados pessoais

O incidente EchoLeak levanta uma questão preocupante: os usuários confiam tanto na IA a ponto de não perceberem que podem ser rastreados ou ter suas informações pessoais expostas com apenas uma mensagem de texto? Uma vulnerabilidade recém-descoberta que permite que hackers extraiam dados silenciosamente, sem que os usuários precisem pressionar nenhum botão, é algo que antes só era visto em filmes de ficção científica, mas agora é uma realidade.

Embora as aplicações de IA sejam cada vez mais populares, desde assistentes virtuais como o Copilot, chatbots em bancos e educação até plataformas de IA que escrevem conteúdo e processam e-mails, a maioria das pessoas não é avisada sobre como seus dados são processados ​​e armazenados.

“Conversar” com um sistema de IA não se trata mais apenas de fazer algumas perguntas por conveniência, mas também pode revelar inadvertidamente sua localização, hábitos, emoções ou até mesmo informações da conta.

No Vietnã, muitas pessoas estão familiarizadas com o uso de IA em celulares e computadores sem conhecimento básico de segurança digital . Muitas pessoas compartilham informações privadas com a IA porque acreditam que "é apenas uma máquina". Mas, na realidade, por trás dela existe um sistema que pode registrar, aprender e transmitir dados para outros lugares, especialmente quando a plataforma de IA é de terceiros e não foi testada com precisão quanto à segurança.

Para limitar os riscos, os usuários não precisam necessariamente abrir mão da tecnologia, mas precisam estar mais atentos: eles devem verificar cuidadosamente se o aplicativo de IA que estão usando tem uma fonte confiável, se os dados estão criptografados e, principalmente, não compartilhar informações confidenciais, como números de identidade, contas bancárias, informações de saúde... com qualquer sistema de IA sem serem claramente avisados.

Assim como quando a internet surgiu, a IA também precisa de tempo para se aperfeiçoar e, durante esse tempo, os usuários devem ser os primeiros a se proteger proativamente.

Você já compartilhou demais com a IA?

Ao digitar o comando "reescreva este relatório para mim, mas de uma forma mais amigável" ou "resuma a reunião de ontem", muitas pessoas não acreditam que todas as informações inseridas, incluindo detalhes internos, sentimentos pessoais ou hábitos de trabalho, possam ser registradas pela IA. Gradualmente, nos acostumamos a conversar com ferramentas inteligentes, esquecendo a linha entre conveniência e privacidade.

Voltar ao tópico

TUAN VI

Fonte: https://tuoitre.vn/lo-hong-bao-mat-trong-microsoft-copilot-canh-bao-moi-ve-nguy-co-ro-ri-du-lieu-tu-ai-20250620103045262.htm