Saját védelmi gyengeségét vallotta be a mesterséges intelligencia, amikor biztonsági kutatók célzott kérdésekkel szóra bírták. A Microsoft Copilot egy rejtett paramétert adott ki a szakértőknek, amelynek segítségével egyetlen kattintással érzékeny adatok váltak ellophatóvá. A Varonis Threat Labs elemzői kódfejtés vagy hagyományos szoftveres visszafejtés helyett közvetlenül az asszisztenssel folytatott párbeszéd során derítették fel azt a biztonsági kaput, amely megkerülte a felhasználói jóváhagyási lépéseket.
Az MI-alapú vállalati rendszerek terjedésével az információbiztonsági kockázatok természete is átalakul. Amikor egy digitális asszisztens hozzáférést kap a szervezeti levelezésekhez, dokumentumtárakhoz és naptárakhoz, a védelmi korlátok kijátszása közvetlen utat nyithat a vállalati adatvagyon kiáramlásához. A most feltárt hiányosság jól szemlélteti, hogy a nyelvi modellek belső logikája miként válhat önmaga ellen fordítható támadási felületté.
Kérdésekkel vették rá a modellt a titkos paraméter leleplezésére
A Varonis kutatói eredetileg azt vizsgálták, miként lehetne rávenni a rendszert bizalmas adatok átadására úgy, hogy a célpontnak csupán egyetlen hivatkozásra kelljen rákattintania. A megszokott működés szerint a Microsoft Copilot elutasítja az ilyen jellegű kéréseket, és explicit megerősítést – például billentyűleütést vagy külön gombnyomást – követel meg a felhasználótól a magas kockázatú utasítások végrehajtása előtt. A szakértők ezért nem a szoftverkódot kezdték elemzeni, hanem módszeresen kikérdezték a modellt a saját védelmi szabályrendszeréről és a bemeneti paramétereiről.
A célzott kérdésekre válaszolva a Microsoft Copilot felfedte egy nem dokumentált belső paraméter, a ?autorun=1 létezését. Ezt a változót a rendszer belső folyamatainak automatizálására tervezték, ám a modell válaszaiból kiderült, miként kombinálható a külső lekérdezésekre szolgáló paraméterrel. Ez az úgynevezett meta-hacking jelensége, ahol a támadó nem a szoftver kódjában keres hibahelyet, hanem magát a mesterséges intelligenciát bírja rá a saját rejtett funkcióinak leleplezésére.
Láthatatlan adatkinyerés egyetlen rosszindulatú hivatkozással
A kártékony bemenet kihasználásához a támadóknak mindössze egy speciálisan megformázott hivatkozást kellett eljuttatniuk az áldozathoz. Amikor a célpont rákattintott a linkre, a rendszer a háttérben azonnal felülírta a biztonsági szűrőket. A titkos paraméter jelenléte miatt az asszisztens automatikusan végrehajtotta a beágyazott utasításokat, így nem volt szükség semmilyen további felhasználói jóváhagyásra vagy kézi gombnyomásra.
A CoSnitch néven azonosított sérülékenység kihasználásával a Microsoft Copilot a háttérben keresést indított a csatlakoztatott vállalati és személyes szolgáltatásokban. A modell hozzáférhetett a Microsoft 365 levelezéshez, a naptárakhoz, valamint a csatolt Google Drive és Gmail fiókokhoz is. Az elért adatokat – beleértve a tárolt jelszavakat és belső dokumentumokat – a rendszer észrevétlenül továbbította a támadó által felügyelt külső szerverre. A folyamat teljes egészében megbízható vállalati csatornán keresztül zajlott, így a hagyományos adatvesztés-megelőző rendszerek nem riasztottak.
Új kihívást jelent a nyelvi modellek belső védelmének kijátszása
A sérülékenység gyökere a nagy nyelvi modellek alapvető architektúrájában rejlik. A hagyományos szoftverek szigorúan elkülönítik a szoftverkódot a felhasználói bemenettől, ám az MI-modell egyetlen adatfolyamként dolgozza fel a rendszerszintű utasításokat és a külső szöveges adatokat. Ennek következtében a modell nem minden esetben tud megbízhatóan különbséget tenni a fejlesztői korlátozások és a kívülről érkező, megtévesztő utasítások között.
Ha egy rosszindulatú bemenet sikeresen elhiteti a modellel, hogy a kapott parancs rendszergazdai vagy ellenőrzött forrásból származik, a korlátozások hatástalanná válnak. Ez a sérülékenység-típus – a közvetett utasítás-befecskendezés – az egyik legnehezebben kezelhető biztonsági kockázat az vállalati szoftverfejlesztésben, mivel nem szüntethető meg egyszerű szoftverfrissítéssel, hanem folyamatos felügyeletet és többrétegű védelmi architektúrát igényel.
A javítás folyamata és a vállalati tanulságok
A Varonis Threat Labs még 2025 decemberében értesítette a Microsoftot a tapasztalt hiányosságról. A fejlesztővállalat első lépésben korlátozta a lekérdező paraméterek működését, majd összetettebb védelmi lépéseket vezetett be a jogosulatlan adatkinyerés megakadályozására. A javítások véglegesítése 2026 augusztusára fejeződött be, megszüntetve a rejtett paraméter által kínált visszaélési lehetőséget.
A kutatók mérései alapján nem található bizonyíték arra, hogy éles támadásokban kihasználták volna a hibát a javítócsomagok megjelenése előtt. Az eset ugyanakkor rávilágít arra, hogy a szervezeteknek kiemelt figyelmet kell fordítaniuk az adathozzáférések korlátozására és a jogosultsági körök szigorú elhatárolására. Amennyiben a vállalati adatok nincsenek megfelelően besorolva és védve, a mesterséges intelligencia akaratlanul is a szervezeten belüli információk szivárogtatójává válhat.
