nouvelles

한어Русский языкEnglishFrançaisIndonesianSanskrit日本語DeutschPortuguêsΕλληνικάespañolItalianoSuomalainenLatina

IT House a rapporté le 11 août que, selon Futurism, des chercheurs en sécurité ont récemment révélé que l'IA Copilot de Microsoft intégrée aux systèmes Windows peut être facilement manipulée pour divulguer des données d'entreprise sensibles, et même se transformer en un puissant outil d'attaque de phishing.

IT House a noté que le co-fondateur et directeur technique de la société de sécurité Zenity, Michael Bargury, a révélé cette découverte surprenante lors de la conférence sur la sécurité Black Hat à Las Vegas. Il a déclaré : « Je peux utiliser cela pour obtenir toutes vos informations de contact et vous envoyer des centaines d'e-mails. " Il a souligné que les pirates traditionnels doivent passer des jours à rédiger soigneusement des e-mails de phishing, mais avec Copilot, un grand nombre d'e-mails trompeurs peuvent être générés en quelques minutes.

Les chercheurs ont démontré par une démonstration que les attaquants peuvent inciter Copilot à modifier les informations du bénéficiaire d'un virement bancaire sans obtenir de compte d'entreprise. Il leur suffit d'envoyer un e-mail malveillant, et l'employé cible n'a même pas besoin de l'ouvrir pour mener l'attaque.

Une autre vidéo de démonstration révèle comment les pirates peuvent utiliser Copilot pour faire des ravages après avoir accédé aux comptes des employés.. En posant des questions simples, Bargury a pu obtenir des données sensibles, qu'il a pu utiliser pour lancer des attaques de phishing en se faisant passer pour des employés. Bargury obtient d'abord l'adresse e-mail de sa collègue Jane, apprend le contenu de la conversation la plus récente avec Jane et incite Copilot à divulguer l'adresse e-mail de la personne en copie carbone dans la conversation. Il a ensuite demandé à Copilot de rédiger un e-mail à Jane dans le style de l'employé attaqué et d'extraire le sujet exact de l'e-mail le plus récent entre les deux. En quelques minutes seulement, il a créé un e-mail de phishing très crédible capable d'envoyer une pièce jointe malveillante à n'importe quel utilisateur du réseau, tout cela grâce à la coopération active de Copilot.

Microsoft Copilot AI, plus précisément Copilot Studio, permet aux entreprises de personnaliser les chatbots pour répondre à des besoins spécifiques. Cependant, cela signifie également que l’IA doit accéder aux données de l’entreprise, ce qui augmente les risques de sécurité. Un grand nombre de chatbots sont consultables en ligne par défaut, ce qui en fait des cibles pour les pirates.

Un attaquant peut également contourner les mesures de protection de Copilot grâce à l’injection indirecte d’indices. En termes simples, des données malveillantes provenant de sources externes peuvent être utilisées, par exemple lorsqu'un chatbot visite un site Web contenant des invites, pour l'amener à effectuer des actions interdites. "Il y a ici un problème fondamental", souligne Bargury. "Lorsque vous donnez à une IA accès aux données, ces données deviennent une surface d'attaque pour une injection rapide. À un moment donné, si un robot est utile, il est vulnérable ; s'il n'est pas fragile, il l'est. inutile."