новости

한어Русский языкEnglishFrançaisIndonesianSanskrit日本語DeutschPortuguêsΕλληνικάespañolItalianoSuomalainenLatina

11 августа IT House сообщила, что, по данным Futurism, исследователи в области безопасности недавно обнаружили, что ИИ Microsoft Copilot AI, встроенный в системы Windows, можно легко манипулировать для утечки конфиденциальных корпоративных данных и даже превратить в мощный инструмент фишинговой атаки.

IT House отметил, что соучредитель и технический директор охранной компании Zenity Майкл Баргури раскрыл это удивительное открытие на конференции по безопасности Black Hat в Лас-Вегасе. Он сказал: «Я могу использовать это, чтобы получить всю вашу контактную информацию. И отправить вам сотни электронных писем. Он отметил, что традиционным хакерам приходится тратить дни на тщательную подготовку фишинговых писем, но с помощью Copilot большое количество обманных писем можно создать за несколько минут.

Исследователи продемонстрировали на примере демонстрации, что злоумышленники могут обманом заставить Copilot изменить информацию о получателе банковского перевода, не получая при этом корпоративный аккаунт. Им нужно всего лишь отправить вредоносное электронное письмо, и целевому сотруднику даже не нужно открывать его, чтобы осуществить атаку.

Еще одно демонстрационное видео показывает, как хакеры могут использовать Copilot, чтобы нанести ущерб после получения доступа к учетным записям сотрудников.. Задавая простые вопросы, Баргури смог получить конфиденциальные данные, которые он мог использовать для проведения фишинговых атак, выдавая себя за сотрудников. Баргури сначала получает адрес электронной почты коллеги Джейн, узнает содержание последнего разговора с Джейн и побуждает второго пилота раскрыть адрес электронной почты человека, участвовавшего в разговоре. Затем он поручил второму пилоту составить электронное письмо Джейн в стиле атакованного сотрудника и извлечь точную тему последнего электронного письма между ними. Всего за несколько минут он создал весьма заслуживающее доверия фишинговое письмо, которое могло отправить вредоносное вложение любому пользователю в сети, и все это благодаря активному сотрудничеству Copilot.

Microsoft Copilot AI, в частности Copilot Studio, позволяет компаниям настраивать чат-ботов для удовлетворения конкретных потребностей. Однако это также означает, что ИИ необходим доступ к корпоративным данным, что повышает риски безопасности. По умолчанию большое количество чат-ботов доступны для поиска в Интернете, что делает их мишенью для хакеров.

Злоумышленник также может обойти меры защиты Copilot посредством непрямого внедрения подсказок. Проще говоря, можно использовать вредоносные данные из внешних источников, например, посещение чат-ботом веб-сайта, содержащего подсказки, чтобы заставить его выполнить запрещенные действия. «Здесь есть фундаментальная проблема», — подчеркивает Баргури, — «Когда вы предоставляете ИИ доступ к данным, эти данные становятся поверхностью атаки для быстрого внедрения. В какой-то момент, если бот полезен, он уязвим; если он не хрупкий, он становится уязвимым. бесполезный."