Sikkerhetssvakheter i Microsoft Copilot Personal kan gjøre det mulig å påvirke KI-assistenten med skjulte, ondsinnede instruksjoner, ifølge en rapport omtalt av The Hacker News. Risikoen er knyttet til såkalt indirekte promptinjeksjon, der en angriper legger instruksjoner inn i for eksempel nettsider, dokumenter eller annet innhold som assistenten senere behandler.
I motsetning til en vanlig phishing-melding, der målet er å lure brukeren direkte, forsøker denne angrepsformen å lure KI-systemet. Dersom en assistent har tilgang til personlig kontekst, filer, e-post eller andre tilknyttede tjenester, kan en vellykket manipulering i verste fall få den til å hente frem, oppsummere eller eksponere opplysninger på en måte brukeren ikke hadde forventet.
Det er viktig å understreke at slike funn ikke nødvendigvis betyr at alle Copilot-brukere er rammet, eller at data allerede er stjålet. Sikkerhetsrapporten peker først og fremst på en teknisk angrepsflate som oppstår når språkmodeller kombineres med tilgang til brukerdata og innhold fra åpne eller eksterne kilder.
Problemstillingen er bredere enn Microsoft. Bransjeorganisasjonen OWASP trekker frem promptinjeksjon som en sentral risiko for KI-applikasjoner, særlig når modeller kan bruke eksterne verktøy, lese dokumenter eller utføre handlinger på vegne av brukeren. Microsoft har også tidligere beskrevet hvordan indirekte promptinjeksjon kan brukes mot KI-tjenester, blant annet i forbindelse med sårbarheten EchoLeak i Copilot.
For brukere er det mest praktiske rådet å begrense hvilke kontoer, filer og tjenester en KI-assistent får tilgang til. Sensitiv informasjon bør ikke deles med en assistent uten et tydelig behov, og koblinger til e-post, skylagring og andre personlige datakilder bør gjennomgås jevnlig. Virksomheter bør på sin side behandle KI-assistenter som en ny sikkerhetsgrense, med minst mulige rettigheter, overvåking og tydelige regler for hvilke data som kan behandles.
Funnene illustrerer at sikkerheten i KI-tjenester ikke bare handler om å beskytte selve modellen. Det handler også om hva modellen får lese, hvilke systemer den kan bruke, og hvilke handlinger den kan foreslå eller utføre etter å ha mottatt innhold fra internett.