Gigant technologiczny Microsoft przyznał, że błąd w funkcji Microsoft 365 Copilot pozwalał asystentowi AI od końca stycznia przetwarzać poufne wiadomości e-mail użytkowników bez ich zgody. Problem dotyczy m.in. wiadomości oznaczonych etykietami poufności oraz folderów Szkice i Wysłane, które zgodnie z polityką DLP nie powinny trafiać do modelu AI. Microsoft rozpoczął już w lutym wdrażanie poprawki, ale nie ujawnił, ilu klientów dotyczy usterka i kiedy zostanie w pełni rozwiązana.
Copilot pod lupą – problem dotyczy także poufnych e-maili
Okazuje się, że problem nie ogranicza się do zwykłych wiadomości. Błąd sprawiał, że funkcja czatu w zakładce „Work” mogła odczytywać i podsumowywać e-maile oznaczone jako poufne, mimo aktywnych polityk DLP. Oznacza to, że nawet te wiadomości, które według ustawień powinny być chronione przed automatycznym przetwarzaniem, mogły trafić do systemu AI. Użytkownicy nie musieli wykonywać żadnych nietypowych działań. Problem pojawiał się podczas normalnego korzystania z programu.
Microsoft przyznaje, że błędny fragment kodu odpowiada za niewłaściwe przetwarzanie elementów w folderach Wysłane i Szkice. Firma rozpoczęła wdrażanie poprawki już na początku lutego, ale monitorowanie skuteczności rozwiązania wciąż trwa. Dodatkowo Microsoft wciąż weryfikuje część klientów pod kątem bezpieczeństwa ich danych.
Jak duża jest skala problemu?
Gigant technologiczny nie podał liczby użytkowników ani organizacji dotkniętych usterką. Zaznacza jedynie, że w miarę postępów śledztwa zakres wpływu może ulec zmianie. Incydent został oznaczony jako „advisory”. To w praktyce oznacza ograniczony wpływ lub zakres problemu, jednak w kontekście danych poufnych każda taka sytuacja budzi poważne obawy.
Warto również wspomnieć o działaniach instytucji zewnętrznych. Dział IT Parlamentu Europejskiego zablokował kilka dni temu wbudowane funkcje AI na urządzeniach służbowych. Argumentował, że narzędzia te mogłyby przesyłać poufne korespondencje do chmury. Jak widać była to słuszna decyzja, bo nawet zaawansowane narzędzia mogą popełniać poważne błędy przy przetwarzaniu wrażliwych danych.
Źródło: Bleeping Computer