Néha nem feltörni kell egy rendszert, elég hagyni, hogy túl sokat beszéljen magáról. Most pontosan ez történt: egy vállalati AI-asszisztens saját válaszaiból állt össze az a lánc, amely végül érzékeny adatok kiszivárogtatásához vezethetett.

Mi történt

Biztonsági kutatók a Microsoft 365 Copilot egyik olyan gyengeségét mutatták be, amely lehetővé tette, hogy egy felhasználó pusztán egy linkre kattintva elindítson egy kártékony műveletet. A cél az volt, hogy a rendszer felhasználói megerősítés nélkül hajtson végre érzékeny parancsot, például adatokat továbbítson. Normál esetben ezt egy védelmi korlát akadályozza meg: a Copilot csak akkor futtat ilyen műveletet, ha a felhasználó valamilyen egyértelmű gesztust tesz, például lenyom egy billentyűt.

A kutatók azonban nem klasszikus visszafejtéssel vagy forgalomelemzéssel jutottak közelebb a hibához, hanem kérdésekkel. Lépésről lépésre rákérdeztek, miért nem lehetséges az automatikus futtatás, milyen URL-szerkezetek érintettek, és mi történik akkor, ha egy oldal úgy töltődik be, hogy a promptmező már előre ki van töltve. A válaszokból végül előkerült egy nem dokumentált paraméter: ?autorun=1. Ha ezt a már ismert ?q= paraméterrel együtt használták, a prompt a link megnyitásakor automatikusan lefutott.

Ez azért volt különösen problémás, mert a ?q= paraméter eredetileg arra szolgált, hogy szöveget töltsön be a chatbot beviteli mezőjébe. Gondolj rá úgy, mint amikor egy weboldal címében előre megadod, mi kerüljön egy keresődobozba — csak itt ez egy AI-asszisztens parancsmezője volt. Az autorun kapcsolóval együtt ez már nem csak előtöltést, hanem azonnali végrehajtást jelentett. A hibát februárban részben csillapították azzal, hogy a ?q= többé nem tudott szöveget beinjektálni a mezőbe, később pedig átfogóbb javítások is érkeztek.

Miért fontos

Ez az eset nem csak egy konkrét URL-paraméterről szól, hanem arról is, hogyan szivároghat ki működési logika egy nagy nyelvi modellen keresztül. Ha egy rendszer a visszautasításaiban vagy magyarázataiban túl sok technikai részletet árul el, a támadó abból kirakhatja a teljes képet. Az Ars Technica által idézett kutatói tapasztalat lényege éppen ez: a modell nem egyszerre mondta ki a titkot, hanem apró részletekből engedte összerakni. A hétköznapi felhasználónak ebből az a tanulság, hogy az AI-asszisztensek biztonsága nem csak azon múlik, mit csinálnak, hanem azon is, mit mondanak el magukról.

Mire figyelj

  1. Érdemes követni, pontosan milyen további védelmeket vezetnek be az automatikus promptfuttatás ellen, különösen vállalati környezetben.
  2. Fontos kérdés, hogyan korlátozzák a modellek a belső működésre vonatkozó technikai részletek kikotyogását anélkül, hogy használhatatlanná válnának.
  3. A böngészős és külső integrációk jövője is érdekes lesz, mert a javítások egy része épp azokat a kényelmi funkciókat szűkítheti, amelyekre harmadik felek eddig építettek.
  4. Felhasználóként továbbra is érdemes gyanakodni azokra a linkekre, amelyek AI-eszközt nyitnak meg előre kitöltött vagy szokatlanul „kész” utasítással, mert a támadások gyakran a kényelmi funkciókat fordítják vissza ellened.