Copilot-tekoäly saattoi käsitellä luottamuksellisia sähköposteja
Liikenne- ja viestintäviraston Kyberturvallisuuskeskus seuraa päivittäin kotimaisia ja kansainvälisiä tietoturvauutisia ja julkaisee niistä koosteita. Yhdessä näistä raporteista nostettiin esiin Microsoft 365 Copilot -tekoälyavustajaan liittyvä tietoturvapoikkeama.
Microsoftin mukaan ohjelmistossa havaittu virhe aiheutti tilanteen, jossa Copilot saattoi tiivistää luottamuksellisia sähköposteja tammikuun lopusta lähtien. Tekoälyavustaja ohitti tällöin tietojen menetyksen estämiseen (DLP, Data Loss Prevention) liittyvät käytännöt, joita organisaatiot käyttävät arkaluontoisen tiedon suojaamiseen.
Virhe Copilotin “työ-välilehden” chat-toiminnossa
Tietoturvauutisia seuraavan BleepingComputer-julkaisun näkemän palveluhälytyksen mukaan virhe, joka on merkitty tunnuksella CW1226324, havaittiin ensimmäisen kerran 21. tammikuuta.
Ongelma liittyi Copilotin työ-välilehden chat-ominaisuuteen, joka saattoi lukea ja tiivistää käyttäjien sähköposteja virheellisesti. Tämä koski erityisesti lähetettyjä viestejä ja luonnoskansioon tallennettuja sähköposteja.
Huolestuttavaa on se, että Copilot saattoi käsitellä myös viestejä, joissa oli luottamuksellisuusmerkintä. Nämä merkinnät on normaalisti tarkoitettu estämään automaattisten työkalujen pääsy arkaluontoisiin tietoihin.
Microsoftin mukaan Copilot saattoi tiivistää sähköpostiviestejä, vaikka niihin oli asetettu luottamuksellisuusmerkintä ja DLP-käytäntö oli käytössä.
Microsoft aloitti korjauksen käyttöönoton
Microsoft on vahvistanut virheen johtuneen määrittelemättömästä koodivirheestä. Yhtiö ilmoitti aloittaneensa korjauksen käyttöönoton helmikuun alussa.
Keskiviikkona Microsoft kertoi jatkavansa korjauksen käyttöönoton seurantaa ja ottavansa yhteyttä osaan käyttäjistä varmistaakseen, että päivitys toimii suunnitellusti.
Tietoturva ja luottamuksellinen viestintä korostuvat
Tapaus muistuttaa siitä, että tekoälyä hyödyntävissä työkaluissa voi esiintyä odottamattomia tietoturvariskejä. Organisaatioille ja yrityksille on tärkeää huolehtia siitä, että luottamuksellinen viestintä tapahtuu turvallisissa ja hallituissa kanavissa.
Lähde: Liikenne- ja viestintäviraston Kyberturvallisuuskeskuksen tietoturvauutinen.