Copilot AI kan ha behandlat konfidentiella e-postmeddelanden
Cybersäkerhetscentret vid Transport- och kommunikationsverket följer dagligen nationella och internationella nyheter om informationssäkerhet och publicerar sammanställningar av dem. I en av dessa rapporter uppmärksammades en informationssäkerhetsincident som rörde AI-assistenten Microsoft 365 Copilot.
Enligt Microsoft orsakade ett fel i programvaran en situation där Copilot sedan slutet av januari kunde sammanfatta konfidentiella e-postmeddelanden. AI-assistenten kringgick då principerna för förebyggande av dataförlust (DLP, Data Loss Prevention), som organisationer använder för att skydda känslig information.
Fel i chattfunktionen på Copilots flik "Arbete"
Enligt ett tjänstemeddelande som nyhetssajten BleepingComputer, som bevakar informationssäkerhet, tagit del av upptäcktes felet med beteckningen CW1226324 första gången den 21 januari.
Problemet gällde chattfunktionen på Copilots flik "Arbete", som felaktigt kunde läsa och sammanfatta användarnas e-postmeddelanden. Detta gällde särskilt skickade meddelanden och e-postmeddelanden som sparats i mappen Utkast.
Det anmärkningsvärda är att Copilot även kan ha behandlat meddelanden som var märkta som konfidentiella. Sådana klassificeringar är normalt avsedda att förhindra att automatiserade verktyg får tillgång till känslig information.
Enligt Microsoft kunde Copilot sammanfatta e-postmeddelanden även om de var märkta som konfidentiella och en DLP-policy (Data Loss Prevention) var aktiverad.
Microsoft inledde utrullningen av korrigeringen
Microsoft har bekräftat att felet orsakades av ett ospecificerat kodfel. Företaget uppgav att utrullningen av korrigeringen påbörjades i början av februari.
På onsdagen meddelade Microsoft att företaget fortsätter att övervaka utrullningen av korrigeringen och kommer att kontakta vissa användare för att säkerställa att uppdateringen fungerar som avsett.
Informationssäkerhet och konfidentiell kommunikation blir allt viktigare
Händelsen påminner om att AI-baserade verktyg kan innebära oväntade informationssäkerhetsrisker. Det är viktigt att organisationer och företag säkerställer att konfidentiell kommunikation sker via säkra och kontrollerade kanaler.
Källa: Informationssäkerhetsnyhet från Cybersäkerhetscentret vid Transport- och kommunikationsverket.