AI-assistentene vi limer inn i e-post, dokumenter og chattevinduer er blitt en egen angrepsflate. Nå har sikkerhetsforskere vist hvor lite som skal til: en skjult inndataparameter i Microsoft Copilot lot angripere stjele passord når offeret bare klikket på en lenke.
Ars Technica omtaler funnet. Det dreier seg om en parameter i måten Copilot tar imot instruksjoner på, en kanal som ikke var ment for vanlige brukere. Gjennom den kunne en angriper smugle inn kommandoer til assistenten uten at offeret merket noe, og få Copilot til å lekke sensitiv informasjon, blant annet passord.
Hva som faktisk skjedde
Kjernen i angrepet er prompt-injeksjon. En AI-assistent skiller i praksis dårlig mellom instruksjonene du selv gir den, og teksten den plukker opp underveis, for eksempel innholdet i en e-post, en nettside eller en delt fil. Klarer en angriper å plante skjulte instruksjoner i noe assistenten leser, kan den overtales til å gjøre ting du aldri ba om.
Det spesielle her er den skjulte parameteren. Den ga angriperen en vei rett inn i Copilot som brukeren ikke så, og som ble møtt med langt mindre skepsis enn vanlig innhold. Da forskerne fikk Copilot til å røpe parameteren, hadde de samtidig oppskriften på hvordan den kunne misbrukes. Ett klikk fra offeret var nok til å sette angrepet i gang.
Copilot er vevd tett inn i Word, Outlook, Teams og resten av Microsoft-verdenen, og har tilgang til mye av det du jobber med. Vi har tidligere skrevet om hva Copilot ser i Word, Teams og Outlook, og hva du aldri bør lime inn. Når en assistent med den rekkevidden kan kapres via en skjult kanal, blir konsekvensene langt større enn ved et vanlig phishing-forsøk.
Copilot er ikke alene
Samme uke omtalte Ars Technica hvordan Grok, chatboten fra Elon Musks xAI, kunne lures til å sende ut brukerdata når ondsinnede instruksjoner ble kryptert før de ble matet inn. Metoden fikk navnet Cryptographic Context Injection, og er nok et eksempel på at sikkerhetsmurene rundt store språkmodeller lar seg omgå med litt kreativitet.
To uavhengige angrep mot to store aktører på kort tid forteller det samme: prompt-injeksjon er en reell og gjentakende måte å bryte seg gjennom på, og bransjen har ikke løst grunnproblemet. En assistent som både leser innhold utenfra og har tilgang til dataene dine, er vanskelig å sikre fullstendig så lenge den ikke klarer å skille venn fra fiende i teksten den behandler.
Dette bør dempe iveren etter å gi assistenter stadig flere rettigheter uten å tenke gjennom hva de faktisk kan nå. Jo mer en AI får gjøre på egen hånd, jo mer kan gå galt når noen finner en vei inn. Det samme dilemmaet dukker opp når assistenter skal handle selvstendig, noe vi har sett i saker om AI-agenter som skal utføre oppgaver uten å spørre først.
Hva betyr det for deg
Poenget med denne saken er ikke å skremme deg bort fra Copilot. De færreste av disse hullene rammer vanlige brukere i praksis, og de tettes som regel av leverandøren så snart de blir kjent. Saken minner likevel om et par vaner som er verdt å holde på.
Vær forsiktig med lenker du ikke stoler på, også når de dukker opp i sammenhenger som ser trygge ut. Ikke gi en assistent bredere tilgang til filer, kontoer og systemer enn den trenger for oppgaven. Og husk at alt du limer inn kan havne et sted du ikke hadde tenkt, hvis noe går galt. Vil du ha oversikt over hva som egentlig lagres og hvem som kan se det, har vi samlet det i guiden om innsyn, logging og personvern på jobben.
Resten er opp til bransjen: så lenge en assistent behandler tekst utenfra som om den var en instruks fra deg, vil noen fortsette å lete etter skjulte veier inn. Denne saken viser bare hvor liten sprekk som skal til.
