La IA, aunque ofrece un amplio abanico de opciones a los usuarios, puede suponer un riesgo en determinados casos. Si surge alguna vulnerabilidad, en alguna plataforma que usamos en nuestro día a día, podrían quedar expuestos datos personales, información confidencial y, además, los atacantes podrían controlar los dispositivos. En este artículo, nos hacemos eco de un fallo en Microsoft Copilot que expone correos electrónicos confidenciales a través de resúmenes de IA.
Microsoft Copilot es un asistente de IA que se integra en Windows y en aplicaciones de Microsoft 365. Permite aumentar la productividad, automatizar ciertas tareas y poder ahorrar tiempo. Por ejemplo, permite responder a dudas o preguntas de los usuarios. Sin embargo, cuando surgen problemas, como es este con referencia Microsoft CW1226324, puede llegar a comprometer la privacidad de los usuarios.
Problema en Microsoft Copilot
Este problema provoca que el asistente de Inteligencia Artificial resuma de forma incorrecta los mensajes de correo electrónico protegidos con etiquetas de confidencialidad. Omite las políticas configuradas de Prevención de pérdida de datos (DLP, por sus siglas en inglés). Esto puede exponer datos confidenciales de las organizaciones, debido a un procesamiento de la IA no autorizado.
Detectaron este fallo por primera vez el pasado 4 de febrero. Afecta a la función de chat de “Pestaña Trabajo”, de Copilot, que resume los correos electrónicos, aunque lleven la etiqueta de confidencialidad y tienen políticas restrictivas. Según la investigación realizada por parte de Microsoft, se debe a un defecto a nivel de código como causa principal de esta exposición.
Copilot puede recoger elementos almacenados en las carpetas Elementos enviados y Borradores de los usuarios. Además, lo hace sin que esto sea detectable e ignora esas etiquetas de confidencialidad que se aplican a esos mensajes. Si funcionara correctamente, esas etiquetas confidenciales sirven para evitar que Copilot acceda o procese cualquier correo electrónico que se haya marcado como confidencial.
Esto hace que la IA muestre resúmenes de esos correos electrónicos confidenciales. Este hecho es especialmente preocupante en organizaciones altamente reguladas, como puede ser la medicina, finanzas, etc.
Una semana después de conocer este incidente, el 11 de febrero, Microsoft empezó a implementar una solución en los entornos afectados, además de enviar comunicación a los usuarios. No obstante, como informan desde GB Hackers, medio especializado, con fecha de 19 de febrero, aún sigue sin resolverse para algunas organizaciones.
Dudas sobre la IA
Los investigadores de seguridad, recomiendan a los administradores que estén atentos a actualizaciones con la referencia CW1226324 y revisen los registros de actividad de Copilot para detectar accesos indeseados al contenido etiquetado como confidencial.
Sin duda, hecho como este que hemos visto de Copilot, alimenta las dudas en relación a la Inteligencia Artificial y posibles problemas relacionados con la seguridad y privacidad. Aunque sea algo que esté cada vez más presente, eso también hace que los piratas informáticos puedan aprovecharlo para lanzar campañas maliciosas o podría haber ciertas vulnerabilidades.
En definitiva, un nuevo problema afecta a la IA de Microsoft, Copilot, que puede comprometer los mensajes marcados como confidenciales, al utilizar resúmenes de IA. Es importante siempre usar correctamente la IA y eso también supone revisar posibles actualizaciones y tener todo bien configurado.