Copilot afslører selv den hemmelige kode, der gør det muligt at hacke data

Varonis fandt en sikkerhedsfejl i Microsoft 365 Copilot, hvor en skjult kommando kunne udnyttes. Det betød, at hackere kunne stjæle adgangskoder og følsomme data uden brugerens accept via et link. Microsoft har nu lukket hullet, så tekst ikke længere kan indsættes automatisk.

Vil du have, at jeg uddyber, hvordan forskerne fandt fejlen?

Vidste du, at man kan narre en computer til at afsløre sine egne hemmeligheder? Det skete for Microsoft 365 Copilot Enterprise, som er en intelligent hjælper til virksomheder. Eksperter fra sikkerhedsfirmaet Varonis fandt et hul i systemet ved blot at tale med programmet. De spurgte nysgerrigt ind til, hvordan sikkerheden virkede, og til sidst afslørede hjælperen selv en hemmelig kommando.

Denne kommando kaldes for en parameter, hvilket blot er en lille ekstra kode, man kan tilføje til en webadresse, som teknisk kaldes en Uniform Resource Locator (URL). Den hemmelige kode hed `?autorun=1`. Man kan sammenligne det med en dør, der normalt kræver, at man både viser legitimation og skriver under, før man må komme ind. Men med denne specifikke kode svingede døren pludselig op af sig selv uden nogen kontrol.

Hvis en it-kriminel kombinerede denne kode med en anden kommando, der hedder `?q=`, kunne de sende et ondsindet link til en bruger. Så snart brugeren klikkede på linket, blev der sendt en prompt – altså en instruktion eller et spørgsmål – afsted til systemet. Dette skete helt automatisk, uden at brugeren behøvede at trykke på returtasten eller give sin accept. Det gjorde det muligt for angribere at stjæle adgangskoder og andre følsomme data.

Microsoft lukkede hullet i februar, tre måneder efter de blev advaret. Nu virker kommandoen `?q=` ikke længere på samme måde, så tekst ikke kan blive indsat direkte i chatbotten, som er det program, man chatter med. Nu skal brugeren selv klikke og skrive manuelt i feltet. Det forhindrer programmer udefra i at bruge koden til at styre samtalen.

Vil du have, at jeg forklarer mere om, hvordan man generelt kan beskytte sig mod ondsindede links?