Il livello AI di SQL Server 2025 apre una nuova via per il furto silenzioso di dati
Il database di Microsoft include ora componenti orientati all'AI per i flussi di lavoro in stile RAG, e i ricercatori hanno dimostrato che lo stesso meccanismo può essere piegato all'esfiltrazione di dati sensibili e al traffico occulto di comandi.
I database venivano valutati soprattutto in base a quanto bene memorizzavano, interrogavano e verificavano le informazioni. SQL Server 2025 cambia questo paradigma aggiungendo funzionalità native AI vicino al piano dati. Questo cambiamento è utile per i moderni sistemi di recupero, ma solleva anche una nuova domanda per i difensori: cosa succede quando il database stesso diventa parte del percorso di uscita?
I ricercatori hanno dimostrato che le funzionalità AI di SQL Server 2025 possono essere abusate per trasferire dati sensibili fuori dall'ambiente e per supportare comunicazioni furtive di command-and-control. La lezione tecnica non è che le funzionalità AI siano automaticamente insicure. È che l'AI nativa nel database può offuscare il confine tra il traffico applicativo normale e il movimento nascosto dei dati se autorizzazioni, accesso in uscita e auditing non sono controllati in modo rigoroso.
Fatti rapidi
- SQL Server 2025 ha introdotto funzionalità orientate all'AI pensate per i flussi di lavoro Retrieval-Augmented Generation.
- Il prodotto include anche capacità native di vettori e chiamate esterne dal database che possono ampliare la superficie di attacco.
- I ricercatori hanno dimostrato l'abuso di queste funzionalità per l'esfiltrazione di dati sensibili.
- Lo stesso insieme di funzionalità è stato mostrato anche nell'uso per comunicazioni furtive di command-and-control.
- Microsoft documenta che la procedura di invocazione REST esterna è disabilitata per impostazione predefinita in SQL Server 2025.
Cosa è cambiato nella superficie di attacco
Il cambiamento chiave per la sicurezza è architetturale. SQL Server 2025 non si limita a memorizzare record per un sistema AI a lato. Può partecipare al recupero, alla generazione di embedding, alla ricerca vettoriale e alle chiamate a servizi esterni dall'interno dello stack del database. Questo è potente per le applicazioni in stile RAG, ma significa anche che il contesto sensibile può essere assemblato e inoltrato tramite routine che potrebbero sembrare normale lavoro di integrazione.
Dal punto di vista difensivo, il rischio cresce quando gli endpoint esterni sono approvati in modo troppo ampio o quando le autorizzazioni vengono ereditate da account che in realtà non ne hanno bisogno. In questi ambienti, un utente o un processo con i giusti diritti di esecuzione potrebbe essere in grado di spingere i dati interrogati verso una destinazione esterna sotto la copertura di un legittimo plumbing AI. Le informazioni disponibili supportano questa analisi del rischio, non la conclusione che ogni distribuzione sia esposta nello stesso modo.
L'aspetto C2 occulto è importante per lo stesso motivo. Qualsiasi database in grado di effettuare richieste HTTPS in uscita può potenzialmente essere fatto parlare con un servizio remoto in modi difficili da distinguere dal normale comportamento dell'applicazione. Questo non prova un abuso in ogni caso, ma spiega perché l'egress abilitato dall'AI meriti lo stesso livello di scrutinio di percorsi di rete più evidenti.
Al momento della stesura, le informazioni pubbliche non hanno ancora stabilito in modo completo i passaggi esatti della proof-of-concept, l'entità di un eventuale impatto nel mondo reale o se ambienti rafforzati resistano alla tecnica. Ciò che è chiaro è che l'AI nativa nel database fa ormai parte del perimetro di fiducia, e i team di sicurezza devono trattarla in questo modo.
Conclusione
SQL Server 2025 mostra quanto rapidamente una funzionalità di innovazione possa trasformarsi in un problema di controllo di sicurezza. La lezione non è evitare l'AI nei database, ma presumere che qualsiasi funzionalità capace di eseguire recupero, chiamate esterne o interazione con un modello debba essere esaminata anche come meccanismo di egress, oltre che come strumento di produttività. Privilegio minimo, restrizioni in uscita e copertura di auditing non sono più extra opzionali. Sono la differenza tra un flusso di lavoro AI utile e un canale silenzioso di perdita di dati.
TECHCROOK
Dispositivo firewall hardware: Un firewall dedicato può aiutare i team a applicare regole in uscita, segmentare i server di database e registrare traffico insolito. Per gli ambienti che eseguono funzionalità di database abilitate all'AI, questo controllo di rete aggiuntivo è un livello pratico insieme alle autorizzazioni e all'auditing.
WIKICROOK
- Retrieval-Augmented Generation (RAG): Un pattern AI che combina dati recuperati e output del modello per rispondere alle domande usando un contesto live.
- Ricerca vettoriale: Un metodo di ricerca per similarità che confronta embedding numerici invece di corrispondenze testuali esatte.
- Embedding: Una rappresentazione numerica del contenuto che aiuta i sistemi AI a confrontare il significato tra testi o record.
- Command-and-control occulto (C2): Comunicazione nascosta tra un sistema controllato e un operatore remoto.
- SQL Server Audit: Una funzionalità di logging integrata che registra attività importanti del database e del server per le indagini.
