Quando il browser risponde: il confine di riservatezza di Copilot viene sottoposto a pressione

I copiloti aziendali vengono venduti come livelli di produttività, ma si trovano anche in una posizione sensibile: tra l’identità, il contesto del browser e i dati aziendali. Se quel confine di fiducia si rompe, il risultato non è necessariamente l’esecuzione di codice o una presa di controllo completa. Più spesso, è qualcosa di più silenzioso e difficile da individuare - l’esposizione non autorizzata di informazioni che sarebbero dovute rimanere all’interno del tenant.

È questo il rischio sollevato da tre vulnerabilità critiche di divulgazione delle informazioni che interessano Microsoft 365 Copilot e Copilot Chat in Microsoft Edge. Il meccanismo esatto non è stato reso pubblico nel materiale disponibile, ma il significato per la sicurezza è chiaro: una falla nel percorso di gestione dei dati potrebbe consentire ai contenuti di oltrepassare un confine che Microsoft ha progettato per proteggere la riservatezza.

Fatti rapidi

• Sono state divulgate tre vulnerabilità critiche di divulgazione delle informazioni per Microsoft 365 Copilot e Copilot Chat in Microsoft Edge.
• Il rischio riguarda i dati aziendali sensibili e la riservatezza corporate, non malware o compromissione del dispositivo.
• Edge può trasmettere il contesto della pagina a Copilot Chat, ampliando il ruolo del browser nel percorso dei dati.
• I controlli aziendali di Microsoft sono progettati per mantenere Copilot entro i limiti di autorizzazione, etichettatura e DLP.
• Il materiale pubblico non conferma sfruttamenti nel mondo reale né identifica le organizzazioni interessate.

Dove la debolezza conta

Copilot in Edge non è solo una casella di chat. Può operare con titoli delle pagine, URL, prompt, cronologia delle conversazioni e - a seconda delle policy e della scelta dell’utente - contesto di navigazione. Questo rende il browser parte del modello di sicurezza. Se falliscono i controlli che separano la visualizzazione autorizzata di un utente dall’output riassuntivo del modello, un assistente IA può trasformarsi in un amplificatore di riservatezza.

Dal punto di vista difensivo, la domanda importante non è se la funzione sia utile; è se il percorso di enforcement sia a prova di errore. Etichette di sensibilità, identità, crittografia e DLP dovrebbero impedire che contenuti protetti emergano nelle risposte generate. Una falla critica di divulgazione delle informazioni suggerisce che uno di quei varchi potrebbe essere aggirato in alcune condizioni, anche se non si è verificata una compromissione più ampia.

Questo è anche il motivo per cui gli attacchi specifici per l’IA vengono considerati più seriamente dei bug curiosi. In alcuni ambienti, contenuti controllati dall’attaccante possono essere usati per orientare un modello a rivelare più del previsto, soprattutto quando all’assistente è consentito ragionare su pagine web live o materiale interno. Ciò non prova un prompt injection in questo caso, ma mostra il tipo di modello di minaccia per cui i difensori devono prepararsi.

Al momento della pubblicazione, le informazioni pubbliche non hanno ancora stabilito completamente la causa tecnica alla radice, l’ambito completo degli utenti interessati o se sistemi a valle siano stati compromessi. Le informazioni disponibili supportano un’analisi del rischio, non un’affermazione definitiva di furto di dati.

Cosa dovrebbero monitorare i team di sicurezza

Gli amministratori dovrebbero verificare se l’accesso al contesto della pagina sia davvero necessario, rafforzare dove opportuno le policy del browser e assicurarsi che DLP ed etichette di sensibilità siano attive sui contenuti di alto valore. Anche le tracce di audit sono importanti: se un assistente IA riassume qualcosa che non dovrebbe, i log potrebbero essere l’unico modo per ricostruire ciò che ha superato il limite.

La lezione più ampia è semplice: i fallimenti di riservatezza dell’IA spesso iniziano come fallimenti del piano di controllo. Nei moderni sistemi aziendali, il bug più pericoloso può essere quello che fa sembrare i dati sensibili qualcosa di ordinario.

WIKICROOK

• Divulgazione delle informazioni: Una debolezza che rivela dati a qualcuno che non dovrebbe poterli vedere.
• Prevenzione della perdita di dati (DLP): Controlli che rilevano e limitano la condivisione o l’elaborazione non sicura di dati sensibili.
• Etichetta di sensibilità: Un tag di classificazione che indica che un contenuto è confidenziale, limitato o comunque protetto.
• Confine di fiducia: Un punto in cui i dati si spostano tra componenti con differenti assunzioni di sicurezza o autorizzazioni.
• Contesto della pagina: Informazioni del browser come contenuto, titolo o URL che possono essere trasmesse a un assistente per la sintesi.