माइक्रोसॉफ्ट ने अपने कोपायलट एआई सहायक में एक भेद्यता को संबोधित किया जिसने हमलावरों को एक वैध दिखने वाले यूआरएल पर एक क्लिक के माध्यम से संवेदनशील उपयोगकर्ता डेटा निकालने की अनुमति दी। वेरोनिस के सुरक्षा शोधकर्ताओं ने इस खामी की खोज की, जिसमें एक बहुस्तरीय हमले का प्रदर्शन किया गया जो उपयोगकर्ता के नाम, स्थान और उनकी कोपायलट चैट इतिहास के विवरण जैसे डेटा को निकाल सकता था।

हमला, एक बार जब उपयोगकर्ता द्वारा लिंक पर क्लिक करने से शुरू हो जाता है, तो कोपायलट चैट बंद होने के बाद भी चलता रहता था, जिसके लिए आगे किसी बातचीत की आवश्यकता नहीं होती थी। वेरोनिस सुरक्षा शोधकर्ता डोलेव टेलर के अनुसार, इस शोषण ने एंटरप्राइज एंडपॉइंट सुरक्षा नियंत्रण और एंडपॉइंट सुरक्षा अनुप्रयोगों द्वारा पता लगाने को दरकिनार कर दिया। टेलर ने आर्स टेक्निका को बताया, "एक बार जब हम इस दुर्भावनापूर्ण संकेत के साथ यह लिंक वितरित कर देते हैं, तो उपयोगकर्ता को बस लिंक पर क्लिक करना होता है और दुर्भावनापूर्ण कार्य तुरंत निष्पादित हो जाता है।" "भले ही उपयोगकर्ता केवल लिंक पर क्लिक करे और कोपायलट चैट के टैब को तुरंत बंद कर दे, फिर भी शोषण काम करता है।"

इस प्रकार की भेद्यता एआई-संचालित उपकरणों और रोजमर्रा के वर्कफ़्लो में उनके एकीकरण से जुड़ी बढ़ती सुरक्षा चिंताओं को उजागर करती है। कोपायलट, अन्य बड़े भाषा मॉडल (एलएलएम) की तरह, उपयोगकर्ता इनपुट को संसाधित करके और प्रतिक्रिया देकर काम करता है, अक्सर अपने प्रदर्शन को बेहतर बनाने और इंटरैक्शन को निजीकृत करने के लिए उपयोगकर्ता डेटा तक पहुंच और संग्रहीत करता है। यह डेटा, यदि ठीक से सुरक्षित नहीं है, तो दुर्भावनापूर्ण अभिनेताओं के लिए एक लक्ष्य बन सकता है।

वेरोनिस के शोधकर्ताओं ने, व्हाइट-हैट हैकर्स के रूप में काम करते हुए, प्रदर्शित किया कि कैसे एक तैयार किए गए यूआरएल का उपयोग उपयोगकर्ता के कोपायलट सत्र में दुर्भावनापूर्ण संकेत इंजेक्ट करने के लिए किया जा सकता है। इन संकेतों का उपयोग तब संवेदनशील जानकारी निकालने या उपयोगकर्ता की ओर से अनधिकृत कार्रवाई करने के लिए किया जा सकता है। तथ्य यह है कि उपयोगकर्ता द्वारा चैट विंडो बंद करने के बाद भी हमला जारी रहा, एआई-संचालित वातावरण के भीतर लगातार खतरों की संभावना को रेखांकित करता है।

इस भेद्यता के निहितार्थ व्यक्तिगत उपयोगकर्ताओं से परे हैं। उद्यम सेटिंग्स में, जहां कोपायलट और इसी तरह के उपकरणों का उपयोग तेजी से दस्तावेज़ सारांश, कोड पीढ़ी और डेटा विश्लेषण जैसे कार्यों के लिए किया जा रहा है, एक सफल हमला संवेदनशील व्यावसायिक जानकारी और बौद्धिक संपदा से समझौता कर सकता है। एंडपॉइंट सुरक्षा नियंत्रणों को दरकिनार करने की क्षमता जोखिम को और बढ़ा देती है, क्योंकि पारंपरिक सुरक्षा उपाय ऐसे हमलों का पता लगाने और रोकने के लिए पर्याप्त नहीं हो सकते हैं।

माइक्रोसॉफ्ट ने भेद्यता को दूर करने के लिए एक पैच जारी किया है, जो सॉफ्टवेयर को अद्यतित रखने के महत्व पर जोर देता है। हालांकि, यह घटना एआई के युग में मजबूत सुरक्षा उपायों और निरंतर निगरानी की चल रही आवश्यकता की याद दिलाती है। जैसे-जैसे एआई मॉडल अधिक परिष्कृत होते जाते हैं और महत्वपूर्ण प्रणालियों में एकीकृत होते जाते हैं, सुरक्षा शोधकर्ताओं और डेवलपर्स को दुर्भावनापूर्ण अभिनेताओं द्वारा उनका शोषण किए जाने से पहले संभावित कमजोरियों की पहचान करने और उन्हें कम करने के लिए मिलकर काम करना चाहिए। यह घटना उपयोगकर्ता डेटा की सुरक्षा और गोपनीयता सुनिश्चित करने के लिए एआई डेवलपर्स की जिम्मेदारी और एआई प्रौद्योगिकियों के विकास और तैनाती को नियंत्रित करने वाले स्पष्ट दिशानिर्देशों और विनियमों की आवश्यकता के बारे में भी सवाल उठाती है।