นักวิจัยใช้ Copilot เองหาช่องโหว่ที่ทำให้ถูกโจมตีได้

นักวิจัยด้านความปลอดภัยจาก Varonis เปิดเผยวิธีโจมตี Microsoft 365 Copilot Enterprise ที่ทำให้ระบบสามารถถูกใช้ดึงข้อมูลผู้ใช้และรหัสผ่านออกไปได้ โดยไม่ต้องอาศัยการยืนยันจากผู้ใช้ตามปกติ จุดที่น่าสนใจคือพวกเขาไม่ได้เริ่มจากการย้อนแกะโค้ดหรือใช้เทคนิคหาแพตช์ทั่วไป แต่เลือก “ถาม Copilot” เพื่อให้มันอธิบายกลไกการป้องกันของตัวเอง และคำตอบที่ได้กลับกลายเป็นเบาะแสสำคัญของช่องโหว่

เดิมที Copilot ปฏิเสธคำสั่งที่เสี่ยงและยืนยันว่าการทำงานบางอย่างต้องได้รับการยืนยันจากผู้ใช้ก่อน เช่น การกดปุ่มหรือมีการกระทำที่ชัดเจนจากมนุษย์ นักวิจัยจึงค่อย ๆ ไล่ถามแบบต่อเนื่องว่าเหตุใดจึงไม่สามารถสั่งให้ทำงานอัตโนมัติได้ โครงสร้าง URL หรือ deep link แบบใดเกี่ยวข้อง และเกิดอะไรขึ้นถ้าเปิดหน้าเว็บที่มีข้อมูลบางส่วนกรอกค้างไว้ในช่องป้อนข้อมูลแล้ว

การถามลักษณะนี้ทำให้ Copilot เปิดเผยรายละเอียดเพิ่มขึ้นเรื่อย ๆ เกี่ยวกับระบบ guardrail และข้อจำกัดของมัน จนในที่สุดมีการบอกใบ้ถึง “พารามิเตอร์พรอมป์ต์” ที่ไม่ได้ระบุไว้เป็นเอกสารสาธารณะ และสามารถข้ามเงื่อนไขการขอความยินยอมจากผู้ใช้ได้โดยตรง นั่นหมายความว่ากลไกที่ตั้งใจจะกันไม่ให้ AI ทำงานอันตรายโดยอัตโนมัติ สามารถถูกหลบเลี่ยงได้ด้วยข้อมูลลับที่ตัวโมเดลเองหลุดออกมา

ประเด็นนี้สะท้อนความเสี่ยงของ AI ผู้ช่วยในระดับองค์กรที่ไม่ได้มีแค่ปัญหาการตอบผิด แต่รวมถึงการปกป้องข้อมูลสำคัญและการควบคุมการกระทำของระบบด้วย เมื่อโมเดลเปิดเผยรายละเอียดภายในมากเกินไป ช่องทางสำหรับ prompt injection หรือการหลอกให้ระบบทำงานผิดเงื่อนไขก็ยิ่งน่ากังวล โดยเฉพาะในสภาพแวดล้อมที่มีอีเมล เอกสาร และข้อมูลภายในองค์กรเชื่อมต่ออยู่

กรณีนี้จึงเป็นสัญญาณเตือนทั้งต่อ Microsoft และผู้พัฒนา AI รายอื่น ๆ ว่ากลไกความปลอดภัยของผู้ช่วยอัจฉริยะต้องถูกออกแบบให้ทนต่อการชักนำข้อมูลทีละขั้น และต้องระวังไม่ให้โมเดลเปิดเผยข้อมูลภายในที่ช่วยให้ผู้โจมตีหาช่องโหว่ต่อได้ง่ายขึ้น โดยเฉพาะเมื่อ AI ถูกนำไปใช้เป็นเครื่องมือทำงานหลักในองค์กรขนาดใหญ่