Meta AI zoekopdrachten openbaar - maar weten gebruikers dat wel?

Beveiligingsbedrijf Aim Security heeft een ernstige kwetsbaarheid in Microsoft 365 Copilot aan het licht gebracht. De fout maakte het mogelijk om gevoelige informatie te bemachtigen zonder dat de gebruiker op iets hoefde te klikken - een zogenaamde ‘zero-click-aanval'. De aanval werd al in januari ontdekt, maar vandaag pas bekendgemaakt, nu Microsoft het lek heeft gedicht. De ontdekking wijst op een fundamenteel probleem in de beveiliging van AI-agenten, aldus de onderzoekers. Kwetsbaarheid De kwetsbaarheid, door Aim Security gedoopt tot ‘EchoLeak’, stelde kwaadwillenden in staat om Copilot via een eenvoudige e-mail ongemerkt te manipuleren. Zonder malware of phishingtechnieken kon een AI-agent opdrachten uitvoeren die leidden tot het uitlekken van vertrouwelijke bestanden, e-mails en chats. Copilot leest automatisch mee in e-mails om gebruikers proactief te helpen, maar in dit geval werd dat mechanisme misbruikt. De aanval omzeilde de ingebouwde beveiliging van Copilot, bedoeld om alleen geautoriseerde toegang toe te staan. Dankbaar Microsoft bevestigt dat het probleem inmiddels is opgelost en dat geen klanten zijn getroffen. In een verklaring laat het bedrijf weten Aim Security dankbaar te zijn voor het verantwoordelijk melden van de kwetsbaarheid. De oplossing is inmiddels doorgevoerd en gebruikers hoeven niets te doen. Wel zegt Microsoft extra beveiligingslagen te implementeren om herhaling te voorkomen. Volgens Aim Security is EchoLeak geen geïsoleerd incident, maar een symptoom van een bredere kwetsbaarheid in de architectuur van AI-systemen gebaseerd op zogeheten large language models (LLM’s). CTO Adir Gruss vergelijkt de situatie met de vroege dagen van het internet, toen hackers voor het eerst controle over apparaten kregen via softwarefouten. “Het probleem is dat AI-agenten geen onderscheid maken tussen betrouwbare en onbetrouwbare gegevens”, aldus Gruss. “Dat maakt ze bijzonder manipuleerbaar.” Onderzoeksproces Het onderzoeksproces duurde ongeveer drie maanden. Aim reverse-engineerde Copilot volledig om de kwetsbaarheid bloot te leggen en werkte nauw samen met Microsoft om deze op te lossen. Een eerste poging tot herstel in april bleek onvoldoende, waarna in mei aanvullende beveiligingsproblemen opdoken. Aim wachtte met publicatie tot Microsoft alles had gerepareerd, in de hoop dat andere softwaremakers nu ook actie ondernemen. De implicaties reiken verder dan alleen Microsoft. Ook AI-agenten van andere platforms, zoals Salesforce en Anthropic, kunnen soortgelijke zwaktes bevatten. Zolang AI-agenten zowel vertrouwde als niet-vertrouwde input verwerken zonder duidelijke scheiding, blijven ze kwetsbaar. Volgens Gruss is een fundamenteel herontwerp nodig: “Net als een persoon die alles gelooft wat hij leest, zijn AI-agenten nu makkelijk te misleiden. Dat moet veranderen.”