Microsoft ha fatto sapere che un bug in Microsoft 365 Copilot (strumento di produttività pensato per il lavoro) da fine gennaio ha permesso all’assistente AI di riassumere messaggi di posta elettronica, bypassando la prevenzione della perdita dei dati (DLP), in altre parole la soluzione che dovrebbe rilevare attività sospette confrontando i contenuti con i criteri della propria organizzazione, definendo come quest’ultima etichetta, condivide e protegge i dati senza esporli a utenti non autorizzati.
Del problema riferisce il sito BleepingComputer evidenziando una “alert di servizio”; il bug individuato il 21 gennaio (etichettato come CW1226324) riguarda la funzionalità “work tab” di Copilot, interfaccia conversazionale basata su AI che l’azienda di Redmond ha iniziato a distribuire agli utenti business di Microsoft 365 alla fine dello scorso anno. Questa funzione interpreta erroneamente come accessibili le mail memorizzate nelle caselle di posta inviata e bozze dell’utente, inclusi messaggi espressamente etichettati come “confidenziali”, elemento che dovrebbe impedire l’accesso da parte di strumenti automatizzati.
Nell’alert visionato da BleepingComputer si legge: “I messaggi email degli utenti con etichetta di riservatezza applicata vengono processati in modo errato da Microsoft 365 Copilot chat. La funzione Chat nella scheda ‘work’ di Microsoft 365 Copilot sta riassumendo messaggi email nonostante su questi messaggi sia applicata un’etichetta di sensibilità e sia configurata una policy DLP”.
Vano il blocco ai dati sensibili
La falla, in altre parole, vanifica qualunque funzionalità di prevenzione della perdita dei dati, rendendo superfluo identificare e classificare le informazioni importanti, restrizioni all’accesso, contrassegni visivi e policy per la governance dei dati.
Microsoft non ha per il momento indicato l’esatta causa del problema ma ha avviato rollout di una correzione nei primi giorni di febbraio; l’azienda starebbe monitorando attivamente la patch distribuita e contattato anche alcuni utenti colpiti per verificare l’efficacia della soluzione adottata.
Per tutte le notizie sulla sicurezza informatica rimandiamo alla sezione dedicata di macitynet.
