Récemment, Meta a connu un incident de cybersécurité embarrassant concernant son assistant de support basé sur d’IA. Le chatbot, à la demande de hackers, a involontairement ouvert accès aux comptes Instagram d’autres utilisateurs. Ce cas met en lumière les failles potentielles des outils basés sur l’IA lorsqu’il s’agit de protections en ligne.
Une méthode d’intrusion simple
Les hackers ont agi rapidement. En activant un VPN, ils ont demandé au chatbot de modifier l’adresse email associée à un profil ciblé, ce qui leur a permis de contourner l’authentification à deux facteurs (2FA) et de prendre le contrôle du compte en question. Cette situation soulève des inquiétudes quant à la fiabilité des technologies d’IA dans le domaine de la cybersécurité.
Un nouveau problème avec Microsoft
Peu après cet incident, le chatbot Copilot Enterprise de Microsoft a également été associé à un cas de sécurité similaire. Ce développement montre à quel point l’utilisation de l’IA dans les mesures de défense peut exposer des données clients sensibles. Selon un rapport d’Ars Technica, Microsoft a dû corriger une vulnérabilité sérieuse qui a permis à des chercheurs en sécurité de transformer leur chatbot en un outil d’exfiltration de données accessible en un clic.
Détails sur la vulnérabilité
La vulnérabilité en question a été classée par Microsoft comme ayant une gravité critique. Les attaquants ont pu exécuter leur plan par le biais d’un lien malveillant que les utilisateurs n’avaient qu’à cliquer. Ce lien permettait à Copilot de rechercher dans les emails de l’utilisateur et d’extraire des informations sensibles sans que la victime n’ait à faire quoi que ce soit.
La mécanique de l’attaque
L’exploit s’appuyait sur ce qu’on appelle une injection de paramètre à prompt. Cette méthode efficace consiste à manipuler les instructions d’un modèle de langage (LLM) par des entrées textuelles trompeuses. Le paramètre malveillant était intégré dans les paramètres de requête, ce qui le rendait potentiellement moins détectable.
Conséquences de l’attaque
Cette approche a aussi compromis le navigateur Bing de Microsoft, en lui faisant exécuter des commandes malveillantes via une URL. Comme Bing est le moteur de recherche de Microsoft, il était « blanc » et donc moins sujet à suspicion.
Les hackers ont ainsi pu accéder non seulement à des communications confidentielles, mais aussi activer des systèmes d’authentification pour différents services au sein de l’organisation ciblée, élargissant considérablement le champ des dommages possibles.
FAQ
Comment ces incidents affectent-ils la confiance des utilisateurs envers les outils d’IA?
Ces événements soulèvent des préoccupations majeures quant à la sécurité des données personnelles, ce qui peut inciter les utilisateurs à reconsidérer leur utilisation de ces technologies.
Quelles mesures les entreprises devraient-elles prendre pour protéger leurs données?
Les entreprises devraient renforcer leur formation en sécurité, mettre à jour régulièrement leurs systèmes et auditer les permissions accordées aux outils d’IA.
L’IA peut-elle offrir des solutions aux problèmes de cybersécurité ?
Bien que l’IA puisse fournir des solutions avancées en matière de cybersécurité, il est crucial de l’accompagner de vérifications humaines pour éviter les abus.
Quelles sont les alternatives à l’utilisation des chatbots d’IA pour le support client?
Des agents humains, bien que plus coûteux, peuvent offrir une approche plus sûre et garantir que les informations personnelles des utilisateurs ne soient pas exposées à des failles.
Comment les utilisateurs peuvent-ils protéger leurs données en ligne ?
Les utilisateurs devraient toujours activer l’authentification à deux facteurs, utiliser des mots de passe complexes et rester vigilants face aux liens ou demandes suspectes.
Cela peut vous intéresser
