Windows 11 : comment Copilot est détourné pour devenir un outil de phishing super sophistiqué

Le chercheur Michael Bargury s’est étendu sur la manière dont Copilot, l’intelligence artificielle de Microsoft, peut être détournée pour créer des attaques malveillantes en se faisant passer pour des utilisateurs que vous connaîtriez.

Copilot, partout, tout le temps

Si l’utilité de Copilot ne fait pas sens pour tout le monde, Microsoft continue de pousser son intelligence artificielle au sein de ses applications avec sa suite Office 365 pouvant vous aider entre autres à rédiger des textes. Une omniprésence qui n’a pas échappé à certains chercheurs.

Wired, a pu assister à une conférence sur la sécurité Black Hat à Las Vegas et a rencontré le chercheur Michael Bargury qui explique comment des hackeurs pourraient s’emparer de cet outil pour créer un outil de phishing ultra-performant.

Votre IA est un double numérique

Copilot, en étant détournée, peut extraire des informations privées et contourner les protections de sécurité de Microsoft. Bargury, cofondateur et directeur technique de la société de sécurité Zenity, a créé un code capable d’utiliser Copilot pour voir les destinataires de vos e-mails, rédiger un message qui imiterait votre style d’écriture en y insérant des emoji si vous en utilisez tout en créant un message personnalisé. Message personnalisé qui comporterait un lien malveillant bien entendu.

« Je peux le faire avec toutes les personnes à qui vous avez parlé et je peux envoyer des centaines d’e-mails en votre nom », déclare Bargury. La force de l’intelligence artificielle réside ici dans une personnalisation poussée des messages pouvant être envoyé à l’intégralité de votre répertoire en l’espace de quelques minutes.

La démonstration ne s’arrête pas là. Le chercheur indique pouvoir piéger Copilot pour fournir des informations bancaires de certains utilisateurs ou encore d’extraire des données sensibles à partir de prompt sans déclencher les sécurités de Microsoft. Une situation à laquelle Phillip Misner, responsable de la détection et de la réponse aux incidents d’IA chez Microsoft, a répondu, indiquant que les risques de cette technique sont similaires à d’autres techniques après piratage. L’accent devant être mis sur la surveillance et la sécurité au sein des environnements. Les chercheurs pointent du doigt, le fait que les entreprises ont notamment longtemps négligé les process de sécurité laissant vagabonder des informations sensibles non cryptées parmi leurs salariés.

Une question prise à bras-le-corps par certaines entreprises comme Super SafeIntelligence. Reste à voir comment ces process vont se généraliser dans le futur et quelle prévention se fera pour prémunir les utilisateurs de ces risques.