Incydent EchoLeak: Ukryte ryzyko Copilota i jak chronić dane

Niedawno przejrzałem uprawnienia Copilota w naszym tenancie AGAPE Automation Systems. To, co znalazłem, kazało mi wrócić do incydentu EchoLeak i policzyć, ile kosztowałby mnie jeden taki wyciek.

Kiedy pierwszy raz przeczytałem o EchoLeak, pomyślałem, że Microsoft załatał temat i sprawa zamknięta. Potem sprawdziłem zakres dokumentów, do których Copilot ma dostęp w naszym tenancie, i zrozumiałem, że ostatnia poprawka usuwa tylko jeden wektor ataku, a nie fundamentalny problem zbyt szerokiego dostępu.

W AGAPE od początku projektowaliśmy technologię Zero-Hallucination tak, aby ograniczać zakres danych widocznych dla modelu. Nie tylko po to, by unikać halucynacji, ale właśnie po to, by przy ataku typu EchoLeak nie było czego wynieść. Nasz system AGAPE Octopus działa na tym samym założeniu: im mniej danych widzi model, tym niższy koszt utrzymania maszyny i niższe ryzyko.

Ile naprawdę wiesz o tym, co Twoi ludzie wklejają do AI

Połowa aktywności wklejania do narzędzi generatywnej AI dotyczy danych firmowych: oferty, marże, maile od klientów, listy płac. Druga połowa to zwykłe pytania, które jednak uruchamiają przeszukiwanie całego dostępnego dla AI kontekstu.

89 procent logowań do narzędzi AI odbywa się poza kontrolą standardowych mechanizmów korporacyjnych. Ludzie logują się na kontach prywatnych, w przeglądarkach bez nadzoru, przez wtyczki w Wordzie czy Teams. Dział IT nie widzi tego w żadnym raporcie, bo nie ma takiego raportu.

W AGAPE wprowadziliśmy prosty rejestr: każde narzędzie AI, jego uprawnienia i zakres danych, do których ma dostęp. Bez takiego rejestru, całkowity koszt posiadania (TCO) maszyny rośnie o ukryte pozycje, których nie widać w abonamencie.

Jak EchoLeak wynosił dane - mechanizm krok po kroku

Atakujący wysłał maila sformatowanego tak, by wyglądał na materiał relewantny dla typowych zapytań o onboarding, procedury HR lub raport kwartalny. Celowo nie użyto słów kluczowych jak „AI”, „Copilot” czy „prompt”, by ominąć klasyfikatory.

Mechanizm RAG (Retrieval-Augmented Generation) w Copilocie uznał maila za kontekst i włączył jego treść do przetwarzania przez LLM. Złośliwa treść instruowała model, by odnalazł najbardziej wrażliwe dane w bieżącym kontekście i umieścił je w adresie URL obrazka w formacie Markdown.

Klient Copilota automatycznie próbował załadować obrazek, wysyłając żądanie HTTP na zewnętrzny serwer atakującego. Dane wyciekały w URL, bez żadnego kliknięcia, bez pobierania pliku, bez widocznej akcji użytkownika.

Nawet firmy blokujące publiczne chatboty i używające wyłącznie Copilota wewnątrz własnego środowiska Microsoft 365 pozostawały narażone. Atak działał właśnie w rzekomo zamkniętym środowisku M365.

LLM Scope Violation jako wada architektury RAG

EchoLeak nie był pojedynczym błędem produktu. To objaw szerszej klasy problemów, nazwanej LLM Scope Violation. Nieufne dane z zewnątrz wpływają na przetwarzanie zaufanych informacji wewnętrznych, bo model z definicji miesza oba źródła przy każdym zapytaniu.

Dopóki Copilot przeszukuje maile i dokumenty przy każdym pytaniu, dopóty zewnętrzna treść może wpłynąć na to, co system zrobi z danymi wewnętrznymi. Niedawna poprawka usunęła jeden konkretny wektor, ale nie zmieniła architektury, w której RAG łączy szerokie uprawnienia z automatycznym renderowaniem treści zewnętrznych.

W AGAPE po EchoLeak nie pytamy już, czy narzędzie jest bezpieczne. Pytamy, ile dokumentów widzi, do których nie powinno mieć dostępu, i ile kosztowałby wyciek jednego z nich.

Ile kosztuje jeden taki wyciek?

Koszt nie ogranicza się do abonamentu. Kara od regulatora (np. UOKiK) może sięgać 4% rocznego obrotu. Utrata jednego klienta B2B może oznaczać stratę kontraktu wartego setki tysięcy złotych. Koszt komunikacji kryzysowej i audytu po wycieku zaczyna się od kilkunastu tysięcy złotych.

W AGAPE liczymy koszt na wykonane zadanie (cost per completed task). Gdy model ma dostęp do całej skrzynki i wszystkich plików SharePoint, każdy task staje się droższy o ryzyko. Nasza technologia Zero-Hallucination ogranicza ten dostęp do minimum wymaganego przez rolę użytkownika, dzięki czemu TCO pozostaje przewidywalne.

Co robić po EchoLeak: audyt i kontrola

Po pierwsze, przeprowadź audyt uprawnień w swoim tenancie Microsoft 365. Ogranicz dostęp Copilota do skrzynek pocztowych i folderów, które nie są niezbędne dla codziennych zapytań. Wprowadź zasadę, że każde nowe narzędzie AI przechodzi przez rejestr z mapą uprawnień.

Po drugie, sprawdź funkcję automatycznego wczytywania treści zewnętrznych w narzędziach. Tam, gdzie to możliwe, wyłącz renderowanie obrazów Markdown pochodzących z nieznanych źródeł. Microsoft deklaruje, że Copilot respektuje istniejące uprawnienia, więc im węższy zakres, tym mniejsze ryzyko przy kolejnym podobnym incydencie.

Kluczowe pytanie brzmi: ile dokumentów w Twojej firmie ma uprawnienia szersze niż wymaga tego rola ich właściciela? Jeśli nie znasz odpowiedzi, to jest Twój pierwszy punkt do audytu.