Copilot Actions: critiche dagli esperti di sicurezza

Microsoft ha annunciato nuove funzionalità AI integrate in Windows 11. Sono sperimentali e devono essere attivate manualmente dagli utenti. Diversi esperti di sicurezza hanno evidenziato i rischi derivanti dall’uso di Copilot Actions.

Furto di dati e installazione di malware

Copilot Actions è un agente AI. Può eseguire diverse attività per conto dell’utente, come inviare un’email. È attualmente disponibile nell’app Copilot solo agli Insider negli Stati Uniti. Le sue azioni vengono eseguite in un ambiente separato (Agent Workspace), ma può accedere ai file presenti nelle cartelle Documenti, Desktop, Download, Immagini, Video e Musica, oltre che alle app installate sul computer (dopo aver ricevuto l’autorizzazione).

Microsoft avverte però che la funzionalità dovrebbe essere attivata solo se l’utente comprende le implicazioni per la sicurezza. Come tutti i modelli AI anche quello usato per Copilot Actions può fornire risposte sbagliate (allucinazioni). Il rischio maggiore è rappresentato dagli attacchi di prompt injection. I cybercriminali nascondono in siti web, email o documenti istruzioni che l’agente AI eseguirà in automatico.

Microsoft ha infatti scritto che esiste la probabilità di azioni indesiderate, come il furto dei dati e l’installazione di malware, tramite cross-prompt injection (XPIA). Non viene tuttavia indicato come prevenire il pericolo (l’unico modo è non usare Copilot Actions o non accedere ad Internet).

Diversi ricercatori di sicurezza hanno paragonato questo avvertimento a quello sulla pericolosità delle macro in Office. In pratica, l’avvertimento su Copilot Actions è altrettanto inutile. Molto probabilmente diventerà una funzionalità predefinita per tutti gli utenti. A quel punto, solo i più esperti riusciranno a rimuoverla da Windows 11.

Microsoft sottolinea che l’agente AI potrà eseguire azioni o accedere ai dati solo con il permesso dell’utente. Spesso però gli utenti cliccano senza comprendere le conseguenze. I più critici affermano che questi avvisi servono esclusivamente per trasferire la responsabilità all’utente. C’è un acronimo in inglese che descrive la tattica: CYA (Cover Your Ass). Il significato è chiaro anche senza traduzione.