பாதுகாப்பு ஆராய்ச்சியாளர்கள் மைக்ரோசாப்ட் 365 கோபிலட்டில் ஒரு முக்கியமான பாதிப்பை அடையாளம் கண்டுள்ளனர், இது பயனர் தொடர்பு இல்லாமல் தரவை வெளியேற்றுவதற்கு பயன்படுத்தப்படலாம். AI ஐ அதன் சொந்த பாதுகாப்புக் காவலர்களை விளக்குவதன் மூலம் குறைபாடு கண்டுபிடிக்கப்பட்டது, இறுதியில் கட்டாய உறுதிப்படுத்தல் தேவைகளைத் தவிர்த்து மறைந்த அளவுருவை வெளிப்படுத்தியது.
ஒரு அசாதாரண கண்டுபிடிப்பு செயல்முறை
பாதிப்பு கண்டுபிடிப்பு செயல்முறை அதன் வழக்கத்திற்கு மாறான முறைக்காக தனித்து நின்றது. நிலையான தலைகீழ் பொறியியல் அல்லது பாரம்பரிய ஊடுருவல் சோதனைக் கருவிகளைப் பயன்படுத்துவதற்குப் பதிலாக, வரோனிஸ் ஆராய்ச்சியாளர்கள் மைக்ரோசாப்ட் 365 கோபிலட் இயந்திரத்தை '20 கேள்விகள்' விளையாட்டில் பங்கேற்பவர் போல் கருதினர். AI ஐ அதன் சொந்த பாதுகாப்பு நெறிமுறைகள் மற்றும் அதன் பயனர்-உறுதிப்படுத்தல் பாதுகாப்புக் கம்பிகளின் வரம்புகள் குறித்து வேண்டுமென்றே வினவுவதன் மூலம், ஆராய்ச்சியாளர்கள் அதன் உள் இயக்கவியலை வெளிப்படுத்தும் வகையில் சமூக-பொறிமுறையை திறம்பட உருவாக்கினர். AI இலிருந்து வரும் ஒவ்வொரு மறுப்பும் ஒரு பின்னூட்ட சுழற்சியாக செயல்பட்டது, இது கணினி எவ்வாறு முக்கியத் தூண்டுதல்கள் மற்றும் ஆழமான இணைப்புகளைக் கையாளுகிறது என்பது பற்றிய கூடுதல் தரவை வழங்குகிறது. இறுதியில், தானியங்கி பணிப்பாய்வுகளை எளிதாக்க வடிவமைக்கப்பட்ட ஆவணமற்ற அளவுருக்கள் இருப்பதை மாதிரி வெளிப்படுத்தியது, இது நிறுவப்பட்ட பாதுகாப்பு ஒப்புதல் தேவைகளைத் தவிர்ப்பதற்கு தவறாகப் பயன்படுத்தப்படும் ஒரு குறிப்பிட்ட பொறிமுறையைக் குறிக்க குழுவை அனுமதித்தது.
சுரண்டலின் இயக்கவியல்
காபிலட்டிற்குள் ஆவணப்படுத்தப்படாத அளவுருவான '?autorun=1' சரம் பாதுகாப்புக் கவலையின் மையமாக இருந்தது. பரவலாக அங்கீகரிக்கப்பட்ட '?q=' அளவுருவுடன் இணைந்தால்—பொதுவாக உரை உட்செலுத்தலுக்குப் பயன்படுத்தப்படுகிறது—இது பொதுவாக இயங்குதளத்திற்குத் தேவைப்படும் வெளிப்படையான பயனர் சைகை இல்லாமல் கட்டளைகளை செயல்படுத்த அனுமதிக்கப்படுகிறது. நிலையான பாதுகாப்பான உள்ளமைவில், அதிக ஆபத்து அல்லது தானியங்கு கட்டளைகளை அங்கீகரிக்க, விசைப்பலகை விசையை அழுத்துவது போன்ற ஒரு குறிப்பிட்ட பயனர் செயலை Copilot அவசியமாக்குகிறது. இருப்பினும், சிறப்பாக வடிவமைக்கப்பட்ட URL இல் இந்த அளவுருக்களைப் பயன்படுத்துவதன் மூலம், இலக்குப் பயனர் ஒரு இணைப்பைக் கிளிக் செய்த தருணத்தில், தாக்குபவர் கணினியை செயல்பாடுகளைச் செய்யும்படி கட்டாயப்படுத்தலாம். இது தரவு வெளியேற்றத்திற்கான சாத்தியத்தை செயல்படுத்தியது, ஏனெனில் சுரண்டல் AI ஐத் தூண்டி, அங்கீகரிக்கப்படாத தூண்டுதல்களை அமைதியாகவும் உடனடியாகவும் செயல்படுத்துகிறது, நிறுவன சூழலைப் பாதுகாக்கும் நோக்கம் கொண்ட மனித சரிபார்ப்பின் அடுக்கை முற்றிலுமாகத் தவிர்க்கிறது.
தணிப்பு மற்றும் பதில்
வரோனிஸிடமிருந்து அறிக்கையைப் பெற்ற சிறிது நேரத்திலேயே மைக்ரோசாப்ட் பாதிப்பை நிவர்த்தி செய்யத் தொடங்கியது. ஆரம்பத்தில், தொழில்நுட்ப நிறுவனமானது பிப்ரவரி 2026 இல் ஒரு அமைதியான தணிப்பை செயல்படுத்தியது, இது வெளிப்படுத்தப்பட்ட சுமார் மூன்று மாதங்களுக்குப் பிறகு. இந்த இடைக்காலத் திருத்தமானது, '?q=' அளவுருவின் செயல்பாட்டைக் கட்டுப்படுத்துவதுடன், சாட்போட்டின் உள்ளீட்டுப் புலத்தில் தானாகவே உரையைச் செலுத்துவதைத் தடுக்கிறது. பயனர்களை கைமுறையாகக் கிளிக் செய்து தட்டச்சு செய்யும்படி கட்டாயப்படுத்துவதன் மூலம், தானியங்கு தாக்குதல்களுக்கான அளவுருவைப் பயன்படுத்தி மூன்றாம் தரப்பு உலாவி ஒருங்கிணைப்புக்கான திறனை Microsoft நீக்கியது. இந்த ஆரம்ப கட்டத்தைத் தொடர்ந்து, அடையாளம் காணப்பட்ட சுரண்டல் பாதைக்கு எதிராக தளத்தை முழுமையாகப் பாதுகாப்பதற்கும், AI உதவியாளரின் பாதுகாப்புக் கம்பிகள் இதேபோன்ற எதிர்கால கையாளுதலுக்கு எதிராக வலுவாக இருப்பதை உறுதி செய்வதற்கும், ஆகஸ்ட் 18, 2026 செவ்வாய் அன்று நிறுவனம் மேலும் விரிவான மற்றும் விரிவான திருத்தங்களைச் செய்தது.
⚖ The Balanced View
Supporting view
உயர்-அடுக்கு AI மாதிரிகள் கூட உள் தர்க்கத்தைக் கொண்டுள்ளன என்பதை வரோனிஸ் ஆராய்ச்சியாளர்கள் நிரூபித்துள்ளனர், அவை முறையாக விசாரிக்கப்படலாம், இது பாதுகாப்பு கடினப்படுத்துதலுக்கான வரைபடத்தை வழங்கும்.
Concerns & criticism
AI மாதிரியுடன் உரையாடுவதன் மூலம் வர்த்தக ரகசியங்களைப் பிரித்தெடுக்கும் திறன் மற்றும் முக்கியமான பாதுகாப்புக் கட்டுப்பாடுகளைத் தவிர்ப்பது, LLM- அடிப்படையிலான நிறுவன உதவியாளர்களின் தற்போதைய வடிவமைப்பில் உள்ள குறிப்பிடத்தக்க அபாயங்களை எடுத்துக்காட்டுகிறது.
→What's next
எண்டர்பிரைஸ் மென்பொருளில் AI-உந்துதல் ஆட்டோமேஷன் அதிகமாக இருப்பதால், மைக்ரோசாப்ட் இதேபோன்ற உடனடி அடிப்படையிலான பைபாஸ்களைத் தொடர்ந்து கண்காணிக்கும். பாதுகாப்பு ஆராய்ச்சியாளர்கள் பெரிய மொழி மாதிரி உள் கட்டமைப்புகளின் எல்லைகளை மேலும் ஆராய்வார்கள் என்று எதிர்பார்க்கப்படுகிறது.
