Źródło: Link
Audyty, wdrożenia, szkolenia sprzedażowe i AI. Dopasowane do zespołu i procesów.
Mówią, że największym zagrożeniem w AI jest „superinteligencja”. Prawda jest dużo mniej filmowa i dużo bardziej przyziemna: czasem wystarczy zwykły link. Klikasz, a asystent AI dostaje polecenie, którego nie miał wykonać sam z siebie. I właśnie taki przypadek opisano przy Microsoft 365 Copilot.
Historia jest prosta i trochę niewygodna dla całej branży. Badacze z firmy Varonis chcieli znaleźć sposób, by po kliknięciu linku Copilot wykonał ukryty prompt bez dodatkowego potwierdzenia użytkownika. Gdy Copilot odmawiał, jednocześnie zdradzał techniczne wskazówki o swoich zabezpieczeniach. Seria pytań doprowadziła badaczy do nieudokumentowanego parametru ?autorun=1, który w połączeniu z ?q= pozwalał automatycznie uruchomić prompt po wejściu w adres URL.
To ważne Nie chodzi o to, że masz teraz panikować. To ważne dlatego, że ten przypadek pokazuje coś bardzo praktycznego: asystenci AI trzeba traktować jak systemy, które też mają powierzchnię ataku. Jeśli używasz AI w poczcie, dokumentach i pracy biurowej, bezpieczeństwo promptów przestaje być tematem „dla działu IT”. Staje się Twoim codziennym nawykiem.
Microsoft po zgłoszeniu problemu najpierw ograniczył działanie parametru ?q=, tak by nie dało się już wstrzykiwać tekstu bezpośrednio do pola czatu. Użytkownik musiał kliknąć i wpisać treść ręcznie. We wtorek firma wdrożyła też bardziej kompleksowe poprawki. Sam fakt, że luka została załatana, nie zamyka tematu. Daje za to dobrą lekcję: jeśli w firmie korzystasz z Copilota albo podobnych narzędzi, potrzebujesz prostych zasad obrony.
OK, rozbijmy to na czynniki pierwsze. Ten poradnik nie jest o hakowaniu. Jest o tym, jak zmniejszyć ryzyko, że asystent AI wykona coś po kliknięciu linku, otworzy dane z poczty albo pomoże w ich wycieku. Bez technicznego żargonu, za to konkretnie.
Przygotuj trzy rzeczy:
Jeśli chcesz lepiej zrozumieć, jak działają takie systemy pod spodem, zajrzyj też do tekstu jak zrozumieć, co potrafią transformery AI. To pomaga oddzielić marketing od realnego działania modelu (i oszczędza sporo frustracji).
Badacze opisani przez Ars Technica nie użyli klasycznego reverse engineeringu. Po prostu zadawali Copilotowi pytania o jego własne zabezpieczenia. Każda odmowa ujawniała kolejny szczegół architektury. W końcu model podał nieudokumentowany parametr ?autorun=1.
W połączeniu z parametrem ?q=, który służył do przekazywania treści promptu w adresie URL, dawało to prosty mechanizm: użytkownik klika link, a prompt uruchamia się automatycznie. Bez dodatkowego naciśnięcia klawisza, bez świadomego zatwierdzenia. To właśnie miało omijać zabezpieczenie wymagające gestu użytkownika.
Ars Technica przytoczyło przykład promptu, który kazał Copilotowi przeszukać skrzynkę odbiorczą, wyciągnąć adres nadawcy najnowszego maila, zapisać go do zmiennej i zbudować adres prowadzący do serwera kontrolowanego przez atakującego. Potem asystent miał wykonać prostą komendę podsumowania tego URL. Efekt: po kliknięciu linku wrażliwe dane mogły wyciec.
Bo mechanizm jest uniwersalny. Jeśli asystent AI przyjmuje polecenia przez URL, deep link albo gotowe pole wejściowe, pojawia się pytanie: czy da się uruchomić akcję bez świadomego potwierdzenia? Ten przypadek dotyczył Copilota, ale lekcja dotyczy całej klasy narzędzi.
Jeśli interesuje Cię, jak firmy testują takie scenariusze kontrolowanego ataku, przeczytaj też jak zrozumieć AI red teaming bez technicznego żargonu. To dobry grunt pod dalsze decyzje bezpieczeństwa.
Tu przechodzimy do części, którą da się wdrożyć od razu. Nie wszystko zrobisz samodzielnie, jeśli pracujesz w dużej organizacji, ale każdy z tych punktów da się przekuć w realne działanie.
Spisz, gdzie w firmie AI ma dostęp do danych.
Otwierasz listę narzędzi i zapisujesz: które asystenci mają dostęp do poczty, kalendarza, dokumentów i plików. Jeśli używacie Microsoft 365 Copilot, zaznacz to jako priorytet. Potem dopisz, czy narzędzie działa w przeglądarce, aplikacji czy przez linki zewnętrzne.
Bez tej listy działasz po omacku. A właśnie integracje z danymi robią największą różnicę między „fajnym chatbotem” a systemem, który może odsłonić coś wrażliwego.
Sprawdź, czy użytkownicy mogą uruchamiać AI przez linki.
Weź kilka typowych scenariuszy: mail, komunikator, dokument, zakładka w przeglądarce. Zobacz, czy kliknięcie linku otwiera asystenta z gotową treścią w polu promptu. Jeśli tak, zapisz ten przypadek i pokaż go osobie z IT lub bezpieczeństwa.
Nie testuj niczego złośliwego. Wystarczy zwykły, neutralny tekst typu „podsumuj ten dokument” albo „otwórz skrzynkę odbiorczą”. Chodzi o wykrycie mechanizmu wstępnego wypełniania, nie o zabawę w red team.
Wprowadź zasadę: link do AI nie może wykonywać akcji sam.
To jedna z tych zasad, które brzmią banalnie, ale ratują skórę. Jeśli narzędzie otwiera prompt z linku, użytkownik ma go zobaczyć, przeczytać i dopiero potem ręcznie zatwierdzić. Każde obejście tej reguły traktuj jak błąd bezpieczeństwa.
W praktyce oznacza to prosty check: klikasz link, patrzysz, czy asystent czeka na Twoje działanie. Jeśli nie czeka - zgłaszasz temat od razu.
Ogranicz zaufanie do promptów z maili i komunikatorów.
Jeśli ktoś wysyła gotowy link do asystenta AI z tekstem „kliknij, to samo się ustawi”, traktuj to jak załącznik od nieznanego nadawcy. Nawet jeśli wiadomość wygląda niewinnie. W tym przypadku właśnie kliknięcie linku było punktem startowym.
Dobry nawyk dla zespołu: nie uruchamiacie promptów z linków od razu. Najpierw patrzycie, dokąd prowadzi adres i czy nie zawiera parametrów dopisujących polecenie. Tak, to mniej wygodne. Tak, dokładnie o to chodzi.
Ustal, jakie dane AI może czytać bez dodatkowej zgody.
Jeśli asystent ma dostęp do skrzynki pocztowej, dokumentów albo plików współdzielonych, zadaj konkretne pytanie: czy każdy prompt może po nie sięgnąć? Jeśli odpowiedź brzmi „tak”, zakres dostępu jest szeroki i trzeba go pilnować jeszcze bardziej.
Ten punkt jest szczególnie ważny dla polskich firm działających pod unijnymi zasadami ochrony danych. Im więcej danych osobowych i firmowych wpuszczasz do jednego asystenta, tym większy ciężar ma kontrola dostępu i audyt działań.
Przeszkol zespół na jednym prostym przykładzie.
Nie rób godzinnego wykładu o architekturze modeli. Pokaż jeden scenariusz: „link może uruchomić prompt”, „prompt może sięgnąć do poczty”, „wynik może trafić dalej”. Tyle. Ludzie zapamiętują ciąg zdarzeń, nie slajdy z definicjami.
Jeśli szkolisz osoby nietechniczne, użyj języka z codziennej pracy. „Klikasz link, otwiera się AI, ono dostaje polecenie bez Twojego potwierdzenia”. To wystarczy, żeby zapaliła się lampka ostrzegawcza.
Regularnie sprawdzaj, czy dostawca zmienił zachowanie narzędzia.
W opisanym przypadku Microsoft najpierw po cichu ograniczył działanie parametru ?q=, a później wdrożył szersze poprawki. To oznacza, że zachowanie narzędzia może się zmieniać bez wielkiego komunikatu na głównej stronie. Raz na jakiś czas zrób szybki przegląd najważniejszych scenariuszy.
Wystarczy krótka lista testów: otwarcie promptu z linku, dostęp do poczty, dostęp do dokumentów, wymaganie ręcznego zatwierdzenia. Taki mini-audyt nie wymaga kodowania, tylko dyscypliny.
Znam to. W wielu firmach temat AI ląduje między marketingiem, operacjami i „kimś od IT”, kto już ma pełne ręce roboty. Dlatego zamiast budować wielki proces, zrób prosty plan na jeden tydzień.
Spisz wszystkie miejsca, gdzie zespół korzysta z AI. Jeśli ktoś używa Copilota do poczty, a ktoś inny do dokumentów, zanotuj to osobno. Nie wrzucaj wszystkiego do jednego worka pod nazwą „AI”.
Sprawdź, czy da się otworzyć asystenta z gotowym promptem w URL. Jeśli tak, czy prompt uruchamia się sam, czy czeka na kliknięcie i wpisanie tekstu. Zanotuj wynik w prostej tabeli.
Ustal, do jakich źródeł danych asystent ma dostęp. Poczta, pliki, kalendarz, dokumenty - każdy z tych obszarów wpisz osobno. To pomaga zobaczyć, czy narzędzie nie ma zbyt szerokich uprawnień jak na realne potrzeby.
Napisz krótką wiadomość na 5-7 zdań. Bez straszenia. Bez technobełkotu. Przykład: „Nie uruchamiamy promptów z linków bez sprawdzenia, dokąd prowadzą. Jeśli AI otwiera gotowe polecenie, czytamy je przed zatwierdzeniem. Jeśli widzisz dziwne zachowanie, zgłoś to.”
Wyznacz jedną osobę, która raz na jakiś czas sprawdzi najważniejsze scenariusze. Nie chodzi o pełny audyt. Chodzi o to, żeby temat nie zniknął po pierwszym entuzjazmie wokół AI (bo wtedy zwykle zaczynają się kłopoty).
Jeśli pracujesz z narzędziami AI szerzej niż tylko w poczcie, przyda Ci się też uporządkowanie wyboru samych modeli i zastosowań. Pomaga w tym przewodnik po wyborze odpowiedniego modelu językowego oraz tekst jak używać ChatGPT w pracy biurowej. Im bardziej świadomie dobierasz narzędzie, tym mniej niespodzianek po drodze.
Największy mit? Że jeśli narzędzie pochodzi od dużej firmy, to temat bezpieczeństwa można odłożyć. Nie można. Duży dostawca łata błędy, ale to Ty decydujesz, kto klika, co klika i do jakich danych asystent ma dostęp.
Jeśli pracujesz na dokumentach i danych, podobny sposób myślenia przydaje się też w innych zadaniach. Zobacz jak analizować dane z AI bez programowania i jak uruchomić RAG krok po kroku. Oba tematy pokazują, że dostęp do informacji to supermoc - i jednocześnie odpowiedzialność.
Perspektywa na najbliższe miesiące jest dość jasna. Asystenci AI będą coraz mocniej wchodzić w pocztę, dokumenty i codzienną pracę. To wygodne, szybkie i realnie oszczędza czas. Jednocześnie każdy taki krok zwiększa znaczenie prostego pytania: czy użytkownik naprawdę kontroluje, co uruchamia i do czego AI ma dostęp?
Ostatecznie nie wygrywa firma z najdłuższą polityką bezpieczeństwa. Wygrywa ta, która ma kilka sensownych zasad i faktycznie ich pilnuje.
Według opisu Ars Technica badacze doszli do nieudokumentowanego parametru ?autorun=1, który Copilot ujawnił w trakcie rozmowy o swoich zabezpieczeniach. W połączeniu z parametrem ?q= pozwalało to uruchomić prompt automatycznie po kliknięciu linku.
Tak. Microsoft najpierw ograniczył działanie parametru ?q=, tak by nie dało się już wstrzykiwać tekstu do pola czatu w dawny sposób, a później wdrożył bardziej kompleksowe poprawki. To nie znaczy, że temat można zamknąć na zawsze - raczej że trzeba regularnie sprawdzać zachowanie narzędzia.
Tak, w dużej mierze przez nawyki. Najprostsza obrona to ostrożność wobec linków otwierających asystenta AI, czytanie gotowych promptów przed zatwierdzeniem i zgłaszanie sytuacji, w których narzędzie działa bez wyraźnej zgody użytkownika.
Bo taki link może nie tylko otworzyć stronę, ale też przekazać gotowe polecenie do asystenta. Jeśli asystent ma dostęp do poczty lub dokumentów, skutki mogą wyjść poza samo przeglądanie treści i dotknąć danych firmowych.
Opisany incydent dotyczy właśnie tego narzędzia. Lekcja jest jednak szersza: każdy asystent AI, który przyjmuje polecenia przez URL albo integruje się z danymi użytkownika, wymaga sprawdzenia, czy nie da się uruchomić akcji bez świadomego potwierdzenia.
Temat Copilota pokazuje, że samo używanie AI to za mało - trzeba jeszcze wiedzieć, gdzie kończy się wygoda, a zaczyna ryzyko. Na darmowym webinarze na żywo pokazuję krok po kroku, jak oszczędzać 10 godzin tygodniowo dzięki AI - bez wiedzy technicznej.
Zapisz się na darmowy webinar →Wolisz uczyć się we własnym tempie? Sprawdź kurs AI Evolution
Cała historia z Copilotem nie mówi, że AI jest „złe”. Mówi coś prostszego: AI też trzeba konfigurować i kontrolować jak każde inne narzędzie z dostępem do danych. Im szybciej firmy to przyjmą, tym mniej będzie niemiłych niespodzianek.
Jeden krok na start: otwórz dziś listę narzędzi AI używanych w Twojej pracy i zaznacz te, które mają dostęp do poczty albo dokumentów. To najkrótsza droga, żeby zobaczyć, gdzie naprawdę jest ryzyko.
Na podstawie: Ars Technica AI
Rosyjski haker przekonał Gemini do zarządzania botnetem. Wystarczyło kilka prostych sztuczek manipulacyjnych. Sprawdź, jak działają jailbreaki i jak się przed nimi bronić.
Transformery to fundament GPT-5, Claude i Gemini. Dowiedz się, jak działają mechanizmy atencji, kodowanie pozycji i optymalizacje wydajności - bez matematyki, z konkretnymi przykładami.
Function calling porządkuje odpowiedzi modeli AI i pozwala im sięgać po dane spoza treningu. Zobacz, jak działa integrating with function calling na prostych przykładach.
AI może pomagać uczniom, studentom i nauczycielom w nauce, tworzeniu materiałów i sprawdzaniu prac. Ten poradnik pokazuje konkretne zastosowania krok po kroku.
Claude Pro za 20$, Max za 100-200$ czy API per token? Porównanie kosztów konkretnych zadań kodowania i kalkulatory użycia dla programistów.
Szczegółowy przewodnik po Claude Pro: ile kosztuje w PLN, jakie limity wiadomości, co zyskujesz względem wersji darmowej i dla kogo się opłaca w 2026 roku.
