Jak zabezpieczyć Copilota przed złośliwymi linkami

Mówią, że największym zagrożeniem w AI jest „superinteligencja”. Prawda jest dużo mniej filmowa i dużo bardziej przyziemna: czasem wystarczy zwykły link. Klikasz, a asystent AI dostaje polecenie, którego nie miał wykonać sam z siebie. I właśnie taki przypadek opisano przy Microsoft 365 Copilot.

Historia jest prosta i trochę niewygodna dla całej branży. Badacze z firmy Varonis chcieli znaleźć sposób, by po kliknięciu linku Copilot wykonał ukryty prompt bez dodatkowego potwierdzenia użytkownika. Gdy Copilot odmawiał, jednocześnie zdradzał techniczne wskazówki o swoich zabezpieczeniach. Seria pytań doprowadziła badaczy do nieudokumentowanego parametru ?autorun=1, który w połączeniu z ?q= pozwalał automatycznie uruchomić prompt po wejściu w adres URL.

To ważne Nie chodzi o to, że masz teraz panikować. To ważne dlatego, że ten przypadek pokazuje coś bardzo praktycznego: asystenci AI trzeba traktować jak systemy, które też mają powierzchnię ataku. Jeśli używasz AI w poczcie, dokumentach i pracy biurowej, bezpieczeństwo promptów przestaje być tematem „dla działu IT”. Staje się Twoim codziennym nawykiem.

Jeden link może uruchomić więcej, niż myślisz.

Microsoft po zgłoszeniu problemu najpierw ograniczył działanie parametru ?q=, tak by nie dało się już wstrzykiwać tekstu bezpośrednio do pola czatu. Użytkownik musiał kliknąć i wpisać treść ręcznie. We wtorek firma wdrożyła też bardziej kompleksowe poprawki. Sam fakt, że luka została załatana, nie zamyka tematu. Daje za to dobrą lekcję: jeśli w firmie korzystasz z Copilota albo podobnych narzędzi, potrzebujesz prostych zasad obrony.

OK, rozbijmy to na czynniki pierwsze. Ten poradnik nie jest o hakowaniu. Jest o tym, jak zmniejszyć ryzyko, że asystent AI wykona coś po kliknięciu linku, otworzy dane z poczty albo pomoże w ich wycieku. Bez technicznego żargonu, za to konkretnie.

Zanim zaczniesz

Przygotuj trzy rzeczy:

Dostęp do ustawień firmowych - własnych albo przez osobę z IT, jeśli nie zarządzasz środowiskiem samodzielnie.

Listę miejsc, gdzie używacie AI - Copilot, poczta, dokumenty, przeglądarka, integracje.

30-45 minut na szybki przegląd zasad i ustawień.

Jeśli chcesz lepiej zrozumieć, jak działają takie systemy pod spodem, zajrzyj też do tekstu jak zrozumieć, co potrafią transformery AI. To pomaga oddzielić marketing od realnego działania modelu (i oszczędza sporo frustracji).

Co dokładnie poszło nie tak w Copilocie

Badacze opisani przez Ars Technica nie użyli klasycznego reverse engineeringu. Po prostu zadawali Copilotowi pytania o jego własne zabezpieczenia. Każda odmowa ujawniała kolejny szczegół architektury. W końcu model podał nieudokumentowany parametr ?autorun=1.

W połączeniu z parametrem ?q=, który służył do przekazywania treści promptu w adresie URL, dawało to prosty mechanizm: użytkownik klika link, a prompt uruchamia się automatycznie. Bez dodatkowego naciśnięcia klawisza, bez świadomego zatwierdzenia. To właśnie miało omijać zabezpieczenie wymagające gestu użytkownika.

Ars Technica przytoczyło przykład promptu, który kazał Copilotowi przeszukać skrzynkę odbiorczą, wyciągnąć adres nadawcy najnowszego maila, zapisać go do zmiennej i zbudować adres prowadzący do serwera kontrolowanego przez atakującego. Potem asystent miał wykonać prostą komendę podsumowania tego URL. Efekt: po kliknięciu linku wrażliwe dane mogły wyciec.

Dlaczego to ma znaczenie także poza Copilotem?

Bo mechanizm jest uniwersalny. Jeśli asystent AI przyjmuje polecenia przez URL, deep link albo gotowe pole wejściowe, pojawia się pytanie: czy da się uruchomić akcję bez świadomego potwierdzenia? Ten przypadek dotyczył Copilota, ale lekcja dotyczy całej klasy narzędzi.

Jeśli interesuje Cię, jak firmy testują takie scenariusze kontrolowanego ataku, przeczytaj też jak zrozumieć AI red teaming bez technicznego żargonu. To dobry grunt pod dalsze decyzje bezpieczeństwa.

Parametry w adresie URL potrafią zmienić zwykły link w polecenie dla asystenta AI.

Jak ograniczyć ryzyko - 7 konkretnych kroków

Tu przechodzimy do części, którą da się wdrożyć od razu. Nie wszystko zrobisz samodzielnie, jeśli pracujesz w dużej organizacji, ale każdy z tych punktów da się przekuć w realne działanie.

Spisz, gdzie w firmie AI ma dostęp do danych.

Otwierasz listę narzędzi i zapisujesz: które asystenci mają dostęp do poczty, kalendarza, dokumentów i plików. Jeśli używacie Microsoft 365 Copilot, zaznacz to jako priorytet. Potem dopisz, czy narzędzie działa w przeglądarce, aplikacji czy przez linki zewnętrzne.

Bez tej listy działasz po omacku. A właśnie integracje z danymi robią największą różnicę między „fajnym chatbotem” a systemem, który może odsłonić coś wrażliwego.

Sprawdź, czy użytkownicy mogą uruchamiać AI przez linki.

Weź kilka typowych scenariuszy: mail, komunikator, dokument, zakładka w przeglądarce. Zobacz, czy kliknięcie linku otwiera asystenta z gotową treścią w polu promptu. Jeśli tak, zapisz ten przypadek i pokaż go osobie z IT lub bezpieczeństwa.

Nie testuj niczego złośliwego. Wystarczy zwykły, neutralny tekst typu „podsumuj ten dokument” albo „otwórz skrzynkę odbiorczą”. Chodzi o wykrycie mechanizmu wstępnego wypełniania, nie o zabawę w red team.

Wprowadź zasadę: link do AI nie może wykonywać akcji sam.

To jedna z tych zasad, które brzmią banalnie, ale ratują skórę. Jeśli narzędzie otwiera prompt z linku, użytkownik ma go zobaczyć, przeczytać i dopiero potem ręcznie zatwierdzić. Każde obejście tej reguły traktuj jak błąd bezpieczeństwa.

W praktyce oznacza to prosty check: klikasz link, patrzysz, czy asystent czeka na Twoje działanie. Jeśli nie czeka - zgłaszasz temat od razu.

Ogranicz zaufanie do promptów z maili i komunikatorów.

Jeśli ktoś wysyła gotowy link do asystenta AI z tekstem „kliknij, to samo się ustawi”, traktuj to jak załącznik od nieznanego nadawcy. Nawet jeśli wiadomość wygląda niewinnie. W tym przypadku właśnie kliknięcie linku było punktem startowym.

Dobry nawyk dla zespołu: nie uruchamiacie promptów z linków od razu. Najpierw patrzycie, dokąd prowadzi adres i czy nie zawiera parametrów dopisujących polecenie. Tak, to mniej wygodne. Tak, dokładnie o to chodzi.

Ustal, jakie dane AI może czytać bez dodatkowej zgody.

Jeśli asystent ma dostęp do skrzynki pocztowej, dokumentów albo plików współdzielonych, zadaj konkretne pytanie: czy każdy prompt może po nie sięgnąć? Jeśli odpowiedź brzmi „tak”, zakres dostępu jest szeroki i trzeba go pilnować jeszcze bardziej.

Ten punkt jest szczególnie ważny dla polskich firm działających pod unijnymi zasadami ochrony danych. Im więcej danych osobowych i firmowych wpuszczasz do jednego asystenta, tym większy ciężar ma kontrola dostępu i audyt działań.

Przeszkol zespół na jednym prostym przykładzie.

Nie rób godzinnego wykładu o architekturze modeli. Pokaż jeden scenariusz: „link może uruchomić prompt”, „prompt może sięgnąć do poczty”, „wynik może trafić dalej”. Tyle. Ludzie zapamiętują ciąg zdarzeń, nie slajdy z definicjami.

Jeśli szkolisz osoby nietechniczne, użyj języka z codziennej pracy. „Klikasz link, otwiera się AI, ono dostaje polecenie bez Twojego potwierdzenia”. To wystarczy, żeby zapaliła się lampka ostrzegawcza.

Regularnie sprawdzaj, czy dostawca zmienił zachowanie narzędzia.

W opisanym przypadku Microsoft najpierw po cichu ograniczył działanie parametru ?q=, a później wdrożył szersze poprawki. To oznacza, że zachowanie narzędzia może się zmieniać bez wielkiego komunikatu na głównej stronie. Raz na jakiś czas zrób szybki przegląd najważniejszych scenariuszy.

Wystarczy krótka lista testów: otwarcie promptu z linku, dostęp do poczty, dostęp do dokumentów, wymaganie ręcznego zatwierdzenia. Taki mini-audyt nie wymaga kodowania, tylko dyscypliny.

Jak to wdrożyć w biurze bez działu bezpieczeństwa na pół etatu

Znam to. W wielu firmach temat AI ląduje między marketingiem, operacjami i „kimś od IT”, kto już ma pełne ręce roboty. Dlatego zamiast budować wielki proces, zrób prosty plan na jeden tydzień.

Dzień 1: mapa użycia

Spisz wszystkie miejsca, gdzie zespół korzysta z AI. Jeśli ktoś używa Copilota do poczty, a ktoś inny do dokumentów, zanotuj to osobno. Nie wrzucaj wszystkiego do jednego worka pod nazwą „AI”.

Dzień 2: test linków

Sprawdź, czy da się otworzyć asystenta z gotowym promptem w URL. Jeśli tak, czy prompt uruchamia się sam, czy czeka na kliknięcie i wpisanie tekstu. Zanotuj wynik w prostej tabeli.

Dzień 3: zakres danych

Ustal, do jakich źródeł danych asystent ma dostęp. Poczta, pliki, kalendarz, dokumenty - każdy z tych obszarów wpisz osobno. To pomaga zobaczyć, czy narzędzie nie ma zbyt szerokich uprawnień jak na realne potrzeby.

Dzień 4: komunikat do zespołu

Napisz krótką wiadomość na 5-7 zdań. Bez straszenia. Bez technobełkotu. Przykład: „Nie uruchamiamy promptów z linków bez sprawdzenia, dokąd prowadzą. Jeśli AI otwiera gotowe polecenie, czytamy je przed zatwierdzeniem. Jeśli widzisz dziwne zachowanie, zgłoś to.”

Dzień 5: jedna osoba odpowiedzialna

Wyznacz jedną osobę, która raz na jakiś czas sprawdzi najważniejsze scenariusze. Nie chodzi o pełny audyt. Chodzi o to, żeby temat nie zniknął po pierwszym entuzjazmie wokół AI (bo wtedy zwykle zaczynają się kłopoty).

Jeśli pracujesz z narzędziami AI szerzej niż tylko w poczcie, przyda Ci się też uporządkowanie wyboru samych modeli i zastosowań. Pomaga w tym przewodnik po wyborze odpowiedniego modelu językowego oraz tekst jak używać ChatGPT w pracy biurowej. Im bardziej świadomie dobierasz narzędzie, tym mniej niespodzianek po drodze.

Nawet mały zespół może ogarnąć podstawy bezpieczeństwa AI bez wielkiego projektu.

Najczęstsze błędy przy korzystaniu z asystentów AI

Największy mit? Że jeśli narzędzie pochodzi od dużej firmy, to temat bezpieczeństwa można odłożyć. Nie można. Duży dostawca łata błędy, ale to Ty decydujesz, kto klika, co klika i do jakich danych asystent ma dostęp.

Błąd 1: traktowanie AI jak zwykłej wyszukiwarki
Wyszukiwarka pokazuje wynik. Asystent AI często działa na danych i aplikacjach. To różnica, która zmienia poziom ryzyka.

Błąd 2: zbyt szerokie uprawnienia
Jeśli asystent widzi wszystko, każdy złośliwy albo źle sformułowany prompt ma większe pole manewru.

Błąd 3: brak prostych zasad dla zespołu
Ludzie nie potrzebują instrukcji na 20 stron. Potrzebują 3-4 jasnych reguł, które da się zapamiętać.

Błąd 4: wiara, że odmowa modelu oznacza pełne bezpieczeństwo
W tym przypadku odmowy same w sobie zdradzały szczegóły techniczne. Czasem system „broniąc się”, mówi za dużo.

Jeśli pracujesz na dokumentach i danych, podobny sposób myślenia przydaje się też w innych zadaniach. Zobacz jak analizować dane z AI bez programowania i jak uruchomić RAG krok po kroku. Oba tematy pokazują, że dostęp do informacji to supermoc - i jednocześnie odpowiedzialność.

Perspektywa na najbliższe miesiące jest dość jasna. Asystenci AI będą coraz mocniej wchodzić w pocztę, dokumenty i codzienną pracę. To wygodne, szybkie i realnie oszczędza czas. Jednocześnie każdy taki krok zwiększa znaczenie prostego pytania: czy użytkownik naprawdę kontroluje, co uruchamia i do czego AI ma dostęp?

Ostatecznie nie wygrywa firma z najdłuższą polityką bezpieczeństwa. Wygrywa ta, która ma kilka sensownych zasad i faktycznie ich pilnuje.

Najczęstsze pytania

Co dokładnie ujawnili badacze w przypadku Copilota?

Według opisu Ars Technica badacze doszli do nieudokumentowanego parametru ?autorun=1, który Copilot ujawnił w trakcie rozmowy o swoich zabezpieczeniach. W połączeniu z parametrem ?q= pozwalało to uruchomić prompt automatycznie po kliknięciu linku.

Czy problem został już naprawiony?

Tak. Microsoft najpierw ograniczył działanie parametru ?q=, tak by nie dało się już wstrzykiwać tekstu do pola czatu w dawny sposób, a później wdrożył bardziej kompleksowe poprawki. To nie znaczy, że temat można zamknąć na zawsze - raczej że trzeba regularnie sprawdzać zachowanie narzędzia.

Czy zwykły użytkownik firmy może się przed tym obronić?

Tak, w dużej mierze przez nawyki. Najprostsza obrona to ostrożność wobec linków otwierających asystenta AI, czytanie gotowych promptów przed zatwierdzeniem i zgłaszanie sytuacji, w których narzędzie działa bez wyraźnej zgody użytkownika.

Dlaczego link do AI może być groźniejszy niż zwykły link?

Bo taki link może nie tylko otworzyć stronę, ale też przekazać gotowe polecenie do asystenta. Jeśli asystent ma dostęp do poczty lub dokumentów, skutki mogą wyjść poza samo przeglądanie treści i dotknąć danych firmowych.

Czy ten przypadek dotyczy tylko Microsoft 365 Copilot?

Opisany incydent dotyczy właśnie tego narzędzia. Lekcja jest jednak szersza: każdy asystent AI, który przyjmuje polecenia przez URL albo integruje się z danymi użytkownika, wymaga sprawdzenia, czy nie da się uruchomić akcji bez świadomego potwierdzenia.

Chcesz ogarnąć bezpieczne używanie AI?

Temat Copilota pokazuje, że samo używanie AI to za mało - trzeba jeszcze wiedzieć, gdzie kończy się wygoda, a zaczyna ryzyko. Na darmowym webinarze na żywo pokazuję krok po kroku, jak oszczędzać 10 godzin tygodniowo dzięki AI - bez wiedzy technicznej.
Zapisz się na darmowy webinar →
Wolisz uczyć się we własnym tempie? Sprawdź kurs AI Evolution

Cała historia z Copilotem nie mówi, że AI jest „złe”. Mówi coś prostszego: AI też trzeba konfigurować i kontrolować jak każde inne narzędzie z dostępem do danych. Im szybciej firmy to przyjmą, tym mniej będzie niemiłych niespodzianek.

Jeden krok na start: otwórz dziś listę narzędzi AI używanych w Twojej pracy i zaznacz te, które mają dostęp do poczty albo dokumentów. To najkrótsza droga, żeby zobaczyć, gdzie naprawdę jest ryzyko.

Na podstawie: Ars Technica AI