This post is also available in:
English (אנגלית)
עוזרי בינה מלאכותית ארגוניים מחוברים יותר ויותר לדואר אלקטרוני, למסמכים, לכלי חיפוש ולזיכרון מתמשך, ולכן יש להם גישה למידע רגיש בהרבה מזה שנמצא בשיחה רגילה עם צ'אטבוט. מצב זה הופך מתקפות הזרקת הנחיות (Prompt Injection) למדאיגות במיוחד: אם הבינה המלאכותית מתקשה להבחין בין מידע זדוני לבין הוראות לגיטימיות, תוקף עשוי להשפיע על האופן שבו העוזר משתמש במידע שאליו יש לו גישה.
חוקרים ב־Varonis Threat Labs גילו חולשה יוצאת דופן ב־Microsoft Copilot, שהפכה את ההסברים של הבינה המלאכותית עצמה למעין מפת דרכים לתקיפתה. השיטה, שקיבלה את השם CoSnitch, התבססה על שאלות חוזרות לצ'אט מדוע מתקפה מסוימת לא תעבוד, ולאחר מכן שימוש בכל תשובה כדי לשפר את ניסיון התקיפה הבא.
בתחילת המחקר בדקו החוקרים אם ניתן לגרום להנחיה לפעול באופן אוטומטי ללא צורך בפעולה מפורשת מצד המשתמש. הצ'אט הסביר כראוי שהתנהגות כזו מוגבלת ושנדרשת כוונה ברורה מצד המשתמש כדי להפעיל אותה.
אלא שהחוקרים לא עצרו שם. הם החלו לשאול שאלות המשך ממוקדות יותר ויותר על הסיבות למגבלות הללו. שאלות על מבני כתובות אינטרנט, קישורים עמוקים וקלט שנטען מראש גרמו בהדרגה למערכת לחשוף מידע נוסף על האופן שבו פועלים מנגנוני ההגנה שלה.
כל תשובה צמצמה למעשה את מרחב החיפוש. במקום לבצע הנדסה לאחור של היישום מבחוץ, החוקרים ניצלו את יכולתה של הבינה המלאכותית להסביר מושגים טכניים כדי לאסוף מידע על משטח התקיפה של המערכת עצמה.
על פי דיווח של Cyber News, בסופו של דבר אפשרה השיטה לחוקרים לתמרן את המערכת כך שתשלח מידע רגיש לשירות חיצוני ואף תשבש את הזיכרון המתמשך שלה באמצעות הזנת מידע זדוני. בבסיס החולשה עמדה אחת הבעיות המוכרות בעולם הבינה המלאכותית: הקושי להבחין באופן אמין בין נתונים שהמערכת אמורה לנתח לבין הוראות שאותן היא אמורה לבצע.
החברה תיקנה מאז את החולשה, המתועדת תחת המזהה CVE-2026-24301. הפרצה התגלתה לראשונה בדצמבר 2025, ואין ראיות לכך שהשיטה נוצלה במסגרת מתקפות אמיתיות.
למחקר יש השלכות רחבות יותר עבור ארגוני ממשל, ביטחון ותשתיות קריטיות המאמצים עוזרי בינה מלאכותית. מערכות ארגוניות מסוג זה עשויות לפעול מול מאגרים גדולים של מסמכים פנימיים ותקשורת ארגונית. אם תוקפים יכולים להשפיע עליהן באמצעות תוכן זדוני המוסתר במסמכים, בקישורים או בקלטים אחרים, הגישה לעוזר הבינה המלאכותית עלולה להפוך לנתיב נוסף לחשיפת מידע ארגוני רגיש.
השיטה מדגישה גם אתגר יוצא דופן באבטחת בינה מלאכותית גנרטיבית: עצם הניסיון של המודל להיות מועיל יכול להפוך לחלק ממשטח התקיפה. הסברים מפורטים מדי על הסיבה לכך שפעולה מסוימת נחסמה עלולים לספק לתוקף מספיק מידע כדי לחפש באופן שיטתי דרך לעקוף את המגבלה.
החולשה הספציפית כבר תוקנה, אך הלקח רחב הרבה יותר ממוצר אחד. ככל שעוזרי בינה מלאכותית מקבלים גישה ליותר כלים, לזיכרון מתמשך ולמידע ארגוני, היכולת שלהם להבחין בין הוראות מהימנות לבין תוכן שעלול להיות עוין תהפוך לחלק מרכזי יותר ויותר מאבטחת הסייבר.
