BIOS koodaus

Ei ole vaikeaa tehdä itsekkään.

tarkoitin usb-ohjelmoija flash-klipsillä

Microsoftin 365 Copilotista paljastui kesällä vakava EchoLeak-haavoittuvuus, mutta yhtiö on jo paikannut sen. Kyseessä oli niin sanottu zero-click-tyyppinen hyökkäys, joka mahdollisti yritysten arkaluontoisen tiedon vuotamisen ilman käyttäjän minkäänlaista toimintaa.

Haavoittuvuuden löysi alun perin israelilainen kyberturvayhtiö AIM Security, ja sen laajempia vaikutuksia on sittemmin arvioinut muun muassa tietoturvayhtiö Check Pointin tutkimuslaitos. Haavoittuvuus tunnetaan tunnuksella CVE-2025-32711 ja lempinimellä EchoLeak.

EchoLeak hyödynsi Copilotin tapaa käsitellä sähköposteja, dokumentteja ja kalenterikutsuja. Hyökkääjät saattoivat upottaa näihin piilotettuja komentoja, joita Copilot tulkitsi osana normaalia toimintaa. Näin tekoäly saattoi huomaamatta paljastaa esimerkiksi sähköposteja, projektitietoja tai SharePoint-sisältöjä hyökkääjän hallitsemille palvelimille. Kaikki tämä tapahtui ilman, että käyttäjä edes avasi tiedostoa tai klikkasi linkkiä.

Check Pointin tutkimuslaitoksen mukaan EchoLeak on esimerkki uudenlaisesta uhkatyypistä, jossa tekoälyavustajat voivat tahtomattaan toimia hyökkääjän apureina. Kyse ei siis ole yksittäisestä bugista, vaan ennakkovaroituksesta siitä, millaisia riskejä tekoälyn syvä integrointi työkaluihin voi tuoda tullessaan.

Microsoft kertoo, ettei asiakasorganisaatioita ehtinyt kärsiä vahinkoa ja että haavoittuvuus korjattiin palvelinpuolen päivityksellä kesäkuussa 2025. Tapaus toimii kuitenkin varoituksena kyberturvallisuusjohtajille: zero-click-tyyppiset hyökkäykset ovat vaikeita havaita ja ne voivat levitä nopeasti suurissa organisaatioissa.

Asiantuntijoiden mukaan perinteiset suojausratkaisut eivät riitä tekoälyyn kohdistuvia hyökkäyksiä vastaan. Organisaatioiden olisi syytä panostaa piilokehotteiden tunnistamiseen, tekoälyn käyttöoikeuksien rajaamiseen sekä uudenlaisiin valvontamekanismeihin, jotka estävät tekoälyä paljastamasta tietoa ulkopuolisille. EchoLeakin kaltaiset tapaukset viestivät, että AI-työkalujen suojaaminen on nousemassa yhdeksi tietoturva-alan tärkeimmistä painopisteistä.