Windows 10 et 11 : cette faille de l’IA Copilot montre vos mots de passe à tout le monde

Windows est touché par une faille préoccupante et le responsable n’est autre que Copilot, l’IA de Microsoft. Les chercheurs en cybersécurité ont découvert cette vulnérabilité en analysant l’ajout du chabot dans Sharepoint, plateforme collaborative utilisée en environnement professionnel.

Dans Sharepoint, Copilot se présente comme un agent conversationnel permettant de formuler des requêtes. Les experts de Pen Test Partners soulignent que la faille touche la gestion des droits d’accès aux documents protégés. Lors de leurs tests, les spécialistes ont trouvé un fichier appelé “Passwords.txt” sur un Sharepoint d’entreprise. Et une énorme vulnérabilité de l’assistant IA de Windows, qui est régulièrement touché par des bugs, permet de le lire.

À lire : Windows 11 : ce qu’il faut savoir sur le système d’exploitation de Microsoft

Cette faille de Windows permet d’afficher tous vos mots de passe avec Copilot

Malgré les restrictions imposées par Sharepoint pour empêcher la lecture de ce document, les experts de Pen Test Partners n’ont eu qu’à demander à Copilot de contourner la barrière de sécurité en lui demandant de partager le contenu du fichier.

Copilot, qui avait été supprimé de Windows 11 suite à une mise à jour, dévoile alors l’intégralité des mots de passe. L’IA interprète mal les permissions d’accès : si l’infrastructure Windows les respecte scrupuleusement, le chatbot les ignore totalement. En attendant un correctif par Microsoft, comme pour d’autres failles, deux solutions s’offrent aux utilisateurs : 

• Modifier les paramètres de confidentialité des fichiers sensibles pour en restreindre l’accès au seul propriétaire.
• Désinstaller totalement Copilot de Windows mais attention, il faut effectuer des manipulations techniques et l’utilisateur se retrouve privé des fonctionnalités de l’IA.

Il ne s’agit pas du premier scandale de sécurité pour Copilot. Précédemment, l’IA permettait d’installer Windows 11 sans licence avant que Microsoft n’applique un correctif. Bien évidemment, l’IA reste utile et a de solides arguments comme la possibilité de rapidement retrouver des fichiers.

Toutefois, cette faille reste préoccupante puisqu’elle permet à n’importe qui d’accéder à des mots de passe sans protection, et donc de se connecter sur des comptes sensibles. Autant dire que le déploiement de Copilot ne se fait pas sans problème alors que Microsoft force quelque peu pour imposer l’IA au centre de l’expérience de Windows.