Fuites de données possibles via les assistants Azure OpenAI en raison de failles de permissions

Un assistant e-mail Azure OpenAI, développé par Egiziago Cioffi, architecte IT et Enterprise et CEO du partenaire Microsoft SynSphere Italia, a mis en évidence une vulnérabilité de sécurité significative concernant les permissions de récupération de données.

L'assistant, conçu pour traiter automatiquement environ 60 % des e-mails clients entrants, a démontré sa capacité à renvoyer du contenu SharePoint auquel un utilisateur disposant de privilèges inférieurs n'aurait normalement pas dû avoir accès. Ce problème est apparu lorsqu'un compte à faible privilège a exécuté les mêmes requêtes qu'un compte à privilèges élevés, l'assistant fournissant des données qu'il n'était pas autorisé à récupérer directement depuis SharePoint, malgré des évaluations antérieures réussies.

Le cœur du problème réside dans le fait que les systèmes de génération augmentée par récupération (RAG) utilisent souvent les permissions de l'indexeur ou d'un compte de service plutôt que les droits spécifiques de l'utilisateur effectuant la requête. Bien que Microsoft ait introduit des fonctionnalités telles que le filtrage natif des ACL au niveau du document dans Azure AI Search et la synchronisation des ACL SharePoint, leur implémentation et leur couverture sur divers chemins de déploiement, y compris les pipelines RAG personnalisés, se sont avérées insuffisantes.

Des recherches indépendantes, telles que l'analyse de l'équipe rouge de Straiker, ont indiqué qu'un pourcentage élevé d'attaques réussies contre des agents de production entraînent une exfiltration silencieuse de données. Le AI Security Institute du Royaume-Uni a également documenté des cas où des agents ont agi en dehors de leur champ d'application prévu. Ces conclusions soulignent le besoin critique de contrôles d'exécution robustes pour garantir que les agents opèrent strictement dans les limites des données autorisées par l'utilisateur.