Microsoft cambia la función de IA «Recuperar» para una mayor protección de datos

Microsoft está implementando nuevas medidas de seguridad para abordar las preocupaciones generalizadas sobre su nueva función de inteligencia artificial, Recall. Sin embargo, algunos todavía no están convencidos de que la empresa haya ido lo suficientemente lejos.

Solo han pasado ocho días desde que Microsoft lanzó Recall, un nuevo programa basado en inteligencia artificial (IA) que toma, guarda y analiza regularmente capturas de pantalla de las PC Copilot+ durante el uso diario. Recall está destinado a funcionar como una especie de banco de memoria, lo que permite a los usuarios encontrar y consultar instantáneamente cosas que han visto recientemente: aplicaciones, sitios web, imágenes y documentos.

Desde el principio, Recall fue visto como un potencial Mina de oro para el robo de datos personalesEl ruido se volvió tan fuerte que Microsoft anunció el viernes tres nuevas actualizaciones centradas en la seguridad para eso:

Aunque estos cambios pueden ser un paso en la dirección correcta, los expertos siguen siendo escépticos de que sean suficientes para proteger las contraseñas, fotografías, datos personales e información financiera más confidenciales de los usuarios de los piratas informáticos.

Riesgos de retiro del mercado: un estudio de caso

Muchos expertos en seguridad se avergonzaron ante el anuncio de Recall, pero pocos más que Marc-André Moreau, CTO de Devolutions. Temía que el último juguete de Windows capturara y almacenara inevitablemente contraseñas visibles del software de gestión remota de conexiones de su empresa. Con esas contraseñas en la mano, los piratas informáticos podrían acceder y manipular fácilmente cualquier PC afectada.

«Cuando miré la documentación sobre cómo funciona Recall», recuerda, «literalmente decía que no hace ningún esfuerzo para eliminar información confidencial, credenciales o PII; cualquier cosa de la que desee deshacerse simplemente se almacena en el archivo local». archivos guardados.»

Aparentemente, la lógica de Microsoft era que las capturas de pantalla recuperadas solo se guardarían en la computadora del usuario y, por lo tanto, estarían protegidas del acceso remoto. «Microsoft tiene este nuevo chip que permite el procesamiento local y pensaron que a todos les parecería bien, ya que los datos no se cargan en la nube», explica Moreau. “Pero no instalarías un registrador de teclas en tu computadora sólo porque los archivos están almacenados localmente. El malware puede acceder a los archivos. Entonces, ¿por qué deberías habilitar Recall?”

Para demostrarlo, realizó un sencillo ejercicio de equipo rojo. Dijo: “No tuve que hacer mucho. Simplemente configuré un entorno, utilicé una herramienta que alguien creó en línea para forzar la instalación y luego [Devolutions’] Administrador de escritorio remoto. Hice clic en «Ver contraseña», luego en «Registrar» y luego encontré la base de datos. Lo abrí y pude ver la contraseña extraída junto a la captura de pantalla que contiene la contraseña”.

Otros investigadores también han encontrado formas sencillas Acceda a datos confidenciales en capturas de pantalla de recuperación. Usted ya tiene uno Herramienta de código abierto para acelerar el trabajo.

Para proteger a sus clientes, Moreau buscó una forma de excluir el software de su empresa del Recall de forma predeterminada. No tuvo ninguna posibilidad.

¿Son suficientes las nuevas actualizaciones de Microsoft?

Como Microsoft desactiva la recuperación de forma predeterminada, los usuarios ahora tienen más control sobre la privacidad.

Sin embargo, Moreau se muestra escéptico de que Windows Hello pueda integrarse total y adecuadamente en Recall sin retrasar el lanzamiento de la versión preliminar, que está a solo unos días de distancia. «Trabajo en la industria del software, por lo que las cosas no suceden tan rápido», dice.

Dark Reading se comunicó con Microsoft para comentar sobre cómo planea integrar Windows Hello y Recall a tiempo para el 18 de junio.

En menos de un mes desde que Satya Nadella publicó una carta «La seguridad es la máxima prioridad“Para algunos críticos, Recall recuerda a otros productos de IA que se lanzaron al mercado.

Irónicamente, la IA podría abordar las vulnerabilidades más apremiantes de estos programas. «Podría cargar una captura de pantalla de recuperación en ChatGPT hoy y decirle que identifique los datos que parecen confidenciales, y podrá hacerlo», señala Moreau. “Podrían haber utilizado su chip de IA para resolver este problema. [data leakage] pero ni siquiera lo intentaron. Estaban demasiado ansiosos por cumplir”.