Попередження від Microsoft про те, що експериментальний агент штучного інтелекту Copilot, інтегрований у Windows, може заражати пристрої та викрадати чутливі дані. Лунає знайоме запитання: чому великі технологічні компанії так наполегливо впроваджують нові функції до того, як їх небезпечну поведінку буде повністю вивчено та ізольовано?

Нещодавно було представлено Copilot Actions, набір нових експериментальних агентних функцій, які після увімкнення виконують повсякденні завдання, зокрема організацію файлів, планування зустрічей або надсилання електронних листів. За описом Microsoft, ці можливості забезпечують активного цифрового помічника, здатного виконувати складні дії для підвищення ефективності та продуктивності.

Втім, презентація супроводжувалася суттєвим застереженням. Користувачам рекомендується вмикати Copilot Actions лише за умови повного розуміння пов’язаних ризиків.

Таке попередження ґрунтується на відомих недоліках великих мовних моделей, включно зі Copilot, які дослідники демонстрували неодноразово.

Одним із найпоширеніших дефектів є намагання моделей генерувати фактично помилкові та нелогічні відповіді, інколи навіть на абсолютно прості запитання. Ця схильність до вигадування, відома як галюцинації, означає, що користувачі не можуть покладатися на вихідні дані Copilot, Gemini, Claude або будь-якого іншого асистента і мають перевіряти результати самостійно.

Інша серйозна проблема – вразливість до інʼєкцій у підказки. Це клас вад, за яких зловмисники можуть впроваджувати шкідливі інструкції у вебсторінки, резюме або електронні листи. Мовні моделі настільки охоче виконують інструкції, що не здатні відрізнити текст від надійного користувача від інструкцій, прихованих в недовіреному контенті зловмисника. У результаті модель надає однаковий рівень довіри і користувачеві, і атакуючому.

Обидві вади можуть бути використані для атак, що дають можливість викрадати дані, виконувати шкідливий код або красти криптовалюту. Поки що розробники не змогли знайти спосіб повністю запобігти таким вразливостям. У багатьох випадках проблему можна усунути лише за допомогою окремих латок, створених постфактум, коли конкретний недолік уже виявлено.

Це й стало підставою для такого прямого зізнання в публікації Microsoft:

«Оскільки ці можливості впроваджуються, моделі ШІ все ще мають функціональні обмеження щодо того, як вони поводяться, і часом можуть галюцинувати та створювати непередбачувані результати. Крім того, агентні застосунки на основі ШІ вводять нові ризики, такі як міжпідказкова інʼєкція (XPIA), де шкідливий контент, вбудований у елементи інтерфейсу або документи, може замінити інструкції агента, що призведе до неконтрольованих дій, як-от викрадення даних або встановлення зловмисного ПЗ».

Microsoft заявила, що увімкнення Copilot Actions рекомендоване лише досвідченим користувачам, і наразі функція доступна лише у бета-версіях Windows. Водночас компанія не уточнила, які саме навички мають бути у таких користувачів або які саме дії вони мають виконувати для запобігання компрометації пристроїв. Запит щодо цих деталей Microsoft залишила без конкретних відповідей.

Чимало експертів поставили під сумнів практичність подібних попереджень, порівнюючи їх з багаторічними застереженнями Microsoft щодо небезпеки макросів в Office. Попри те, що небезпека була загальновідомою, макроси залишалися одним із найпростіших шляхів для поширення зловмисних програм на Windows. Головною причиною було те, що макроси стали настільки невіддільними від повсякденної роботи, що багато хто просто не може відмовитися від них.

На тлі цього пролунала думка, що нові агентні функції нагадують традиційні макроси, але в набагато потужнішому, автоматизованому виконанні.

Фахівці також висловили сумнів, чи забезпечить Microsoft належний контроль для адміністраторів корпоративних мереж, які мають визначати, на яких пристроях функція увімкнена, а на яких ні. За словами представника Microsoft, ІТ-адміністратори зможуть увімкнути або вимкнути робочий простір агентів на рівні облікових записів і пристроїв, використовуючи Intune або інші системи мобільного керування пристроями.

Експерти в галузі безпеки наголошують, що виявити експлуатацію агентних функцій навіть для досвідченого користувача буде вкрай важко. За їхніми словами, поза повним утриманням від перегляду вебу навряд чи існує реальний надійний спосіб запобігти атакам такого типу.

Microsoft підкреслює, що Copilot Actions є експериментальною функцією, яка за замовчуванням вимкнена. Ймовірно, це зроблено саме для того, щоб доступ отримували лише користувачі, здатні усвідомити ризики. Та критики зауважують, що попередні експериментальні функції, на кшталт самого Copilot, з часом ставали активними за замовчуванням для всіх. Коли це трапляється, користувачі, які не довіряють таким можливостям, змушені витрачати час на розробку неофіційних способів їх вимкнення.

Більша частина повідомлення Microsoft була присвячена загальній стратегії забезпечення безпеки агентних функцій у Windows. Серед заявлених цілей:

• дії агентів мають бути повністю відокремлюваними від дій користувача;

• агенти мають забезпечувати конфіденційність при зборі, агрегації чи використанні даних користувача;

• агенти мають отримувати підтвердження користувача для доступу до даних або виконання дій.

Цілі є коректними, проте їх реалізація значною мірою залежить від того, чи будуть користувачі читати діалогові вікна з попередженнями та уважно надавати дозволи. Це знижує реальну ефективність захисту для значної частини користувачів.

Фахівці наголошують, що багато користувачів легко піддаються маніпуляціям, зокрема через втому, стрес або недостатню технічну обізнаність. І хоча деякі коментатори схильні звинувачувати жертв, подібні інциденти практично неминучі через людський фактор.

Критики вказують, що нинішній підхід Microsoft виглядає більше як формальне юридичне самозахистне застереження. Водночас підкреслюється, що компанія, як і інші гравці ринку, поки що не має повного розуміння, як повністю розвʼязати проблему галюцинацій або інʼєкцій у підказки. Відтак відповідальність непомітно перекладається на користувача, попри те, що сенс подібних інструментів має полягати у зменшенні ризиків, а не їх посиленні.

Критику отримують не лише продукти Microsoft. Аналогічні питання постають і щодо функцій штучного інтелекту, інтегрованих іншими компаніями у свої пристрої та сервіси. Часто такі функції починають як опціональні, але з часом стають активними обходячи бажання користувачів.

Сучасні технології ще надзвичайно далекі до створення інтелектуальних машин. Сучасний штучний інтелект не має інтелекту, а лише обирає статистично найпопулярніший токен. Однак у Китаї заявили про створення суперкомп’ютера, що відтворює мозок мавпи. Дослідники повідомили, що розробили машину, змодельовану за зразком мозку макаки. Це може дозволити створити дійсно штучний інтелект.

Суперкомп’ютер отримав назву Darwin Monkey, або Wukong, на честь міфологічного персонажа, який частково надихнув творців персонажа Гоку з Dragon Ball Z. Проєкт розроблено у Національній ключовій лабораторії мозково-комп’ютерного інтелекту Чжецзянського університету.

Макаку обрано як модель через її високий рівень когнітивних здібностей та інтелекту, близьких до людських. У пресрелізі університету зазначено, що проєкт є кроком до створення більш розвиненого мозкоподібного інтелекту.

Архітектура Wukong включає більш ніж два мільярди спайкових нейронів, що імітують роботу біологічних нейронів шляхом передавання електричних імпульсів, та 100 мільярдів синапсів, через які проходять сигнали. За твердженням авторів, це може робити Wukong найбільшим нейроморфним суперкомп’ютером у світі. Нейроморфні системи відрізняються надвисокою енергоефективністю: тоді як традиційні суперкомп’ютери споживають мегавати, Wukong працює приблизно на 2000 ватів.

Футуристи припускають, що такі системи можуть у майбутньому наблизити появу сингулярності – гіпотетичного моменту, коли штучні інтелекти перевищать людські. Проте практична користь полягає у глибшому розумінні мозкових процесів, що може бути важливим для дослідження хвороб, зокрема Альцгеймера, а також для створення нових ліків.

На думку Корі Міллера, доктора філософії та доцента кафедри психології Каліфорнійського університету в Сан-Дієго, якщо Wukong дійсно існує, це було б значним кроком у розумінні роботи мозку. Він зазначає, що загальні принципи взаємодії систем у мозку вже певною мірою зрозумілі, але справжні труднощі починаються на рівні нейронних схем і клітинних обчислень. Це є актуальною межею наукових досліджень.

Створення штучної моделі мозку людини або людино-подібної тварини може надати значні переваги в науці і навіть у соціально-економічному вимірі. Макаки є перспективною моделлю через тривалість життя та повільні темпи розмноження, подібні до людських. Це дозволяє отримувати дані, важливі для фундаментальних досліджень.

Перенесення мозку в суперкомп’ютерну модель могло б забезпечити можливість багаторазового і швидкого повторення експериментів, уникаючи багаторічних циклів переходу від тварин до людей. Це потенційно дозволило б швидше виявляти походження хвороб та створювати ефективніші методи лікування.

Водночас Міллер не вважає, що штучний інтелект здатен замінити роботу реальних дослідників. На його думку, інтерпретація даних та розуміння механізмів біологічних систем потребують людського аналітичного мислення. Він підкреслює, що неможливо виправити те, чого не розумієш.

Попри потенційну наукову значущість Wukong, Міллер висловлює скепсис щодо фактичного існування цього прориву. Він зазначає, що отримання достовірних даних про подібні проєкти з Китаю є складним. За його словами, раніше вже траплялися подібні інформаційні заяви, і до них слід ставитися обережно. Чжецзянський університет не надав коментарів.

У своїй статті у Wall Street Journal Міллер наголошує на важливості досліджень на приматах для розуміння роботи мозку, особливо з огляду на критику таких досліджень з боку нинішньої адміністрації США. Це, на його думку, збільшує цінність створення штучної моделі мозку.

Він також сумнівається, що подібний суперкомп’ютер здатен відтворити інформацію, потрібну для повного розуміння мозку макаки. Частково через недостатній рівень апаратного забезпечення, частково через те, що дані від суперкомп’ютерів не завжди точно передають складні принципи роботи мозку. За його словами, суперкомп’ютери часто побудовані на повторюваних структурах, тоді як у мозку існує значна спеціалізація, яка ще недостатньо вивчена.

Міллер підсумовує, що мозок не є одноманітним набором синапсів, а складною системою зі спеціалізованими зонами, принципи роботи яких наука досі лише починає розкривати.

Підставивши десятки мільярдів номерів телефону у функцію виявлення контактів WhatsApp, дослідники отримали доступ до “наймасштабнішого витоку номерів телефонів” в історії, разом із фотографіями профілів та іншою інформацією.

Масове поширення WhatsApp частково пояснюється простотою пошуку нового контакту у застосунку: достатньо додати номер телефону, і WhatsApp миттєво показує, чи зареєстрований він у сервісі, а часто також відображає фотографію профілю та ім’я.

Як виявилося, якщо повторити цей самий трюк кілька мільярдів разів для всіх можливих номерів телефонів, ця сама функція може слугувати зручним способом отримати номер майже кожного користувача WhatsApp у світі, а також, у багатьох випадках, їхні фотографії профілю та текст, що ідентифікує користувача. Результатом є масштабне розкриття персональної інформації значної частини населення планети.

Група австрійських дослідників продемонструвала, що змогла скористатися цим простим методом перевірки кожного можливого номера у функції виявлення контактів WhatsApp, щоб зібрати номери телефонів 3,5 мільярда користувачів сервісу. Для приблизно 57 відсотків цих користувачів вони також отримали доступ до фотографій профілів, а ще для 29 відсотків – до тексту профілів. Попри попередження про цю вразливість, озвучене іншим дослідником у 2017 році, материнська компанія сервісу, Meta, як стверджують дослідники, не обмежила швидкість або кількість запитів функції виявлення контактів, які можна було виконувати через вебверсію WhatsApp. Це дозволило перевіряти приблизно сто мільйонів номерів на годину.

Результат, як зазначено у статті дослідників, став би “найбільшим витоком даних в історії, якби не був зібраний в межах відповідально проведеного дослідження”.

“Наскільки нам відомо, це є наймасштабнішим задокументованим розкриттям номерів телефонів та пов’язаних даних користувачів”, говорить Альйоша Юдмайєр, один із дослідників Віденського університету, що працював над цим проєктом.

Дослідники стверджують, що повідомили Meta про результати у квітні та видалили свою копію 3,5 мільярда номерів телефону. До жовтня компанія виправила проблему перебирання номерів, запровадивши суворіше обмеження швидкості, яке унеможливило масовий збір даних тим способом, який використали дослідники. Але до цього моменту, як зазначає Макс Гюнтер, ще один дослідник Віденського університету, дані могли бути використані будь-ким, хто застосовував таку ж техніку. “Якщо ми могли отримати це настільки легко, інші теж могли зробити те саме”, говорить він.

У заяві для WIRED Meta подякувала дослідникам, які повідомили про проблему через систему винагороди за знайдені вразливості, та охарактеризувала оприлюднені дані як “базову загальнодоступну інформацію”, адже фотографії профілів та текст були недоступні для тих користувачів, які встановили приватні налаштування. “Ми вже працювали над провідними в індустрії системами протидії збиранню даних, і це дослідження допомогло перевірити та підтвердити ефективність цих нових засобів захисту”, пише Нітін Гупта, віцепрезидент з інженерії WhatsApp. Гупта додає: “Ми не виявили доказів, що зловмисники використовували цей вектор атаки. Повідомлення користувачів залишалися приватними та захищеними завдяки наскрізному шифруванню за замовчуванням, і жодні непублічні дані не були доступні для дослідників”.

Попри опис Meta, дослідники стверджують, що вони не обходили і навіть не стикалися з будь-якими “засобами захисту” під час збору номерів телефонів. І це не перший випадок, коли WhatsApp попереджали про витік номерів телефонів та пов’язаної з ними інформації. Ще в 2017 році нідерландський дослідник Лоран Кльоезе написав блог, у якому описав можливість перебирання номерів телефону і те, що це дозволяє отримати номери, фотографії профілів та навіть час, коли користувач перебуває онлайн.

Кльоезе описав сценарій, у якому розкриття таких даних могло би бути поєднане з розпізнаванням облич, створивши величезну базу персональних ідентифікаторів. “Це доволі лякає, чи не так?” написав він. Meta, яка на той момент ще носила назву Facebook, відповіла на його висновки, заявивши, що налаштування приватності WhatsApp працюють так, як було задумано – користувачі можуть обирати, хто бачить їхню інформацію профілю, – і навіть повідомила, що він не має права на винагороду за знайдену вразливість.

Коли WIRED попросив Meta пояснити, які обмеження швидкості компанія ввела за останні вісім років для запобігання техніці, описаній Кльоезе, компанія відповіла, що дійсно впровадила різні засоби боротьби зі збиранням даних, включно з обмеженнями швидкості та алгоритмами машинного навчання для блокування скреперів. Однак дослідники Віденського університету змогли не лише відтворити висновки Кльоезе, а й значно розширити їх, фактично перебравши всі 3,5 мільярда зареєстрованих номерів телефонів WhatsApp – набагато більше, ніж був розмір сервісу у 2017 році. Вони також відповіли на аргумент WhatsApp про налаштування конфіденційності, вимірявши, скільки користувачів відкрито публікують особисту інформацію в профілі, та зробивши розподіл за країнами. Виявилося, що 44 відсотки з 137 мільйонів зібраних американських номерів відображали фотографії, а 33 відсотки мали публічний текст у розділі “про себе”.

У країнах, де WhatsApp ще більш поширений, менша частка користувачів увімкнула суворі налаштування приватності. В Індії, де дослідники виявили майже 750 мільйонів номерів, 62 відсотки акаунтів відкрито демонстрували фотографії профілю. Серед 206 мільйонів бразильських номерів 61 відсоток мав відкриті фотографії профілю.

Дослідники Віденського університету натрапили на проблему перебирання номерів WhatsApp минулого року, коли перевіряли, яку інформацію про користувачів можна отримати, попри наскрізне шифрування повідомлень, наприклад часи, коли користувач підключається через десктопну версію або мобільну. Вони помітили, що застосунок не має очевидних обмежень швидкості, тому спробували просто перебрати всі номери у США. “За півгодини ми отримали приблизно 30 мільйонів номерів у США”, говорить Габріель Гегенхубер, один із дослідників. “Ми були здивовані. І продовжили”.

Однією з груп, які могли б зацікавитися зібраними номерами телефонів, на думку дослідників, є шахраї та спамери, яким потрібні великі бази потенційних жертв. Але вони також виявили мільйони номерів, зареєстрованих у WhatsApp у країнах, де сервіс офіційно заборонений, зокрема 2,3 мільйона у Китаї та 1,6 мільйона у М’янмі. Владі цих країн такий витік міг би дозволити виявляти користувачів забороненого застосунку. За деякими повідомленнями, мусульман у Китаї затримували лише через встановлений WhatsApp.

Дослідники також проаналізували криптографічні ключі для 3,5 мільярда акаунтів, які були знайдені через перебирання номерів. Це довгі рядки символів, які дозволяють отримувати зашифровані повідомлення в системі наскрізного шифрування WhatsApp. Дивовижно, але значна кількість акаунтів використовувала однакові ключі – це є серйозною проблемою безпеки, адже будь-хто, хто має однаковий ключ, може розшифрувати повідомлення, надіслані відповідному користувачу.

Було виявлено випадки, коли ключ повторювався сотні разів, а 20 номерів у США використовували ключ, який складався лише з нулів. Дослідники припускають, що дублювання ключів, імовірно, є результатом роботи неофіційних клієнтів WhatsApp, а не помилкою сервісу. У деяких акаунтів з повторюваними ключами вони помітили ознаки шахрайської активності, що може свідчити, що певні операції зі зловживання WhatsApp використовують клієнти із зламаною криптосистемою.

Окрім відсутності обмежень швидкості, дослідники вказують ще на одну фундаментальну проблему сервісів, подібних до WhatsApp: номери телефонів не мають достатньої випадковості, щоб бути надійним унікальним ідентифікатором для сервісу з мільярдами користувачів. Це залишає обмеження швидкості єдиним доступним механізмом захисту від масового збору даних, і таким, що ніколи не буде повністю надійним, якщо WhatsApp ставитиме пріоритет на зручність пошуку контактів. (WhatsApp справді почав тестувати у бета-версії функцію використання імені користувача, що може покращити ситуацію з конфіденційністю.)

“Номери телефонів не були створені для використання як секретні ідентифікатори акаунтів, але саме так вони використовуються на практиці”, говорить Юдмайєр. “Якщо послугою користується понад третина населення планети, і саме такий механізм виявлення контактів застосовується, це є проблемою.”

Після масштабного збою, що стався влітку 2024 року, у Windows були впроваджені додаткові засоби відновлення для того, щоб комп’ютери, уражені шкідливим програмним забезпеченням, помилковими оновленнями або іншими проблемами, які заважають операційній системі запускатися, могли відновитися якомога швидше. На Ignite 2025 компанія представила ще більше можливостей для мінімізації простою.

На додачу до Quick Machine Recovery, відносно нової системи, яка може встановлювати необхідні виправлення і патчі через WinRE, Microsoft запроваджує нові можливості, зокрема Point-in-time restore та Cloud rebuild.

Point-in-time restore (PITR) створено як швидкий і простий спосіб повернути систему до попереднього робочого стану без тривалого пошуку проблем і без потреби в значній технічній підготовці. Microsoft зазначає, що PITR буде корисним як для звичайних користувачів, так і для ІТ-фахівців, які мають відновити один пристрій або велику кількість непрацюючих комп’ютерів. Point-in-time restore має виконувати відкат змін протягом кількох хвилин і повертати працездатність системи, відновлюючи операційну систему, застосунки, налаштування та локальні файли.

Щодо Cloud rebuild, ця можливість надає адміністраторам ІТ змогу виправляти некоректну роботу комп’ютерів шляхом повного перевстановлення системи з усіма необхідними драйверами. Якщо комп’ютер працює неправильно і жодні інші методи не допомагають, Cloud rebuild встановить нову копію Windows 11, а Microsoft Intune, Windows Autopilot, Windows Backup та OneDrive подбають про дані, застосунки, налаштування та інше. Крім того, Microsoft повідомляє, що Intune працюватиме як уніфікована платформа керування для всіх інструментів відновлення на керованих пристроях і підтримуватиме надсилання сценаріїв для відновлення або запуск відповідних дій безпосередньо.

Point-in-time restore та Cloud rebuild стануть доступними у вигляді попереднього перегляду в першій половині 2026 року в рамках ініціативи Windows Resiliency Initiative, спрямованої на запобігання, управління та відновлення після інцидентів і збоїв.