Microsoft ha annunciato modifiche significative alla funzione AI “Recall” dopo critiche severe da parte di esperti di sicurezza informatica.
Recentemente, Microsoft ha annunciato importanti cambiamenti a una nuova funzione AI chiamata “Recall”, che aveva suscitato forti critiche da parte degli esperti di sicurezza informatica. La funzione, presentata come una sorta di “memoria fotografica” in grado di ricreare momenti passati attraverso screenshot delle attività degli utenti, è stata definita da alcuni come “la mossa di cybersecurity più stupida del decennio”.
Quando Microsoft ha introdotto Recall, il CEO Satya Nadella l’ha descritta come una funzione rivoluzionaria, capace di utilizzare modelli di intelligenza artificiale proprietari per creare un registro ricercabile delle attività passate degli utenti. Tuttavia, gli esperti di sicurezza hanno rapidamente evidenziato che tali screenshot avrebbero potuto includere informazioni sensibili come nomi utente e password. Nonostante Microsoft avesse assicurato che i dati fossero sicuri, è emerso che questi venivano memorizzati in testo semplice, rendendoli facilmente accessibili.
La vulnerabilità della funzione è stata dimostrata da Alex Hagenah, un ricercatore di SIX Group AG, che ha creato uno strumento chiamato “TotalRecall” in grado di copiare il database e analizzarlo per estrarre dettagli interessanti. Questo ha evidenziato quanto fosse semplice sfruttare la funzione per accedere a informazioni sensibili.
In risposta alle critiche, Microsoft ha annunciato una serie di modifiche a Recall. La funzione sarà ora opzionale e disattivata per impostazione predefinita. Inoltre, per attivarla sarà necessario un riconoscimento biometrico tramite il prodotto Windows Hello e una prova di presenza per visualizzare la timeline degli screenshot e cercare in Recall. La società ha anche promesso di migliorare la crittografia del database di Recall.
Pavan Davuluri, vicepresidente corporate di Windows e dispositivi di Microsoft, ha dichiarato che l’azienda ha recepito chiaramente il segnale di migliorare le opzioni di attivazione di Recall e di rafforzare le misure di sicurezza e privacy. Questi cambiamenti arrivano dopo una serie di violazioni di sicurezza di alto profilo attribuite a hacker allineati con gli stati russo e cinese, che hanno portato Microsoft a promettere di dare priorità alla sicurezza nello sviluppo dei suoi prodotti.
Un rapporto del U.S. Cyber Safety Review Board ha concluso che Microsoft aveva creato una cultura aziendale che svalutava la sicurezza. Questo ha spinto Nadella a ordinare ai dipendenti di dare priorità alla sicurezza dei prodotti, affermando che, in caso di conflitto tra sicurezza e altre priorità, la sicurezza deve prevalere.
Nonostante le promesse, gli esperti di sicurezza hanno sottolineato che i problemi di sicurezza con Recall dimostrano che Microsoft non ha ancora pienamente rispettato il suo impegno. Kevin Beaumont ha suggerito che i ricercatori di sicurezza dovrebbero esaminare a fondo le nuove misure di sicurezza implementate da Microsoft nelle prossime settimane.