The Verge
·
微软利用人工智能修复网络的计划已遭遇尴尬的安全漏洞
内容提要
微软新推出的NLWeb协议存在严重安全漏洞，允许远程用户读取敏感文件。尽管漏洞已修复，但未发布CVE，安全研究人员对此表示担忧，认为传统漏洞可能影响AI系统的安全性，呼吁微软在安全与新功能之间取得平衡。
关键要点
-
微软新推出的NLWeb协议存在严重安全漏洞，允许远程用户读取敏感文件。
-
该漏洞是经典的路径遍历漏洞，容易被利用。
-
微软已修复该漏洞，但未发布CVE，安全研究人员对此表示担忧。
-
研究人员呼吁重新评估经典漏洞对AI系统的影响。
-
研究人员在NLWeb发布后不久报告了该漏洞，微软在几周后发布了修复。
-
微软发言人表示，受影响的代码不在其产品中使用，客户会自动受到保护。
-
研究人员警告，未更新的NLWeb部署仍然容易受到攻击。
-
泄露的.env文件对AI代理来说是灾难性的，可能导致财务损失。
-
微软在Windows中推进对模型上下文协议（MCP）的原生支持，安全研究人员对此表示风险警告。
-
微软需要在推出新AI功能的速度与安全性之间取得平衡。
延伸解读
安全漏洞的影响
微软新推出的NLWeb协议存在的路径遍历漏洞，允许远程用户读取敏感文件，这对使用该协议的企业构成了严重风险。尤其是泄露的.env文件可能导致API密钥被盗，进而影响AI代理的功能和安全性。企业在部署新技术时，需加强安全审查，确保敏感信息不被泄露。
CVE缺失的风险
尽管微软已修复NLWeb的安全漏洞，但未发布CVE（公共漏洞和暴露）信息，这可能导致用户对漏洞的严重性认识不足。CVE的缺失使得安全研究人员和用户难以跟踪和评估风险，企业应关注这一点，确保及时更新和修补系统，以防止潜在攻击。
AI系统的安全性考量
随着AI技术的快速发展，传统的安全漏洞对AI系统的影响不容忽视。研究人员呼吁在开发新功能时，必须重新评估经典漏洞的风险。企业在采用新技术时，需在创新与安全之间找到平衡，避免因安全疏忽导致的重大损失。
延伸问答
NLWeb协议的安全漏洞是什么？
NLWeb协议存在严重的路径遍历漏洞，允许远程用户读取敏感文件。
微软是如何处理NLWeb的安全漏洞的？
微软已于7月1日发布了修复，但未发布CVE。
研究人员对NLWeb漏洞的看法是什么？
研究人员认为经典漏洞可能影响AI系统的安全性，呼吁重新评估其影响。
未更新的NLWeb部署会有什么风险？
未更新的NLWeb部署仍然容易受到攻击，可能导致敏感信息泄露。
泄露的.env文件对AI代理有什么影响？
泄露的.env文件可能导致AI代理的API密钥被盗，造成财务损失。
微软在推出新AI功能时面临什么挑战？
微软需要在推出新AI功能的速度与确保安全性之间取得平衡。
