- Copilot+ Recall: fitur baru di Microsoft Windows 11 yang terus-menerus menangkap layar PC pengguna dan mengubah semua aktivitas menjadi basis data yang bisa dicari.
- Memungkinkan pengguna mencari kembali dengan mudah semua yang pernah mereka lihat sebelumnya.
- Sebagian besar pengguna bereaksi negatif terhadap fitur ini karena kekhawatiran privasi dan potensi pelanggaran kehidupan pribadi pengguna.
Calon pengguna potensial Copilot+ Recall
- Bagi manajer perusahaan yang kewalahan dengan banyak tugas dan kekurangan waktu, fitur ini bisa berguna karena mereka dapat langsung mencari apa yang mereka kerjakan tentang topik tertentu sebulan lalu
- Namun, itu hanya mencakup bagian yang sangat kecil dari basis pengguna Windows
- Sebagian besar pengguna Windows ingin bermain game, menonton porno, membuat kesalahan, dan menjalani hidup sebagai manusia
- Gagasan bahwa orang lain dapat mengakses perangkat mereka dan melihat ingatan pribadi yang terekam sebagai foto adalah sesuatu yang sangat menakutkan bagi banyak orang pada tingkat yang mendalam
Kesalahan Microsoft
- Atas nama AI, Microsoft sedang melakukan tindakan merusak diri sendiri dengan cara yang benar-benar merugikan pelanggan nyata
- Ini bisa membakar habis seluruh merek Copilot
- Disebutkan bahwa fitur ini pada dasarnya merusak janji keamanan Windows
[ Tanya jawab tentang masalah keamanan Copilot+ Recall ]
T. Bukankah datanya diproses sepenuhnya secara lokal di laptop?
- Benar. Microsoft membuat keputusan cerdas agar kode seperti Azure AI diproses di edge
T. Jadi peretas dan malware tidak bisa mengaksesnya, kan?
T. Tapi datanya terenkripsi, kan?
- Saat Anda login ke PC dan menjalankan perangkat lunak, data itu didekripsi untuk Anda
- Enkripsi saat disimpan hanya membantu jika seseorang mencuri laptop secara fisik
- Hal seperti trojan InfoStealer sudah menjadi masalah besar selama lebih dari 10 tahun, dan sekarang bisa dengan mudah dimodifikasi untuk mendukung Recall
T. Tapi Microsoft bilang hanya pengguna yang bisa mengakses data?
- Itu tidak benar. Dapat ditunjukkan bahwa akun pengguna lain di perangkat yang sama bisa mengakses basis datanya
T. Jadi bagaimana cara kerjanya?
- Screenshot diambil setiap beberapa detik
- Secara otomatis diproses dengan OCR oleh Azure AI lalu dicatat ke basis data SQLite di folder pengguna
- File basis data ini menyimpan catatan semua yang dilihat pengguna di PC dalam teks biasa
T. Seperti apa basis datanya?
- Microsoft mengatakan melalui media bahwa peretas tidak bisa mengekfiltrasi aktivitas Copilot+ Recall dari jarak jauh
- Namun, kenyataannya ini adalah basis data plain text berisi semua yang pernah dilihat di PC. Sangat mudah untuk diotomatisasi dan diekfiltrasi
T. Bagaimana mendapatkan file basis datanya?
- File-file itu ada di folder CoreAIPlatform baru di AppData
T. Tapi itu sangat terenkripsi sehingga tidak ada yang bisa mengaksesnya, kan?!
- Bisa dilihat dalam video dua engineer Microsoft yang mengakses folder basis data Recall dan meretas basis data SQLite
- Bahkan tidak memerlukan hak sistem
T. Tapi pengguna biasa tidak menjalankan sesuatu sebagai administrator!
- Menurut halaman peluncuran Recall di situs Microsoft sendiri, memang begitu
- Faktanya, untuk membaca basis datanya pun tidak perlu menjadi administrator
T. Tapi di video itu muncul prompt UAC, bukankah itu batas keamanan?
- Menurut situs Microsoft sendiri dan MSRC, UAC bukan batas keamanan
T. Jadi di mana keamanan di sini?
- Di dunia nyata, ada celah sebesar pesawat terbang sehingga ini tidak berfungsi dengan semestinya
T. Bukankah hal seperti informasi keuangan otomatis di-screenshot dan di-OCR?
- Tidak
- Menurut dokumentasi, Recall tidak melakukan penyuntingan konten
- Tidak menyembunyikan kata sandi atau nomor rekening bank
- Jika situs terkait tidak mematuhi protokol internet standar (seperti menyamarkan kata sandi dengan
*)
T. Seberapa besar ukuran basis datanya?
- Sangat terkompresi, sekitar 90kb untuk pekerjaan beberapa hari
- Dengan koneksi broadband rata-rata, dokumen dan input tombol selama berbulan-bulan dapat diekfiltrasi dalam hitungan detik
T. Bagaimana kecepatan pencariannya?
- Sangat cepat di dalam perangkat
T. Apakah Anda sudah mencoba mengekfiltrasi basis data Recall Anda?
- Ya. Saya melakukan eksfiltrasi otomatis dan membuat situs web tempat basis data itu bisa diunggah lalu langsung dicari
- Detail teknis sengaja tidak diungkap untuk memberi Microsoft waktu hingga fitur ini dirilis
- Sebenarnya ada banyak hal yang bisa ditunjukkan, dan saya pikir begitu fitur ini dirilis ke publik, lebih banyak komunitas siber akan menganggapnya sangat menarik untuk digunakan, tetapi saya merasa ini benar-benar menyedihkan karena bisa menyebabkan kerugian nyata
T. Jenis data apa saja yang ada di basis data?
- Semua yang dilihat pengguna, diurutkan per aplikasi
- Semua teks yang dilihat pengguna (mode Microsoft Edge InPrivate dikecualikan, tetapi Google Chrome tidak dikecualikan)
- Semua interaksi pengguna seperti meminimalkan jendela
- Ada API aktivitas pengguna, dan aplikasi pihak ketiga bisa melengkapi data serta melihat data yang tersimpan
- Bahkan pihak ketiga menyimpan semua situs web yang dikunjungi
T. Jika email/pesan WhatsApp/Signal/Teams dihapus, apakah juga terhapus dari Recall?
- Tidak, data itu tetap ada di basis data tanpa batas waktu
T. Apakah pesan yang terhapus otomatis di aplikasi pesan akan dihapus dari Recall?
- Tidak, pesan itu bisa diambil oleh Recall dan tetap tersedia
T. Jadi apakah ini memungkinkan kebocoran data situs web dalam skala besar?
- Ya. Ke depan, jika terjadi insiden kebocoran data besar yang jelas memperlihatkan data pelanggan bocor, saya akan menganggap perusahaan yang memproses data itu bertanggung jawab
- Tetapi jika layanan/aplikasi diakses menggunakan perangkat Windows dengan Recall, peretas bisa melihat semuanya dan membuat dump data tanpa sepengetahuan perusahaan yang mengoperasikan layanan itu
- Datanya sudah terstruktur secara konsisten di basis data Recall sehingga mudah digunakan penyerang
- Kita harus bersiap untuk insiden kebocoran raksasa berbasis AI
T. Apakah Microsoft membuat BBC salah paham tentang keamanan Copilot?
T. Apakah Microsoft membuat pelanggan salah paham tentang keamanan Copilot?
- Ya. Misalnya dijelaskan sebagai pengalaman opsional, tetapi secara default aktif dan orang harus memilih untuk menonaktifkannya
- CEO Microsoft menyebut produk ini sebagai "screenshot", tetapi produk itu sendiri hanya menggunakan istilah "snapshot"
- Microsoft harus menjelaskan dengan jelas apa ini agar pelanggan bisa membuat pilihan yang benar-benar berdasarkan informasi
T. Bukankah Recall hanya berlaku untuk satu perangkat keras saja?
- Itu tidak benar. Saat ini ada 10 perangkat Copilot+ yang bisa dipesan dari semua produsen utama
- Situs Microsoft juga mengatakan mereka sedang mengupayakan dukungan chipset AMD dan Intel
- Recall direncanakan untuk Windows 11
T. Bagaimana cara menonaktifkan Recall?
- Anda harus mengklik opsi untuk menonaktifkan Recall saat pengaturan awal perangkat Copilot+ yang kompatibel
- Di enterprise, fitur ini aktif secara default, jadi perlu pengaturan kebijakan untuk mematikannya: "Turn off Saving Snapshots for Windows"
T. Bagaimana dampaknya terhadap privasi? Apakah ini melanggar GDPR?
- Saya bukan ahli privasi atau hukum
- Para ahli privasi yang saya ajak bicara sangat khawatir tentang dampaknya pada rumah tangga, termasuk situasi kekerasan dalam rumah tangga
- Dari sudut pandang perusahaan, risiko memproses data pelanggan dengan cara seperti ini perlu dipertimbangkan
- Microsoft kemungkinan tidak akan bertanggung jawab sebagai pengolah data karena pemrosesan dilakukan di perangkat edge
T. Apakah Microsoft perusahaan besar yang jahat?
- Tidak
- Mereka adalah orang-orang yang sangat cerdas, dan kadang orang yang sangat cerdas juga membuat kesalahan. Yang penting adalah apakah mereka menyadari kesalahannya dan apa yang mereka lakukan selanjutnya
T. Bukankah Anda mantan karyawan yang membenci Microsoft?
- Tidak, bulan ini saja saya bahkan menulis blog yang memuji Microsoft
T. Apakah ini benar-benar seberbahaya yang dipikirkan?
- Cobalah pergi ke rumah orang tua Anda, rumah kakek-nenek Anda, dan lihat PC Windows mereka, periksa perangkat lunak yang dipasang selama setahun terakhir, gunakan perangkat itu, lalu jalankan pemindaian antivirus
- Ada alasan mengapa industri keamanan bernilai 1 triliun dolar ada, dan mengapa sebagian besar masalah berpusat pada malware dan endpoint
T. Apa yang harus Microsoft lakukan?
- Menurut saya, Recall harus ditarik kembali dan dikerjakan ulang menjadi fitur yang layak sebelum diberikan nanti
- Mereka juga harus meninjau pengambilan keputusan internal yang menyebabkan situasi ini
- Awal bulan ini CEO Microsoft mengirim email ke seluruh karyawan: "Jika harus memilih antara keamanan dan prioritas lain, jawabannya jelas. Pilih keamanan"
- Kita akan tahu apakah dia benar-benar serius dengan isi email itu
- Saat ini mereka harus bersedia menerima pukulan dan bersikap rendah hati; jika tidak, mereka bisa mempertaruhkan kepercayaan pelanggan terhadap merek Copilot dan keamanan
- Sejujurnya, hampir tidak ada pelanggan yang akan menangis karena Recall tidak bisa langsung digunakan, tetapi jika respons Microsoft adalah tidak melakukan apa-apa, tetap meluncurkan produk, sedikit memodifikasinya, atau memoles masalah ini di media, maka saya akan sangat khawatir
1 komentar
Opini Hacker News
Strategi Microsoft: Microsoft tampaknya menggunakan strategi mendorong sangat keras di awal lalu kemudian menawarkan solusi yang lebih dilunakkan untuk mencapai tujuannya.
Pengalaman dengan Windows dan ChromeOS: Berdasarkan pengalaman pernah bekerja di Microsoft pada masa lalu, Windows adalah sistem operasi yang tidak buruk. Namun setelah mencoba ChromeOS, akhirnya kembali ke Debian.
Beralih ke Linux: Baru-baru ini memasang Arch Linux dan Steam di laptop Framework 16 dan menjalankan game dengan lancar. Sekarang terasa sudah benar-benar lepas dari produk Microsoft.
Perubahan citra Microsoft: Akuisisi GitHub dan hadirnya Linux Subsystem sempat membuat Microsoft terlihat seperti perusahaan yang keren, tetapi fitur Recall belakangan ini dan keharusan login akun saat instalasi Windows 10 membuat pandangan negatif itu muncul lagi.
Masalah pada fitur Recall: Dulu Microsoft berusaha menjaga kompatibilitas dengan perangkat lunak pihak ketiga, tetapi sekarang mengecewakan karena memperkenalkan fitur Recall yang melanggar privasi pengguna.
Steve Jobs dan Microsoft: Steve Jobs memahami perasaan orang terhadap produk, tetapi Microsoft tidak. Dulu pun tampaknya tidak mempertimbangkan perasaan pengguna, dan sekarang juga tidak berubah.
Kekhawatiran privasi: Masalah privasi ini serius, dan mungkin ada kemungkinan diperbaiki sebelum keadaan menjadi lebih buruk. Namun jika fitur ini diimplementasikan dengan baik, ini bisa menjadi killer app AI modern.
Pentingnya akses informasi: Akses yang baik ke informasi adalah kemampuan yang kuat. Informasi pribadi sangat berharga, dan dibutuhkan cara untuk menyimpannya serta mengaksesnya secara otomatis. Seiring waktu, orang mungkin perlu beradaptasi dengan hal ini.
Perangkat mata-mata: Pada 2017 orang secara sukarela membawa perangkat mata-mata ke dalam rumah mereka, dan pada 2024 mereka mengaktifkan keylogger.
Film 'Antitrust' dan kenyataan: Film tahun 2001 'Antitrust' membahas perusahaan mirip Microsoft yang memantau semua komputer dan mencuri kode. Dua puluh tiga tahun kemudian, itu menjadi kenyataan.