Un ataque con comportamiento de gusano en Microsoft Copilot para Word ha convertido una preocupación de seguridad de la IA, vigente desde hace tiempo, en una demostración concreta
Un investigador de seguridad ha mostrado que las inyecciones de prompts ocultas dentro de documentos de Microsoft Word pueden propagarse de un archivo a otro cuando las personas usan Microsoft Copilot for Word para reutilizar o resumir contenido. El resultado no es solo un exploit aislado, sino un mecanismo autorreplicante que puede convertir documentos ordinarios en portadores.
Según los hallazgos reportados, el ataque funciona incrustando instrucciones en un documento de formas que es poco probable que los lectores humanos noten, como texto blanco sobre fondo blanco con un tamaño de fuente extremadamente pequeño. El investigador dice que Copilot elimina el color y el formato del tamaño de fuente antes de procesar el texto, lo que significa que las instrucciones ocultas siguen siendo visibles para el sistema de IA incluso cuando resultan efectivamente invisibles para la persona que ve el documento.
Esa distinción importa porque crea una brecha entre lo que un usuario cree que hay en un archivo y lo que realmente lee el asistente de IA. Si Copilot sigue las instrucciones ocultas al generar un nuevo documento, el texto inyectado puede copiarse en esa salida. El nuevo archivo pasa entonces a ser otro portador. Cuando ese segundo documento se usa más tarde como material de origen, las mismas instrucciones ocultas pueden activarse de nuevo.
Por qué importa esta demostración
La inyección de prompts se ha descrito a menudo como un problema no resuelto en los sistemas de IA, pero muchas discusiones se quedan en lo abstracto. Este caso es más específico y más inquietante porque muestra cómo la debilidad podría moverse a través de flujos de trabajo de oficina normales. Un archivo malicioso no tiene que engañar a un usuario para que ejecute código en el sentido tradicional. Solo tiene que usarse en los tipos de tareas de manejo de documentos que los trabajadores del conocimiento realizan todos los días.
El escenario reportado ilustra cómo un análisis de mercado infectado, descargado de internet, podría influir en un informe financiero creado con Copilot. Si el informe hereda las instrucciones ocultas, luego puede contaminar borradores posteriores, resúmenes derivados o documentos basados en plantillas. En otras palabras, la función de productividad que hace que los documentos sean fáciles de reutilizar también crea una vía para que el ataque persista.
Este es un cambio notable respecto al phishing clásico o al malware con macros. El riesgo descrito aquí está ligado a cómo un modelo de IA interpreta el lenguaje dentro de contenido empresarial de confianza. El documento subyacente puede parecer inocuo, pasar una revisión casual y aun así alterar las salidas posteriores.
Microsoft fue notificada, pero no había una solución cuando se publicaron los hallazgos
El investigador detrás del ataque, Hakon Maloy, informó del comportamiento a Microsoft el 31 de marzo, según el material de origen. Microsoft confirmó el comportamiento, pero dos intentos de solución, al parecer, fallaron. Después de 144 días, Maloy publicó los hallazgos sin divulgar el texto de la carga útil.
Esa cronología es importante por dos razones. Primero, sugiere que el problema no es meramente teórico ni el producto de un caso límite mal entendido. Segundo, refuerza lo difícil que pueden ser los problemas de inyección de prompts en sistemas diseñados para ingerir y transformar lenguaje natural. Si se espera que el asistente lea todo en un documento como contexto potencialmente útil, distinguir entre instrucciones legítimas y maliciosas se vuelve técnicamente y a nivel de producto complejo.
La publicación de los hallazgos sin una solución pública también aumenta la presión sobre los proveedores empresariales de IA. Copilot y herramientas similares se presentan cada vez más como asistentes para redactar, editar, resumir y sintetizar información en los archivos internos de una empresa. Eso hace que la confianza en los límites del documento y en el manejo de instrucciones sea central para la seguridad del producto.
Un problema de productividad de oficina, no solo un problema de laboratorio de IA
Una de las razones por las que este caso destaca es que aterriza en un contexto de productividad de uso muy extendido, en lugar de una interfaz de chatbot de alcance estrecho. Los documentos de Word se comparten de forma rutinaria entre equipos, departamentos, socios y fuentes externas. Muchas organizaciones están animando activamente a los empleados a alimentar más de esos documentos en copilotos de IA para ahorrar tiempo.
El exploit descrito en el informe sugiere que la comodidad también puede convertirse en una superficie de ataque. Un usuario quizá no necesite hacer clic en un archivo adjunto peligroso, habilitar macros ni instalar software sospechoso. En cambio, el simple acto de pedirle a Copilot que ayude a escribir un nuevo documento a partir de uno antiguo podría ser suficiente para replicar instrucciones ocultas.
Eso hace que los hábitos defensivos sean más difíciles de definir. La orientación de seguridad tradicional suele centrarse en señales de advertencia visibles o en contenido ejecutable. Aquí, el material riesgoso es texto plano que simplemente ha sido formateado para evadir la atención humana mientras sigue siendo legible para el modelo. El ataque, por tanto, explota un desajuste entre la percepción humana y la de la máquina dentro del mismo archivo.
Lo que la demostración dice sobre el estado de la seguridad en IA
La conclusión general es que la inyección de prompts sigue sin resolverse en productos reales, especialmente donde a los modelos se les concede amplia autoridad para interpretar entradas de confianza mixta. Las instrucciones ocultas en documentos externos, páginas web, correos electrónicos o archivos adjuntos son una preocupación conocida en los sistemas de IA. Este ejemplo añade un mecanismo de propagación que dificulta contener el problema una vez que un documento malo entra en un flujo de trabajo.
El informe también debilita la idea de que la inyección de prompts es sobre todo una molestia que produce respuestas extrañas. En este caso, el peligro es operativo. Una instrucción maliciosa puede sobrevivir dentro de artefactos empresariales normales y propagarse a través del trabajo rutinario basado en conocimiento. Incluso sin ejecución de código destructivo, eso genera riesgos de integridad para informes, resúmenes, documentos de planificación y otros registros en los que los empleados pueden confiar.
La decisión del investigador de retener el texto real de la carga útil limita un poco el uso inmediato por imitadores, pero la descripción publicada basta para mostrar la clase de fallo. Para las empresas que evalúan copilotos de IA, la lección es clara: la ingestión de documentos no puede considerarse segura solo porque la fuente parezca contenido de oficina ordinario.
A medida que las empresas profundizan su dependencia de las herramientas de escritura con IA, la frontera entre contenido y comando se está convirtiendo en una de las líneas de seguridad más importantes que hay que defender. Esta demostración muestra que, en los sistemas actuales, esa línea sigue siendo demasiado fácil de difuminar.
Este artículo se basa en una cobertura de The Decoder. Leer el artículo original.
Originally published on the-decoder.com