Un grupo de investigadores de Aim Labs descubrió en enero de 2025 una vulnerabilidad crítica en Microsoft 365 Copilot, denominada EchoLeak, que representa la primera vulnerabilidad de IA de clic cero conocida. Esta falla permite a los atacantes exfiltrar datos confidenciales directamente desde el contexto del usuario, sin requerir ninguna interacción.
El hallazgo fue reportado a Microsoft, que lo identificó como CVE-2025-32711, calificándolo como una falla de divulgación de información crítica. La empresa corrigió el problema en el lado del servidor en mayo de 2025, lo que significa que no se necesita ninguna actualización por parte del usuario final. Además, Microsoft aseguró que no hay evidencia de que la vulnerabilidad haya sido explotada activamente en entornos reales.
¿Qué es Microsoft 365 Copilot?
Microsoft 365 Copilot es un asistente de inteligencia artificial basado en modelos de lenguaje como GPT de OpenAI y Microsoft Graph, que está integrado en herramientas populares como Word, Excel, Outlook y Teams. Este asistente puede generar contenido, resumir correos electrónicos, responder preguntas empresariales y analizar datos utilizando la información interna de una organización.
¿Por qué EchoLeak es una amenaza relevante?
Aunque EchoLeak ya ha sido corregida, su importancia radica en que demuestra una nueva clase de vulnerabilidades conocidas como violaciones del alcance de los LLM (Large Language Models). Este tipo de vulnerabilidad hace que un modelo de lenguaje filtre datos internos confidenciales sin intención ni interacción del usuario, lo que expone a las organizaciones a exfiltraciones silenciosas y automatizadas.
La naturaleza de clic cero del ataque significa que los sistemas empresariales pueden ser comprometidos sin que la víctima haga nada más que usar Copilot normalmente, lo cual representa una nueva superficie de ataque para actores maliciosos que buscan explotar integraciones de IA en entornos corporativos.
Cómo funciona el ataque EchoLeak
El proceso de ataque de EchoLeak comienza con el envío de un correo electrónico malicioso al usuario objetivo. El mensaje aparenta ser legítimo, redactado como si fuera un documento comercial común, pero contiene una inyección de aviso (prompt injection) oculta.
Esta inyección está diseñada para instruir al modelo de lenguaje a recuperar y exfiltrar datos internos cuando se le realicen consultas relacionadas. Gracias a su redacción natural, el correo evita ser detectado por el clasificador XPIA (Cross-Prompt Injection Attack) de Microsoft.
Posteriormente, cuando el usuario realiza una consulta legítima a Copilot, el sistema RAG (Retrieval-Augmented Generation) puede considerar relevante ese correo electrónico y lo incluye en el contexto de solicitud del modelo. Una vez que la inyección alcanza al LLM, este extrae información sensible y la incrusta en una URL o imagen manipulada.
Los investigadores descubrieron que ciertos formatos de imagen en Markdown pueden activar automáticamente la solicitud de carga en el navegador, enviando datos incrustados directamente al servidor controlado por el atacante. Esto ocurre incluso si la víctima nunca hace clic en nada.
Limitaciones en la protección y vectores de abuso
Aunque Microsoft CSP bloquea la mayoría de los dominios externos, EchoLeak puede abusar de URLs de confianza, como las de Teams y SharePoint, para realizar exfiltraciones sin ser bloqueadas. Esta técnica aumenta significativamente el riesgo, ya que se aprovecha de las excepciones de seguridad ya establecidas en entornos empresariales.
La creciente adopción de herramientas de IA como Copilot, combinada con la complejidad de los modelos LLM y los sistemas RAG, sobrepasa las defensas tradicionales. Esto hace que sea probable que veamos nuevas vulnerabilidades similares en el futuro, especialmente si los atacantes perfeccionan técnicas de inyección encubierta.
Recomendaciones de seguridad para mitigar ataques como EchoLeak
Para proteger los entornos corporativos frente a vulnerabilidades similares a EchoLeak, se recomienda aplicar las siguientes medidas:
- Fortalecer los filtros de inyección de solicitudes, especialmente en plataformas que utilizan modelos de lenguaje.
- Implementar un control granular del alcance de entrada, para limitar qué datos se incorporan en las consultas del modelo.
- Aplicar filtros de posprocesamiento que bloqueen respuestas con enlaces externos o datos estructurados sospechosos.
- Configurar motores RAG para excluir fuentes externas no verificadas, especialmente correos electrónicos no empresariales.
- Auditar los permisos de acceso a aplicaciones como Teams y SharePoint, que podrían ser utilizados como canales de exfiltración.
- Mantenerse informado sobre nuevas técnicas de prompt injection y ataques a LLM para anticipar futuras amenazas.
En fin, la vulnerabilidad EchoLeak marca un punto de inflexión en la ciberseguridad aplicada a modelos de lenguaje, al evidenciar cómo una IA integrada puede ser manipulada para filtrar datos sin intervención del usuario. Aunque Microsoft solucionó la falla, su existencia subraya la necesidad urgente de adaptar las defensas tradicionales a un nuevo paradigma dominado por sistemas inteligentes y altamente conectados. Las organizaciones que dependen de asistentes de IA deben reforzar sus prácticas de seguridad y vigilancia para prevenir exfiltraciones silenciosas y automatizadas.
Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
