Vulnerabilidad en Microsoft 365 Copilot permite manipular documentos Word

La inteligencia artificial está revolucionando la productividad empresarial, pero también está introduciendo nuevos vectores de ataque que desafían los modelos tradicionales de seguridad. Una reciente investigación ha revelado una preocupante vulnerabilidad en Microsoft 365 Copilot, capaz de interpretar instrucciones ocultas dentro de documentos de Microsoft Word y ejecutar acciones no deseadas durante la generación o edición de contenido.

El hallazgo, divulgado por el investigador de seguridad Håkon Måløy, demuestra cómo un documento aparentemente inofensivo puede manipular el comportamiento de Copilot, modificar datos críticos y propagar instrucciones ocultas hacia nuevos documentos creados por la propia inteligencia artificial. Aunque no se trata de una vulnerabilidad de ejecución de código ni de un ataque de cero clic, sí representa un importante riesgo para la integridad de la información empresarial.

¿En qué consiste la vulnerabilidad?

La investigación muestra que Microsoft 365 Copilot puede confundir instrucciones ocultas dentro de un documento con indicaciones legítimas del usuario. En lugar de tratar ese contenido como simples datos, el modelo de inteligencia artificial lo interpreta como comandos que debe obedecer durante el proceso de redacción.

En la prueba de concepto presentada por Måløy, un documento de Word contenía texto oculto mediante formato blanco sobre fondo blanco y un tamaño de fuente extremadamente pequeño. Aunque dicho contenido permanecía invisible para el usuario, el sistema eliminaba el formato antes de enviar el texto al modelo de lenguaje, haciendo que las instrucciones fueran completamente legibles para Copilot.

Como resultado, el asistente de IA ejecutaba órdenes incluidas dentro del documento sin informar al usuario de que dichas instrucciones provenían del archivo y no de la solicitud original.

Cómo logra manipular los documentos

Durante la demostración, el investigador consiguió que Copilot realizara varias acciones simultáneamente:

• Reducir a la mitad todas las cifras financieras presentes en un informe.
• Copiar íntegramente el prompt oculto dentro del documento generado.
• Ocultar nuevamente esas instrucciones utilizando texto blanco y tamaño reducido.
• Evitar informar al usuario de las modificaciones realizadas.

Este comportamiento convierte al documento generado por Copilot en un nuevo portador de las instrucciones maliciosas.

Posteriormente, cuando dicho archivo se utiliza como fuente en una nueva sesión de Copilot, el asistente vuelve a interpretar las instrucciones ocultas, reproduciendo el mismo comportamiento y alterando nuevamente la información.

Aunque el proceso requiere una intervención humana para iniciar una nueva generación o edición con Copilot, el mecanismo demuestra una capacidad de persistencia especialmente preocupante dentro de entornos corporativos.

Una cadena de propagación entre documentos

Uno de los aspectos más llamativos de la investigación es que la amenaza no depende del documento malicioso original.

Una vez que Copilot copia las instrucciones ocultas al nuevo archivo generado, este documento pasa a convertirse en el nuevo origen del ataque.

Esto dificulta considerablemente la investigación forense, ya que el archivo inicial puede desaparecer mientras continúan circulando documentos aparentemente legítimos creados por la propia organización.

Según Måløy, esta ruptura de la cadena de procedencia complica enormemente determinar cuál fue el origen real de la manipulación.

El papel de OneDrive y Work IQ

Microsoft 365 Copilot puede construir documentos utilizando información procedente de múltiples fuentes.

La propia compañía indica que Word puede generar borradores utilizando hasta veinte documentos, correos electrónicos o reuniones como contexto. Además, las funciones de edición pueden apoyarse en Work IQ, el motor de inteligencia que selecciona automáticamente información relevante almacenada en Microsoft 365.

Durante la prueba, Copilot buscó un informe financiero almacenado en OneDrive y seleccionó como fuente un documento malicioso ubicado fuera de la carpeta principal del proyecto.

Work IQ consideró que dicho archivo era relevante para la tarea solicitada y lo incorporó automáticamente al contexto del modelo, permitiendo que las instrucciones ocultas fueran procesadas sin intervención del usuario.

Este escenario demuestra que un documento malicioso podría influir en futuras generaciones de contenido simplemente siendo considerado una fuente relevante por la inteligencia artificial.

Microsoft intentó mitigar el problema

La cronología publicada por Måløy muestra que Microsoft recibió el reporte a comienzos de marzo.

El fabricante confirmó el comportamiento el 31 de marzo e implementó dos medidas de mitigación:

• Bloqueo de la redacción original utilizada durante la prueba.
• Actualización del modelo base hacia GPT-5.5.

Sin embargo, el investigador asegura que bastó modificar ligeramente las instrucciones para volver a conseguir el mismo resultado utilizando GPT-5.6.

Según su publicación del 28 de julio, la categoría completa de vulnerabilidad continúa siendo explotable, aunque las cargas útiles específicas utilizadas inicialmente hayan dejado de funcionar.

No existe evidencia de ataques reales

Hasta el momento no existen pruebas públicas de que esta técnica haya sido utilizada por ciberdelincuentes en ataques reales.

El investigador decidió además no publicar la carga útil completa para evitar facilitar posibles explotaciones antes de que existan soluciones definitivas.

Asimismo, durante la publicación no se encontró ningún identificador CVE asociado a esta vulnerabilidad ni un aviso independiente dentro de la Guía de Actualizaciones de Seguridad de Microsoft.

Las limitaciones de las defensas actuales

Microsoft afirma que Copilot incorpora diversas capas de protección destinadas a bloquear ataques de Prompt Injection y Cross Prompt Injection Attack (XPIA).

Entre ellas destacan:

• Clasificadores automáticos de jailbreak.
• Detección de inyecciones de prompts.
• Salvaguardas durante la ejecución del modelo.
• Protección mediante Microsoft Defender para Office 365 en el flujo de correo electrónico.

No obstante, ni Microsoft ni el investigador confirman si estas defensas son capaces de detectar específicamente la técnica descrita.

Måløy sostiene que el problema es mucho más profundo.

Su argumento es que el propio modelo debe interpretar contenido potencialmente malicioso para decidir si representa una amenaza. En consecuencia, las instrucciones del atacante participan activamente en el proceso de inspección, lo que limita la eficacia de cualquier filtro basado exclusivamente en inteligencia artificial.

Esta idea coincide con una publicación técnica realizada previamente por Microsoft, donde la empresa reconoce que confiar únicamente en instrucciones para limitar el comportamiento de un modelo no constituye una frontera de seguridad confiable. En su lugar, recomienda utilizar mecanismos deterministas de aislamiento y control de acceso para proteger la memoria y el contexto utilizado por la IA.

Recomendaciones para proteger los entornos empresariales

Aunque actualmente no existe una solución definitiva del lado del cliente, los expertos recomiendan adoptar varias medidas preventivas para reducir el riesgo:

• Tratar cualquier documento externo como potencialmente no confiable.
• Revisar cuidadosamente los archivos antes de utilizarlos como fuentes en Microsoft 365 Copilot.
• Validar manualmente los documentos generados por inteligencia artificial antes de compartirlos.
• Limitar las fuentes de información utilizadas por Copilot cuando se trabaje con información financiera o confidencial.
• Supervisar el contenido almacenado en OneDrive y SharePoint para evitar documentos manipulados.
• Mantener Microsoft 365 y Defender para Office 365 completamente actualizados.

En fin...

La investigación presentada por Håkon Måløy evidencia un nuevo tipo de amenaza emergente asociada a los asistentes basados en inteligencia artificial. En lugar de explotar vulnerabilidades tradicionales, este ataque aprovecha la forma en que los modelos de lenguaje interpretan el contexto proporcionado por documentos aparentemente legítimos.

Aunque la técnica no ejecuta malware ni compromete directamente los sistemas, sí puede alterar información crítica, ocultar instrucciones maliciosas y propagar dichas instrucciones entre documentos generados por Microsoft 365 Copilot, poniendo en riesgo la integridad de informes financieros, documentación corporativa y procesos automatizados.

A medida que las organizaciones adoptan soluciones de IA para aumentar la productividad, será fundamental complementar las capacidades de estos asistentes con controles de seguridad deterministas, procesos de validación humana y políticas estrictas sobre las fuentes de información utilizadas. La evolución de amenazas como la inyección de prompts demuestra que la seguridad en la inteligencia artificial requerirá un enfoque diferente al empleado tradicionalmente en la protección de aplicaciones y documentos.

Fuente: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login