- Un investigador noruego ha demostrado cómo ocultar instrucciones maliciosas en documentos de Word que, al ser procesados por Copilot, se copian a nuevos archivos y se propagan.
- Microsoft ha lanzado varias mitigaciones, incluyendo una actualización del modelo a GPT-5.5 y 5.6, pero el ataque sigue siendo reproducible con instrucciones reformuladas.
- No existe una solución completa para esta clase de vulnerabilidad, considerada una debilidad arquitectónica de los modelos de lenguaje grandes (LLM).
- Se recomienda tratar los documentos externos como no fiables, revisar el contenido antes de usar Copilot y, si no se necesita, desactivar la herramienta.
Un investigador de seguridad ha puesto sobre la mesa un problema que, aunque parezca de ciencia ficción, es muy real: un gusano de inteligencia artificial que se propaga a través de Microsoft Copilot para Word. La técnica, bautizada como inyección de mensajes autopropagante, permite que instrucciones ocultas en un documento de Word alteren silenciosamente el contenido generado por la IA y se copien a nuevos archivos, infectando a cualquiera que los utilice como fuente.
El responsable de este hallazgo es Håkon Måløy, un científico de datos noruego con un doctorado en inteligencia artificial aplicada. Tras 144 días de coordinación con el equipo de seguridad de Microsoft, Måløy ha hecho público su trabajo argumentando que, a día de hoy, no existe una mitigación robusta para esta clase de vulnerabilidad. Y lo peor es que, aunque Microsoft ha lanzado varios parches, el ataque sigue funcionando si se reformulan las instrucciones ocultas.
El ataque: cómo funciona el gusano de Copilot
La mecánica es sencilla pero preocupante. Un atacante crea un documento de Word con instrucciones en lenguaje natural, pero las formatea como texto blanco sobre fondo blanco y con un tamaño de fuente muy pequeño. Cuando un usuario pide a Copilot que redacte o edite un documento basándose en ese archivo, la IA elimina el formato, lee el texto oculto y lo trata como si fuera una orden legítima del usuario. Así, Copilot modifica el documento activo —por ejemplo, alterando cifras financieras— y, además, copia las instrucciones maliciosas completas en el nuevo archivo, también como texto blanco oculto.
Ese nuevo documento se convierte en un portador. Si otro empleado lo utiliza como material de origen para Copilot, el ciclo se repite. El gusano se propaga a través de los flujos de trabajo habituales de intercambio de documentos, sin necesidad de macros, malware tradicional ni código ejecutable. Y lo más inquietante: una vez que el primer documento infectado ha generado otros, el ataque puede continuar incluso si el archivo original desaparece, porque los nuevos documentos ya llevan la carga maliciosa.
Måløy demostró el ataque con un ejemplo concreto: un empleado descarga un análisis de mercado de un sitio web de confianza, sin saber que el documento ha sido comprometido. Al usar Copilot para preparar un informe financiero, la IA reduce a la mitad todas las cifras del informe y, sin que el usuario se dé cuenta, incrusta las instrucciones ocultas en el nuevo documento. El siguiente compañero que use ese informe como fuente también activará el gusano, y así sucesivamente.
Mitigaciones de Microsoft y persistencia del problema
Microsoft ha estado trabajando con Måløy desde marzo de 2026. La compañía implementó varias mitigaciones, incluyendo una renovación de la experiencia «Editar con Copilot» en abril y una actualización del modelo subyacente a GPT-5.5 en julio. Sin embargo, el investigador logró reproducir el ataque al día siguiente usando GPT-5.6, el modelo más reciente disponible. Incluso ofreció a Microsoft un retraso adicional de dos semanas para intentar otra solución, pero al final de la ventana de divulgación coordinada, la vulnerabilidad seguía siendo explotable.
La raíz del problema es arquitectónica. Los modelos de lenguaje grandes (LLM) procesan en la misma ventana de contexto tanto las instrucciones de confianza (como las órdenes del usuario) como el contenido no fiable (como los documentos externos). El contenido controlado por el atacante comparte espacio con las instrucciones legítimas, y el modelo no puede distinguir unas de otras de forma fiable. Como señala Flavio Villanustre, CISO de LexisNexis Risk Solutions Group, esto recuerda a las inyecciones SQL de hace décadas, que se solucionaron separando instrucciones de datos. Pero, según Mike Leone, analista de Moor Insights & Strategy, «treinta años después, hemos construido una categoría entera de software que no puede distinguir en absoluto».
Måløy también ha descubierto otras vulnerabilidades relacionadas con Copilot este año, como una que permitía inyectar recuerdos persistentes a través de páginas web maliciosas y otra (CVE-2026-55145) que manipulaba Outlook Copilot mediante instrucciones ocultas en correos electrónicos externos. Estos hallazgos refuerzan la idea de que la inyección de mensajes es un problema sistémico de los asistentes de IA actuales.
Recomendaciones para protegerse
Hasta que se desarrolle una solución definitiva, los expertos ofrecen consejos prácticos. Lo primero: tratar cualquier documento procedente de fuera de la organización como no fiable, especialmente si se va a usar con Copilot para Word. Revisar los archivos adjuntos antes de utilizarlos como material de origen y verificar cuidadosamente los documentos generados o editados por Copilot antes de compartirlos o reutilizarlos.
Si no se utiliza Copilot, se puede desactivar. En Word, la opción está en Archivo > Opciones > Copilot, donde hay que desmarcar la casilla «Habilitar Copilot» y reiniciar el programa. También se puede eliminar el icono de Copilot de la cinta de opciones o, en el Centro de administración de Microsoft 365, configurar que no se ancle el chat de Copilot. Estas medidas no eliminan por completo el riesgo, pero reducen la visibilidad y limitan algunas funcionalidades asistidas por la nube.
Måløy sugiere además que los documentos generados deberían incluir metadatos de procedencia que registren el material fuente y las ediciones del modelo, lo que no evitaría la inyección pero facilitaría rastrear una infección después del ataque. Mientras tanto, la comunidad de seguridad sigue buscando una forma de separar las instrucciones de los datos en los LLM, un desafío que, como apunta el investigador, podría no tener una solución completa a corto plazo.
La vulnerabilidad demuestra que, aunque los asistentes de IA como Copilot ofrecen una gran productividad, también abren la puerta a nuevos vectores de ataque. Hasta que se diseñen sistemas en los que los objetivos y las intenciones existan independientemente de la información procesada, cualquier integración de un LLM en un flujo de trabajo de confianza asumirá un cierto riesgo de compromiso. Por ahora, la precaución y la revisión manual siguen siendo las mejores aliadas.