En un hallazgo alarmante, un investigador de seguridad ha demostrado que instrucciones ocultas en documentos de Word pueden manipular a Microsoft 365 Copilot, haciendo que modifique el contenido de manera silenciosa. Este tipo de ataque, conocido como inyección de indicaciones entre dominios (cross-domain prompt injection), representa una nueva amenaza para la seguridad de los sistemas basados en inteligencia artificial.
Håkon Måløy, un científico de datos con un doctorado en aprendizaje automático aplicado reveló esta vulnerabilidad después de un proceso de divulgación coordinada con el Microsoft Security Response Center (MSRC). A pesar de los esfuerzos de Microsoft por mitigar el problema, la vulnerabilidad sigue siendo explotable.
El mecanismo de ataque: instrucciones ocultas y propagación silenciosa
El ataque se basa en la inserción de instrucciones en un documento de Word, formateadas como texto blanco sobre fondo blanco y con un tamaño de fuente pequeño. Cuando Copilot para Word procesa el documento, elimina el formato pero no las instrucciones, que son leídas por el modelo de lenguaje subyacente. Esto puede ocurrir tanto cuando un usuario adjunta manualmente un documento como cuando Copilot, en modo Work IQ busca archivos relevantes en OneDrive.
Lo más preocupante es que el ataque se propaga de manera silenciosa. En el prueba de concepto de Måløy, las instrucciones ocultas tenían dos partes: una para modificar el documento en curso y otra para copiar las instrucciones en el nuevo documento, ocultándolas nuevamente. Copilot ejecutó ambas acciones sin notificar al usuario, convirtiendo cada documento modificado en un vector de ataque.
La cronología de la divulgación: un proceso prolongado
Måløy informó de la vulnerabilidad al MSRC el 6 de marzo de 2026. Microsoft confirmó el comportamiento el 31 de marzo y envió una primera mitigación a principios de abril mediante una reestructuración de la experiencia Edit with Copilot. Sin embargo, Måløy reprodujo el ataque con diferentes palabras la misma semana, lo que llevó a la apertura de un segundo caso.
El 14 de julio Microsoft implementó una segunda mitigación mediante una actualización del modelo subyacente a GPT-5.5. Sin embargo, Måløy logró reproducir el ataque al día siguiente utilizando GPT-5.6. A pesar de ofrecer a Microsoft un retraso adicional de dos semanas para intentar otra mitigación, la vulnerabilidad seguía siendo explotable en la fecha de divulgación.
Un problema complejo sin solución definitiva
La vulnerabilidad no se limita a Microsoft Word. Un asistente de inteligencia artificial debe ingerir contenido no confiable para determinar si es relevante o hostil. Sin embargo, este contenido entra en la misma ventana de contexto que la solicitud del sistema y la solicitud real del usuario, lo que permite que las instrucciones del atacante moldeen la evaluación del modelo.
Como señala Måløy, «el contenido que se inspecciona participa en el acto de inspección.» Microsoft ha reconocido el problema y ha implementado una estrategia de defensa en profundidad para mitigar los riesgos, pero una solución completa aún no está a la vista.
Microsoft ha recomendado a los usuarios instalar las últimas actualizaciones, utilizar múltiples capas de protección de seguridad, tratar con cautela el contenido de fuentes desconocidas y revisar el contenido generado por la inteligencia artificial antes de usarlo o compartirlo. Måløy sugiere además que los documentos generados deberían llevar metadatos de procedencia que registren el material fuente y las ediciones del modelo, lo que facilitaría la trazabilidad de una infección.
