Microsoft confirma un gusano de IA que se propaga por documentos de Word y Copilot explotando la mezcla de datos e instrucciones

El investigador noruego Håkon Måløy hizo públicos el martes los detalles de un gusano de inteligencia artificial que se propaga a través de aplicaciones de Microsoft como Word y Copilot, y la propia Microsoft ha confirmado el hallazgo. El mecanismo consiste en ocultar instrucciones maliciosas dentro de un documento que después se usa como material de origen para que Copilot genere o edite otro documento —por ejemplo, un informe financiero—. Esas instrucciones ocultas pueden alterar cifras del documento resultante y, además, copiarse a sí mismas dentro de ese nuevo archivo, de modo que el documento infectado se convierte en portador del ataque la próxima vez que se use en otro flujo de trabajo asistido por Copilot. Måløy describió el hallazgo como "una de las primeras demostraciones públicas de auto-propagación de un gusano de IA transmitido por documentos a través de flujos de trabajo normales en una suite de productividad comercial mainstream".

Microsoft envió un comunicado reconociendo el problema: "Hemos abordado los hallazgos reportados por el investigador y le agradecemos trabajar con nosotros mediante un proceso de divulgación coordinada de vulnerabilidades. Para abordar este tipo de riesgo, usamos una estrategia de defensa en profundidad con salvaguardas que bloquean instrucciones maliciosas en múltiples puntos y ayudan a mantener las tareas alineadas con las peticiones de los usuarios", indicó la compañía, añadiendo que continúa reforzando esas salvaguardas a medida que evolucionan la tecnología y el panorama de amenazas. Microsoft recomienda a sus clientes instalar las últimas actualizaciones, usar múltiples capas de seguridad, tratar con cautela el contenido de fuentes desconocidas y revisar el contenido generado por IA antes de usarlo o compartirlo.

Måløy explicó que lleva trabajando con el Microsoft Security Response Center (MSRC) desde el 3 de marzo, y que Microsoft ha implementado desde entonces varias mitigaciones puntuales, aunque la vulnerabilidad de fondo sigue sin resolverse. Dudó antes de publicar una vulnerabilidad todavía activa, pero concluyó que "los defensores no pueden reducir la exposición a un riesgo que desconocen", y que el mecanismo de propagación descrito afecta a flujos de trabajo documentales ordinarios en los que ya confían muchas organizaciones. Según él, el proceso de divulgación coordinada demostró que las mitigaciones pueden reducir de forma significativa la superficie de ataque demostrada, haciendo los ataques menos fiables y limitando su alcance, aunque sin eliminar el problema subyacente.

Varios expertos consultados coinciden en que la gravedad del fallo es difícil de exagerar precisamente porque elude casi todos los controles de seguridad habituales. Aman Mahapatra, director de estrategia de la consultora Tribeca Softtech, lo describió como un gusano que usa Copilot como mecanismo de transmisión y la colaboración corporativa legítima como canal de entrega: el documento no es malicioso en el momento de su entrega, sino que se vuelve malicioso cuando Copilot lo procesa. Esto hace que sortee el DLP (prevención de fuga de datos), porque la exfiltración ocurre a través de la propia sesión autenticada de Copilot del usuario, y también elude la protección de endpoints, porque no se ejecuta ningún código: solo se siguen instrucciones dentro de un servicio de IA que la empresa ya ha autorizado explícitamente. Mahapatra recordó que los investigadores llevan dos años advirtiendo sobre esta clase de ataques.

Mike Wilkes, CISO empresarial de Aikido Security, subrayó que esto traslada la inyección de prompts de una interacción puntual comprometida a un potencial ataque de integridad documental auto-propagante. Aclaró que no se trata de un gusano convencional que se propague de forma automática: un usuario o un flujo de Copilot todavía tiene que introducir un documento infectado en el contexto del modelo. Pero una vez que eso ocurre, las instrucciones maliciosas pueden alterar información de negocio, ocultarse dentro del documento de Word resultante y convertir un archivo interno legítimo en el siguiente portador. Esto crea, según Wilkes, una peligrosa cadena de suministro empresarial en la que informes financieros, contratos, políticas y documentos de socios podrían heredar comportamiento malicioso conservando toda la confianza asociada a sus autores legítimos y a sus cuentas de Microsoft 365.

Varios analistas trazaron un paralelismo histórico revelador. Flavio Villanustre, CISO del grupo LexisNexis Risk Solutions, señaló que el mismo problema de mezclar datos e instrucciones ya ocurrió hace décadas en las bases de datos, dando lugar a lo que hoy conocemos como ataques de inyección SQL; años más tarde se desarrolló el uso de consultas parametrizadas, que separan las instrucciones —gestionadas internamente de forma segura— de los datos, que pueden proceder de fuentes no confiables. "Lo mismo debe ocurrir con los LLM y otras IA", afirmó. Mike Leone, vicepresidente y analista principal de Moor Insights & Strategy, coincidió con cierta ironía: "La gente lleva preguntándose si los datos pueden dar órdenes desde las inyecciones SQL. Arreglamos aquello dándole a la base de datos una forma de distinguir una instrucción de un valor. Treinta años después, hemos construido toda una categoría de software que no puede distinguir la diferencia en absoluto".

El propio Måløy matizó que separar instrucciones de datos podría ser parte de la solución, pero que en flujos de trabajo reales esa distinción no siempre es clara: puso como ejemplo a un usuario que pide a un agente organizar un viaje de negocio, lo que obliga al agente a recuperar un correo que especifica el itinerario aprobado y un documento con el procedimiento de reserva. Su conclusión es que el reto de fondo no es simplemente impedir que los sistemas interpreten contenido externo como instrucciones, sino evaluar si esas instrucciones se alinean con los objetivos del usuario y con el contexto en el que opera el sistema.

Sobre si la solución debe llegar a nivel de toda la industria, hubo discrepancias. Frank Dickson, vicepresidente del grupo de seguridad de IDC, argumentó que una solución de fondo requeriría que toda la industria convergiera en el mismo cambio arquitectónico, algo que no va a ocurrir pronto dados los incentivos actuales y la falta de colaboración entre los grandes proveedores; considera que ningún actor está siendo recompensado comercialmente por ese trabajo ahora mismo, por lo que lo trata como un problema de investigación a varios años vista, no algo que un CISO deba esperar. Leone discrepó, sosteniendo que un solo proveedor puede hacer bastante por su cuenta: recordó que Microsoft ha reconocido públicamente desde el año pasado que la inyección de prompts indirecta no puede prevenirse por completo, algo que valora positivamente por su honestidad, y remarcó que este ataque vive dentro de un único producto, de modo que si Microsoft refuerza la ruta documental de Copilot, sus clientes estarán más seguros independientemente de lo que hagan otros proveedores. Tom Findling, CEO de Conifers.ai, también señaló la separación de datos e instrucciones como el problema central, aún no resuelto a nivel de modelo pese a los avances de los laboratorios, y propuso que Microsoft puede frenar la propagación dentro de Copilot sin esperar a esa solución: impedir que contenido oculto se escriba en nuevos documentos, mostrar el texto oculto antes de que se use, preservar el nivel de confianza de lo que Copilot ha leído y exponer todos los cambios generados por IA.

Dickson añadió otro problema crítico: los documentos portadores los crean empleados legítimos usando herramientas legítimas, por lo que no existe un punto de origen obvio una vez que la carga maliciosa empieza a moverse; una organización podría estar "blanqueando" cifras financieras corruptas a través de su propio flujo de trabajo durante semanas antes de que alguien lo note. Entre las medidas prácticas que sí están disponibles hoy, Dickson propuso limitar cuánto contenido no confiable puede incorporar Copilot a una sesión sin que un humano lo elija explícitamente —desactivando o restringiendo el descubrimiento automático de documentos—, exigir una comparación visual (diff) o control de cambios de todo lo que Copilot modifique en un documento financiero o relevante, requerir aprobación humana de esos cambios, y registrar en los metadatos del documento la procedencia del contenido y qué partes tocó un sistema de IA, de forma que si algo se cuela, la organización pueda al menos reconstruir la cadena de propagación.

No todas las voces coincidieron en la gravedad práctica del hallazgo. Tyler Reguly, director asociado de investigación y desarrollo de seguridad en Fortra, dijo no ver un impacto significativo, calificándolo de "vulnerabilidad de laboratorio": los flujos de trabajo empresariales normales no suelen incluir varios de los pasos necesarios para el compromiso, y de hecho a los empleados se les suele entrenar para no descargar documentos de Word de fuentes externas. Además, en el ejemplo difuminado que aparece en el informe, el documento malicioso contenía una página adicional aparentemente en blanco que ocultaba las instrucciones en texto blanco, algo que a su juicio ya despertaría sospechas incluso si alguien lograra convencerle de descargar un documento externo. En conjunto, concluyó, este ataque "requiere una tormenta perfecta" de circunstancias para funcionar.

El artículo deja claro que, más allá de los parches puntuales que Microsoft ya ha desplegado, el problema de fondo —que los modelos de lenguaje no distinguen de forma fiable entre datos e instrucciones— sigue sin solución técnica definitiva, y que la única vía realista a corto plazo pasa por combinar mitigaciones en capas: restringir qué contenido entra en las sesiones de Copilot sin elección humana explícita, exigir revisión y aprobación de los cambios generados por IA, y trazar la procedencia de los documentos para poder reconstruir la cadena de contagio si algo se filtra.