Un investigador de seguridad ha demostrado que se puede meter un gusano dentro de un documento de Word y que Copilot lo propague solo. La prueba de concepto acaba con el asistente partiendo por la mitad las cifras financieras de informes internos, y el ataque sobrevive aunque el documento original ya no este.
Puntos clave
- Las instrucciones maliciosas van como texto blanco sobre fondo blanco. Invisibles al leer.
- Copilot las ejecuta al procesar el documento y copia el payload al documento nuevo que genera.
- Ese documento nuevo infecta la siguiente sesion. Por eso es un gusano y no una simple inyeccion.
- 144 dias de coordinacion con Microsoft sin mitigacion completa de la clase de vulnerabilidad.
Cómo funciona el ciclo
El truco de entrada es viejisimo y sigue funcionando: texto blanco sobre fondo blanco. Una persona abre el documento y no ve nada raro. El modelo lo lee entero, porque para el no hay colores, solo tokens.
Lo nuevo es lo que pasa despues. Copilot hace dos cosas en la misma pasada. Ejecuta las instrucciones ocultas, alterando numeros o contenido del texto que genera. Y copia esas mismas instrucciones al documento de salida.
Ese documento de salida sale de tu empresa por los canales normales. Va al comite, se reenvia al proveedor, se guarda en SharePoint. Y la proxima vez que alguien lo procese con Copilot, el ciclo empieza otra vez.
Nadie ha pinchado en ningun enlace. Nadie ha ejecutado ningun adjunto. Solo han usado Word como todos los dias.
El ejemplo que asusta
La demostracion no va de robar datos. Va de cambiarlos.
Parte de un analisis de mercado comprometido, de esos que se descargan de un proveedor o llegan por email. A partir de ahi, Copilot empieza a reducir a la mitad cifras financieras cuando redacta informes internos.
El impacto no es una fuga. Es tomar decisiones con numeros manipulados sin que nadie sepa que estan manipulados. Y como la alteracion la hace la herramienta oficial de la empresa, pasa todas las revisiones de confianza.
Lo peor del diseno es que la propagacion sigue funcionando cuando el documento original ya no esta en el contexto. El veneno ya viaja en las copias.
144 dias y sigue abierto
El investigador reporto el problema a Microsoft y coordino la publicacion durante 144 dias. Microsoft cerro payloads concretos, es decir, las formulaciones exactas que se usaron en la prueba.
La clase de vulnerabilidad sigue abierta. Y eso es lo honesto del informe: no hay parche posible mientras el sistema no distinga entre el contenido que tiene que procesar y las instrucciones que tiene que obedecer. Esa separacion no existe hoy en los sistemas basados en modelos de lenguaje.
Afecta a versiones de Copilot for Word con GPT-5.5 y GPT-5.6, o sea, lo que hay desplegado ahora mismo.
No es solo un problema de Microsoft
Conviene decirlo claro porque el titular apunta a Copilot: cualquier asistente que lea documentos de terceros y genere documentos nuevos tiene la misma arquitectura y el mismo agujero. Da igual el modelo que lleve debajo.
Microsoft es el caso estudiado porque tiene Copilot metido dentro de Word y Excel en millones de empresas, no porque su implementacion sea peor.
Por qué importa
Si tu equipo pasa por Copilot documentos que llegan de fuera (informes de proveedores, propuestas, PDFs de consultoras, contratos), tienes esto abierto hoy.
Tres cosas que puedes hacer esta semana sin esperar a ningun parche. Primera: normaliza el texto de los documentos externos antes de que los toque el asistente, quitando formato y color. Segunda: prohibe que Copilot genere cifras financieras sin que un humano las contraste contra el sistema de origen. Tercera: si un informe generado con IA cambia un numero respecto al trimestre anterior, que salte una revision manual.
Es friccion, si. Menos que descubrir en una auditoria que llevas medio ano decidiendo con datos partidos por la mitad.
Relacionado