Un investigador de seguridad mostró cómo un ataque de inyección de instrucciones en Microsoft Copilot para Word puede propagarse por sí solo, sin que nadie vuelva a intervenir.
Håkon Måløy describe un ataque con comportamiento de gusano informático. El atacante esconde instrucciones dentro de un documento usando texto blanco sobre fondo blanco, con un tamaño de fuente mínimo. Quien lee el archivo no ve nada. Copilot sí las ve, porque despoja el color y el tamaño de letra antes de procesar el contenido.
¿Cómo se propaga sin que nadie lo note?
El mecanismo es la parte incómoda. Cuando alguien usa ese documento como fuente, Copilot ejecuta las instrucciones ocultas y las copia dentro del archivo nuevo. Ese archivo pasa a ser, a su vez, un portador. Si después alguien lo ocupa como plantilla, el ataque vuelve a dispararse.
La cadena de contagio funciona así:
- Un análisis de mercado comprometido, descargado desde internet, entra a la organización.
- Alguien lo usa como fuente para redactar un informe financiero con Copilot.
- Copilot lee las instrucciones invisibles, manipula el informe y las replica en el archivo resultante.
- Ese informe infecta a los siguientes documentos que se apoyen en él.
Nada de esto exige un archivo ejecutable, una macro habilitada ni un adjunto sospechoso. El vector es texto plano dentro de un documento de ofimática legítimo, y el que ejecuta la carga es el propio asistente corporativo.
¿Qué respondió Microsoft?
Microsoft confirmó el comportamiento el 31 de marzo. Dos intentos de corrección fallaron. Tras 144 días, Måløy publicó sus hallazgos sin que hubiera un arreglo disponible, aunque optó por reservarse el texto exacto de la carga maliciosa para no facilitar copias.
El investigador de IA Andreas Kirsch había bromeado hace poco con que ojalá alguien construyera exactamente este gusano, para convencer a los escépticos de que los riesgos de seguridad en IA son reales. Ahora existe.
| Elemento del ataque | Detalle |
|---|---|
| Vector | Texto blanco sobre blanco, tamaño mínimo, dentro de un .docx |
| Por qué funciona | Copilot elimina color y tamaño de fuente antes de procesar |
| Propagación | Cada documento generado hereda las instrucciones ocultas |
| Confirmado por Microsoft | 31 de marzo de 2026 |
| Intentos de corrección fallidos | 2 |
| Días hasta la publicación | 144 |
¿Por qué las inyecciones de instrucciones siguen sin solución?
La inyección de instrucciones sigue siendo un problema abierto en seguridad de IA. La raíz es estructural: los modelos de lenguaje no distinguen de manera confiable entre el contenido que deben procesar y las órdenes que deben obedecer. Todo llega por el mismo canal, como texto. Mientras esa frontera no exista a nivel de arquitectura, cada filtro nuevo es una lista de casos conocidos, no una barrera.
Lo que este caso agrega es la propagación. Hasta ahora, la mayoría de las demostraciones públicas requerían que la víctima abriera un archivo preparado por el atacante. Acá el documento infectado lo genera la propia organización, con su herramienta corporativa, y circula por los canales internos de confianza.
Para equipos de tecnología en la región, la lectura práctica es directa: cualquier flujo donde un asistente de IA tome documentos externos como fuente para producir documentos internos hereda este riesgo, y las defensas habituales de correo y antivirus no lo ven. Revisar el contenido pegado en documentos de origen desconocido, con el formato de fuente forzado a un color y tamaño visibles, es hoy una de las pocas verificaciones que sí detecta el vector.
