Se han añadido funciones de inteligencia artificial (IA) a Windows 11 Notepad y Paint para usuarios de los canales Canary y Dev, convirtiéndolos en herramientas conectadas a la nube que requieren inicio de sesión. La actualización de Notepad (versión 11.2512.10.0) incorpora capacidades de generación, reescritura y resumen de texto impulsadas por IA, que muestran resultados procedentes tanto de fuentes locales como en la nube. 

Se han añadido funciones de inteligencia artificial (IA) al Bloc de notas y Paint de Windows 11 para los usuarios de los canales Canary y Dev, convirtiéndolos en herramientas conectadas a la nube que requieren inicio de sesión.

La actualización del Bloc de notas (versión 11.2512.10.0) incorpora funciones de generación, reescritura y resumen de texto impulsadas por IA, que muestran resultados tanto de fuentes locales como en la nube.

Debes iniciar sesión con una cuenta de Microsoft para acceder a estas capacidades, lo que cambia fundamentalmente el modelo de seguridad tradicional del Bloc de notas, que antes funcionaba sin conexión.

Las funciones de IA aumentan los riesgos de seguridad

Los investigadores de seguridad señalan que el cambio de un editor de texto aislado a un servicio en la nube autenticado crea nuevos riesgos de exposición de datos.

Cuando utilizas las funciones de IA, el contenido del texto se transmite a los servidores de Microsoft, lo que podría incluir información sensible, credenciales o datos propietarios.

El soporte ampliado para Markdown, aunque funcional, introduce una complejidad adicional en el análisis que podría albergar vulnerabilidades futuras.

Los administradores de seguridad empresarial enfrentan desafíos de implementación, ya que las funciones de IA podrían violar requisitos de residencia de datos o entrar en conflicto con marcos de cumplimiento como el GDPR y el HIPAA.

Los nuevos requisitos de conectividad de la aplicación eluden las estrategias tradicionales de segmentación de red que antes protegían sistemas aislados.

La nueva función de libro para colorear de Paint (versión 11.2512.191.0) genera imágenes a partir de indicaciones de texto usando modelos de IA, pero exclusivamente en PCs Copilot+ con unidades de procesamiento neuronal.

Esta limitación restringe la adopción empresarial de la función, al tiempo que destaca los límites de seguridad basados en hardware. El requisito de autenticación con una cuenta de Microsoft crea vectores de ataque basados en identidad.

Los actores malintencionados podrían abusar de la API de generación de imágenes para crear contenido malicioso. Sin embargo, Microsoft ha implementado filtros de contenido basados en valores corporativos y estándares de seguridad.

El control deslizante de tolerancia de relleno, aunque parece menor, demuestra que la integración de IA va más allá de las funciones generativas, modificando el comportamiento de las herramientas. Esto podría introducir interacciones inesperadas con formatos de imagen complejos que podrían ser explotados.

Preocupaciones sobre autenticación y manejo de datos

Ambas aplicaciones ahora requieren inicio de sesión con una cuenta de Microsoft para acceder a las funciones de IA, centralizando la autenticación pero creando puntos únicos de fallo.

Los profesionales de seguridad cuestionan si la autenticación multifactor (MFA) se volverá obligatoria y cómo se protegen los tokens de sesión.

La función de transmisión de resultados de IA está diseñada para mejorar la experiencia del usuario al mostrar respuestas parciales, pero podría introducir vulnerabilidades de canal lateral basadas en tiempo, donde los atacantes podrían inferir contenido a partir de patrones de respuesta o latencia.

La documentación de privacidad de Microsoft indica que el procesamiento de IA ocurre tanto localmente en el dispositivo como en la nube.

La transparencia sigue siendo limitada en cuanto a las políticas de retención de datos, las fuentes de datos de entrenamiento de los modelos y la integración de componentes de terceros.

Las organizaciones ahora deben evaluar si el Bloc de notas y Paint deben estar en los sistemas corporativos, dado que han ampliado sus capacidades de red.

Los enfoques tradicionales de listas blancas de aplicaciones pueden requerir actualizaciones para adaptarse a los nuevos requisitos de conectividad en la nube y autenticación.

Estas actualizaciones ejemplifican la estrategia más amplia de Microsoft de integrar IA en todo Windows. Sin embargo, cada punto de integración aumenta potencialmente la superficie de ataque del sistema operativo.

Los equipos de seguridad deberían monitorear de cerca estos desarrollos y establecer políticas que regulen el uso de funciones de IA en entornos regulados.

A medida que estas funciones pasen de las versiones preliminares para Insiders a estar disponibles de forma general, los profesionales de ciberseguridad recomiendan realizar evaluaciones de riesgo exhaustivas antes de implementarlas en empresas, especialmente para organizaciones que manejan información sensible o clasificada.