Los asistentes de IA han transformado rápidamente las operaciones diarias, agilizando tareas para equipos que gestionan bandejas de entrada sobrecargadas, comunicaciones con clientes y respuesta a incidentes. Herramientas como Microsoft Copilot se integran directamente en los flujos de trabajo diarios, resumiendo correos electrónicos y reuniones mientras extraen contexto de todo el ecosistema de Microsoft 365.

Los asistentes de IA han transformado rápidamente las operaciones diarias, agilizando tareas para equipos que gestionan bandejas de entrada saturadas, comunicaciones con clientes y respuesta a incidentes.

Herramientas como Microsoft Copilot se integran directamente en los flujos de trabajo cotidianos, resumiendo correos electrónicos y reuniones mientras extraen contexto de todo el ecosistema de Microsoft 365. Sin embargo, esta comodidad introduce un nuevo límite de seguridad que muchas organizaciones aún no están preparadas para defender.

Investigadores de Permiso Security han revelado una vulnerabilidad crítica de inyección cruzada de prompts (XPIA) en las superficies de resumen de correos de Microsoft 365 Copilot, ahora registrada como CVE-2026-26133.

La vulnerabilidad permite a un atacante secuestrar la salida de Copilot al incrustar texto controlado por el atacante en un correo electrónico ordinario, generando contenido de phishing convincente dentro de la interfaz de resumen confiable del asistente, sin depender de adjuntos, macros o código de explotación tradicional.

Microsoft confirmó el problema el 28 de enero de 2026, comenzó a implementar mitigaciones el 17 de febrero, completó el parche en todas las superficies afectadas el 11 de marzo y publicó el CVE el 12 de marzo de 2026, acreditando a Andi Ahmeti de Permiso Security por el descubrimiento.

Vulnerabilidad en el resumen de correos de Microsoft Copilot

El ataque aprovecha una clase de seguridad de IA bien documentada llamada ataque de inyección cruzada de prompts (XPIA), una condición en la que un modelo de lenguaje grande (LLM) que procesa contenido no confiable trata el texto incrustado como instrucciones ejecutables. En este caso, el contenido no confiable es un correo electrónico que un usuario pide a Copilot que resuma.

El problema radica en el diseño del límite de confianza: el pipeline de resumen de Copilot ingiere el contenido completo sin procesar de un correo, incluyendo cualquier texto similar a instrucciones adjunto, y actúa en consecuencia. Un atacante que elabore el "bloque de instrucciones" adecuado dentro del cuerpo de un correo puede dirigir la salida del asistente para incluir secciones creadas por el atacante, formateadas para parecer alertas de seguridad legítimas de Microsoft.

Lo crítico es que esto no requiere explotar una falla de ejecución de código. El atacante solo necesita que Copilot hable con su propia voz, aprovechando la credibilidad de la interfaz del asistente para presentar contenido de phishing como una notificación generada por el sistema.

Las pruebas de Permiso evaluaron tres puntos de entrada comunes para el resumen de correos de Copilot:

• Botón de resumen en Outlook: En las pruebas más limpias, esta función de resumen en línea detectó contenido sospechoso y se negó a cumplir. Sin embargo, cuando el correo malicioso se rellenaba con texto más largo y natural, el comportamiento se volvía impredecible, filtrando ocasionalmente artefactos parciales de los comandos inyectados en el resumen.
• Panel de Copilot en Outlook: La experiencia de chat del complemento en Outlook demostró ser más cautelosa por defecto. Normalmente ignoraba los bloques inyectados o se negaba a seguirlos, aunque ocasionalmente cumplía dependiendo del cliente de correo específico utilizado.
• Copilot en Teams: Al resumir contenido de correo a través de Microsoft Teams, el exploit era altamente cooperativo. El flujo producía consistentemente un resumen de apariencia normal seguido directamente por las adiciones moldeadas por el atacante.

La idea clave es que los usuarios no piensan en términos de "diferentes posturas de seguridad por interfaz". Para el usuario final, Copilot es Copilot, y se inclinarán por la superficie que les proporcione una respuesta.

Lo que eleva esto más allá de un comportamiento peculiar del modelo es un fenómeno que Permiso describe como transferencia de confianza. Los usuarios han sido condicionados, a través de años de capacitación en concienciación de seguridad, a ser escépticos ante texto sospechoso en los cuerpos de los correos. Ese mismo escepticismo no se extiende a los paneles de resumen generados por IA.

El ataque se vuelve significativamente más peligroso cuando se tiene en cuenta el alcance de recuperación de Copilot. Microsoft 365 Copilot puede acceder a conversaciones de Teams, archivos de OneDrive, documentos de SharePoint y notas de reuniones, dependiendo de la configuración de licencias y permisos.

Permiso confirmó en pruebas que los prompts inyectados podían dirigir a Copilot a extraer contexto de colaboración interno, como mensajes recientes de Teams, y incrustar ese contexto en un enlace proporcionado por el atacante dentro del resumen.

Esto crea una vía de exfiltración con un solo clic: el usuario hace clic en lo que parece ser un botón de "Verifica tu identidad", y cualquier contexto interno incorporado en ese enlace se transmite a la infraestructura controlada por el atacante sin que el usuario copie o comparta conscientemente un solo archivo.

Este patrón de ataque es muy similar a CVE-2025-32711 (Échale), descubierto por Aim Security, en el que prompts ocultos dentro de correos hacían que Microsoft 365 Copilot exfiltrara datos sensibles a través de URLs de imágenes elaboradas, demostrando que XPIA contra herramientas de resumen de IA es una clase de vulnerabilidad repetible y multiplataforma, no un incidente aislado.

Las organizaciones que utilizan Microsoft 365 Copilot deberían tomar las siguientes medidas:

• Aplicar el parche de marzo de 2026 inmediatamente — Microsoft confirmó la implementación completa en todas las superficies afectadas el 11 de marzo de 2026.
• Auditar los permisos de Copilot — Restringe el alcance de recuperación de Copilot solo a lo operativamente necesario; limita el acceso entre aplicaciones a Teams, OneDrive y SharePoint cuando sea posible.
• Habilitar etiquetas de sensibilidad de Microsoft Purview y políticas DLP — Estos controles reducen el radio de impacto si se intenta la exfiltración basada en recuperación.
• Habilitar Safe Links — Asegúrate de que el renderizado de enlaces salientes dentro de las superficies de Copilot esté sujeto a verificaciones de reputación de URLs.
• Concienciación de usuarios — Capacita al personal para que entienda que los paneles de resumen generados por IA pueden contener contenido influenciado por atacantes y no son notificaciones "generadas por el sistema" por defecto.
• Monitorear los registros de actividad de Copilot — Patrones inusuales de recuperación en los inquilinos de Microsoft 365 pueden indicar intentos activos de explotación de XPIA.

Fuentes:
https://cybersecuritynews.com/microsoft-copilot-summarization-vulnerability/