Se ha descubierto una vulnerabilidad en Microsoft Copilot para Word que permite que instrucciones ocultas dentro de los documentos se conviertan en un "gusano de IA" autopropagable. Este fallo, detectado por EN Klype Salt, permite que el sistema modifique contenidos empresariales y se extienda silenciosamente a nuevos archivos mediante la gestión de documentos adjuntos o contextuales.

Una nueva vulnerabilidad en Microsoft Copilot para Word demuestra cómo los prompts ocultos dentro de los documentos pueden transformar una edición rutinaria en un “gusano de IA” autopropagable que altera el contenido empresarial y luego se extiende silenciosamente a nuevos archivos.

La vulnerabilidad descubierta por EN Klype Salt surge del modo en que Copilot gestiona los documentos adjuntos o contextuales: el texto que parece irrelevante o invisible para el usuario humano puede ser analizado completamente por el modelo de lenguaje extenso subyacente, permitiendo que instrucciones controladas por un atacante crucen la barrera de confianza entre el material de origen no confiable y los documentos de trabajo confiables.

La investigación se basa en trabajos previos sobre los Ataques de Inyección de Prompts Cross-Domain (XPIAs), expandiendo la amenaza desde compromisos de interacción única hacia una propagación multidocumento a través de los flujos de trabajo empresariales.

Vulnerabilidad de Microsoft Word Copilot

En el escenario reportado, un atacante oculta un prompt con formato JSON dentro de un documento de Word; por ejemplo, renderizando el texto malicioso en blanco sobre blanco y con una fuente pequeña al final de un informe o análisis de mercado.

Cuando tú, como usuario, adjuntas o haces referencia indirecta a este documento en Copilot para Word, ya sea a través de la experiencia del “bolígrafo mágico” o del modo “Editar con Copilot”, Copilot elimina el formato, lee el texto oculto como instrucciones y comienza a manipular el documento activo.

Una vez activado, Copilot puede alterar contenido clave, como reducir silenciosamente a la mitad las cifras financieras en un informe del primer trimestre, mientras copia simultáneamente todo el prompt malicioso en el documento editado o recién generado utilizando un formato oculto.

Ese documento resultante se convierte ahora en un nuevo vector de ataque: si más tarde se reutiliza como material de origen para otro borrador asistido por Copilot, el prompt oculto se dispara de nuevo, modifica el nuevo contenido y se incrusta una vez más.

En efecto, el ataque convierte archivos internos confiables en portadores de un gusano de IA que se propaga mediante la colaboración normal y la reutilización de documentos, incluso después de que el documento externo original ya no esté presente.

Este comportamiento se reprodujo en múltiples configuraciones de Copilot y modelos subyacentes, incluidas implementaciones actualizadas a GPT-5.5 y GPT-5.6, a pesar de las mitigaciones específicas que bloquearon cargas útiles anteriores.

El investigador EN Klype Salt coordinó la divulgación con el Centro de Respuesta de Seguridad de Microsoft (MSRC) y los equipos de producto durante un periodo de 144 días, proporcionando pasos de reproducción, prompts de prueba de concepto (PoC) y vídeos detallados.

Aunque Microsoft ha implementado correcciones parciales y ha cerrado con éxito algunos vectores relacionados, actualmente no existe una mitigación robusta para esta clase de vulnerabilidad más amplia, y la cadena de ataque sigue siendo explotable al momento de la publicación.

Para las organizaciones, el riesgo inmediato es la pérdida de integridad de los datos y la trazabilidad dentro de sus ecosistemas de Microsoft 365. Una vez que las instrucciones maliciosas se incrustan en documentos redactados internamente, pueden redistribuirse a través de SharePoint, Teams o correo electrónico a otros departamentos e incluso a organizaciones asociadas, todo bajo la apariencia de contenido legítimo.

Debido a que las ediciones de Copilot suelen ser aprobadas y luego ya no aparecen como cambios independientes, identificar dónde y cuándo se manipularon las cifras financieras o la redacción se vuelve extremadamente difícil, complicando la respuesta ante incidentes y el análisis forense.

Quienes defienden el sistema no pueden remediar completamente el problema desde el lado del cliente hoy en día, pero puedes reducir la exposición tratando los documentos de origen externo como no confiables cuando los uses con Copilot, revisando los adjuntos antes de iniciar borradores o ediciones asistidas por IA, y realizando una revisión humana cuidadosa de cualquier documento generado o editado por Copilot antes de reutilizarlo o compartirlo.

A nivel estratégico, los hallazgos resaltan una debilidad arquitectónica compartida por muchos sistemas integrados con LLM: el contenido controlado por el atacante debe procesarse en el mismo contexto que las instrucciones confiables, convirtiendo la inyección de prompts y la autopropagación en un riesgo sistémico en lugar de un error aislado del producto.

Fuentes:
https://cybersecuritynews.com/microsoft-word-copilot-vulnerability/