Microsoft 365 Copilot para Word puede verse afectado por un tipo de ataque que aprovecha instrucciones ocultas dentro de documentos. La idea no es ejecutar malware clásico, sino influir en el comportamiento de Copilot durante operaciones de redacción o edición, haciendo que el asistente use contenido malicioso como si fuera parte de la solicitud del usuario.
Lo relevante es el mecanismo en cadena: tras una primera sesión, Copilot puede incorporar esas instrucciones al documento generado internamente. En las siguientes operaciones, el “portador” ya viene dentro del nuevo archivo, lo que complica el rastro de procedencia.
Qué se observó en el experimento
El investigador Håkon Måløy describió una prueba de concepto donde un documento con instrucciones incorporadas llevó a Copilot a reescribir cifras en un informe. En su reporte, las cifras financieras se modificaron de forma consistente (en su caso, se redujeron a la mitad) durante una generación posterior.
Además, en la salida Copilot incluyó nuevamente el contenido de las instrucciones ocultas. No se trató solo de un “sesgo” silencioso: el texto de las órdenes apareció con un formato casi imperceptible para el humano (por ejemplo, como texto blanco y con un tamaño pequeño), sin que se mostraran cambios evidentes.
Por qué las instrucciones ocultas funcionan
El patrón del ataque se apoya en cómo Copilot interpreta el contexto que recibe. Según la explicación divulgada, Copilot lee archivos fuente para decidir qué debe aparecer en el borrador. Si el documento contiene instrucciones escondidas en el texto, el sistema puede confundirlas con requisitos legítimos de la solicitud del usuario.
Un punto técnico clave es que Word elimina color y tamaño de fuente antes de enviar el contenido al modelo grande del lenguaje. Eso crea un escenario en el que órdenes diseñadas para “no verse” en pantalla pueden resultar legibles para el modelo al momento de la inferencia.
En términos prácticos, la técnica usa dos componentes: uno modifica el documento, y otro instruye a Copilot para copiar y ocultar esas órdenes dentro del resultado generado, presentándolas como requisitos relacionados con seguimiento del origen o legibilidad.
Cómo se forma la cadena de ataque
La vulnerabilidad descrita no es de “clic cero” y tampoco se apoya en ejecutar malware convencional. Para reproducir el comportamiento, se necesita una operación de redacción o edición con Copilot, es decir, que el documento malicioso entre en el contexto que el asistente usa durante su generación.
El flujo requiere que el documento atacante sea incorporado como adjunto o como fuente seleccionada desde OneDrive mediante Work IQ, el motor de inteligencia asociado a Microsoft 365 Copilot. En una de las pruebas, Copilot buscó un reporte trimestral en OneDrive, encontró un análisis de mercado malicioso fuera de la carpeta de otros orígenes y lo incluyó en el borrador.
El paso final depende de que Work IQ considere relevante el archivo. Incluso cuando Copilot puede hallar contenido, no necesariamente lo incorpora: su criterio de relevancia sigue siendo parte de la cadena.
Qué cambia en la “siguiente sesión”
Un aspecto importante de la técnica es que no se propaga por sí sola. Cada “salto” necesita una nueva operación de Copilot donde el portador entra otra vez al contexto del modelo.
Sin embargo, cuando Copilot crea un documento interno a partir de las instrucciones, ocurre algo problemático: la fuente original ya no está presente cuando ese nuevo archivo entra en la siguiente sesión. Måløy argumenta que este corte en la trazabilidad de procedencia hace que sea más difícil detectar o investigar la manipulación posteriormente.
En la prueba que describió, con el documento malicioso original ausente y solo el informe Q1 infectado adjunto, Copilot generó un borrador Q2, alteró cifras y anexó de nuevo el prompt.
Clasificación y mitigaciones mencionadas
Según la cronología divulgada, Microsoft habría confirmado el comportamiento reportado y desplegado dos mitigaciones. La primera bloqueó el texto original del prompt. La segunda consistió en actualizar el modelo subyacente a una versión denominada GPT-5.5.
El investigador indicó que la cadena aún funcionó al día siguiente con instrucciones modificadas, también en un escenario con GPT-5.6. Con base en ello, concluyó que la clase de ataque seguiría siendo explotable en el momento de la publicación.
En las búsquedas públicas que se mencionan, no se identificó un CVE o una guía de seguridad independiente asociada específicamente a este hallazgo en repositorios consultados.
Qué NO es: malware tradicional
Conviene separar esta técnica de otros modelos de amenaza. Aquí no se reporta un incidente donde el ataque haya ocurrido en el mundo real, y tampoco se reveló la carga completa (payload). Tampoco se plantea como un mecanismo de ejecución autónoma.
El foco está en el comportamiento de Copilot: el modelo incorpora o reproduce instrucciones presentes en el contenido que analiza. Eso significa que el riesgo está ligado a la interacción entre documentos externos, los permisos de acceso a fuentes (por ejemplo, OneDrive) y las reglas de edición/redacción que usa Copilot.
Recomendaciones prácticas para equipos y usuarios
Måløy recomienda tratar los documentos externos como no confiables y revisar cuidadosamente los archivos adjuntos antes de iniciar una generación o edición con Copilot. También sugiere verificar cualquier documento producido o modificado por Copilot antes de reutilizarlo o compartirlo.
Desde una perspectiva operativa, tiene sentido adoptar estos hábitos:
- Revisa fuentes: antes de pedir una edición, confirma de qué archivos proviene la información que Copilot tomará como base.
- Valida cambios: comprueba cifras, tablas y conclusiones, especialmente cuando un documento “importa” datos de múltiples fuentes.
- Controla adjuntos: si trabajas con informes externos, refuerza el escrutinio antes de introducirlos en flujos con IA.
- Verifica el resultado: busca señales de texto raro o contenido que no debería aparecer (aunque esté oculto visualmente).
Capas de seguridad: lo que se sabe y lo que no
Microsoft indicó que existen clasificadores para bloquear prompts de alto riesgo, como los relacionados con jailbreak y con ataques de inyección entre prompts (XPIA). Aun así, se reconoce que esos clasificadores pueden no estar disponibles en todos los escenarios de Copilot.
También se mencionan salvaguardas en tiempo de ejecución asociadas a instrucciones inyectadas desde contenido “grounded”, y la posibilidad de inspección de correo entrante mediante Defender para Office 365. Sin embargo, ni Microsoft ni el investigador afirmaron si esta carga concreta sería detectada en cada capa.
Además, se remarca un punto conceptual: el investigador argumenta que los bloqueos específicos basados en payload no “alcanzan” toda la clase, porque el sistema debe procesar contenido controlado por el atacante para decidir si es malicioso. En esa inspección, el contenido del atacante participa en la propia evaluación.
Conclusión: seguridad no solo de prompts
Lo que se desprende del análisis es que las instrucciones ocultas Copilot pueden aprovechar la forma en que Word prepara el texto y en que Copilot decide qué parte del contenido usar en un borrador. El riesgo no se limita al “momento de escribir”: una vez que Copilot copia instrucciones al archivo interno, la siguiente sesión puede volver a amplificar el problema.
En consecuencia, la mejor defensa práctica combina criterios de confianza sobre documentos externos, revisión humana del contenido antes y después de usar Copilot, y políticas que ayuden a limitar la entrada de material no verificado en flujos de edición y redacción.
Fuente: https://thehackernews.com/2026/07/microsoft-copilot-for-word-can-copy.html
