Un malware oculto en Word puede engañar a la IA de Microsoft para alterar tus documentos en secreto
Copilot procesa estas órdenes sin notificar ni alertar sobre los cambios realizados
El investigador de seguridad Håkon Måløy ha demostrado cómo un malware oculto en documentos de Word puede inducir a la inteligencia artificial de Microsoft a modificar archivos de manera secreta.
Así funciona el engaño: instrucciones ocultas e inteligencia artificial
La técnica, expuesta por Måløy como parte de la serie Context Collapse, se sustenta en el uso de instrucciones escritas como texto blanco sobre fondo blanco en archivos de Microsoft Word. Este método pertenece a la familia de ataques conocida como cross-domain prompt injection (XPIA).
El proceso inicia cuando un atacante inserta indicaciones en lenguaje natural que quedan ocultas a simple vista. Al compartir el archivo, Copilot elimina el formato visual al analizar el texto, lo que permite que el modelo de lenguaje lea y ejecute instrucciones que el usuario no percibe.
El riesgo se incrementa debido a que el ataque puede activarse incluso si el usuario no abre el archivo de manera intencional. Basta con que el documento malicioso esté disponible en OneDrive y que Copilot lo seleccione de manera automática mientras busca información relevante en modo Work IQ.
El ataque descrito por Måløy presenta un mecanismo de propagación inusual: el documento original incluye dos instrucciones ocultas. La primera ordena a Copilot alterar el contenido generado (como reducir a la mitad todas las cifras financieras de un informe trimestral).
La segunda le pide copiar esas mismas instrucciones al nuevo documento, ocultas bajo pretextos como formateo de legibilidad o rastreo de fuentes. De este modo, el nuevo archivo que recibe otro usuario contiene el mismo malware invisible, perpetuando la vulnerabilidad.
Este procedimiento no genera alertas ni notificaciones para el usuario, ya que Copilot realiza ambas acciones en silencio, sin mencionar los cambios ni la presencia de instrucciones adicionales.
Respuesta de Microsoft y limitaciones en las soluciones
La cronología del descubrimiento refleja las dificultades para mitigar el problema. Måløy reportó la vulnerabilidad al Microsoft Security Response Center (MSRC) el 6 de marzo de 2026. La empresa reconoció el fallo el 31 de marzo y desplegó una primera solución en abril, reconfigurando la función Edit with Copilot. El parche bloqueó la redacción original del ataque, pero Måløy logró eludirlo con una redacción distinta en la misma semana, lo que llevó a una segunda investigación interna.
El 14 de julio, Microsoft actualizó el modelo subyacente a GPT-5.5 como segunda medida. Las pruebas de Måløy con GPT-5.6 evidenciaron la persistencia de la vulnerabilidad, llevando al investigador a conceder dos semanas adicionales para un nuevo intento de corrección. Hasta la fecha de divulgación, el problema seguía sin solución definitiva.
En una declaración compartida con The Register, Microsoft indicó: “Hemos abordado los hallazgos reportados por el investigador y agradecemos su colaboración a través del proceso de divulgación coordinada. Para gestionar este tipo de riesgos, utilizamos una estrategia de defensa en profundidad con salvaguardas en múltiples puntos que bloquean instrucciones maliciosas y ayudan a mantener las tareas alineadas con las solicitudes de los usuarios”.
“Seguimos fortaleciendo estas medidas a medida que evoluciona la tecnología y el panorama de amenazas. Recomendamos a los clientes instalar las actualizaciones más recientes, emplear capas múltiples de protección y tratar con precaución cualquier contenido de fuentes desconocidas”, prosiguió el comunicado.
Riesgos extendidos y recomendaciones
El desafío supera el ámbito de Microsoft Word. Según explicó Måløy, cualquier asistente de inteligencia artificial que deba analizar contenido no confiable enfrenta el riesgo de ser manipulado: “El contenido que se inspecciona participa activamente en el acto de inspección”. Esto implica que las instrucciones ocultas pueden influir el comportamiento del modelo antes de que se determine si son maliciosas o no.
Måløy sugiere tratar cualquier documento externo como potencialmente peligroso al utilizar Copilot, revisar los archivos adjuntos antes de iniciar una redacción asistida y comprobar cuidadosamente el resultado generado por la IA antes de compartirlo o reutilizarlo.
Recomienda además que los documentos generados incluyan metadatos de procedencia que permitan rastrear tanto el material original como las ediciones del modelo, lo cual facilitaría la detección a posteriori de infecciones, aunque no evitaría el ataque inicial.
La expansión de Copilot y otras herramientas similares hacia productos que generan y manipulan documentos con menor intervención humana amplía el alcance de amenazas como la descrita por el investigador. No existe todavía una solución integral para este tipo de vulnerabilidad y el riesgo de propagación entre usuarios y flujos de trabajo permanece vigente, mientras la industria busca respuestas más robustas.
