Un gusano de IA de Copilot que se autopropaga mediante documentos de Word

• Una inyección de prompts entre dominios (XPIA) oculta en un documento externo de Word puede manipular los resultados de redacción y edición de Copilot y replicarse en documentos nuevos, propagándose por flujos de trabajo cotidianos incluso sin el documento de ataque original
• Copilot también lee instrucciones ocultas con texto blanco y fuente pequeña después de eliminar el formato; en los experimentos, modificó cifras financieras y ocultó todo el prompt de ataque al final del documento resultante, convirtiéndolo en un nuevo vector de ataque
• El atacante no necesita acceso al tenant de Microsoft 365 de la víctima; basta con compartir el documento por SharePoint, Teams u Outlook y lograr que el usuario lo adjunte o que Work IQ lo seleccione como material relevante en OneDrive
• Microsoft desplegó bloqueos para payloads específicos y actualizaciones del modelo, pero toda la cadena de ataque se reprodujo también en GPT-5.6 con prompts modificados, y ni siquiera tras 144 días de coordinación se logró bloquear toda la clase de vulnerabilidad
• Como los documentos infectados circulan como materiales internos o de socios aparentemente normales, rastrear el origen y detectarlos es difícil; se deben revisar los documentos externos y los resultados de Copilot, y preservar como metadatos el origen y el historial de ediciones del modelo

---

Cómo funciona un gusano de IA basado en documentos

• Cuando las instrucciones controladas por un atacante en un documento se copian en los resultados de generación o edición de Copilot, el documento resultante se convierte en un nuevo vector que transporta el mismo ataque
  • Si ese documento se usa como material para otra tarea de Copilot, las instrucciones se ejecutan de nuevo y se replican en documentos posteriores
  • La propagación puede continuar sin el documento malicioso original ni intervención adicional del atacante
• El trabajo previo Morris II demostró prompts autorreplicantes en un ecosistema de asistentes de correo con IA generativa
• Este caso corresponde a una demostración pública de autopropagación de un gusano de IA basado en documentos dentro de flujos de trabajo documentales comunes de un producto comercial de productividad de uso masivo

Ataque que aprovecha tareas documentales normales

• Un empleado descarga de un sitio web confiable comprometido un documento de análisis de mercado que contiene instrucciones ocultas y lo usa como material para que Copilot redacte un informe financiero
  • Copilot modifica cifras financieras internas y copia las instrucciones de ataque en el nuevo informe
  • El empleado guarda el informe, que parece normal, y lo comparte internamente
  • Si un colega usa ese informe como material para el siguiente, se repiten la manipulación de cifras y la copia de instrucciones
• Cuanto más se reutiliza el informe, más documentos se convierten en vectores de ataque, y el sitio web infectado y el primer documento malicioso dejan de ser necesarios

Modelo de amenaza y límites de confianza

• El atacante solo necesita compartir un documento malicioso, sin permisos de acceso al tenant de Microsoft 365 de la víctima
  • Las rutas de entrega incluyen SharePoint, Teams, Outlook y otros medios para compartir documentos
• El límite de seguridad clave está entre los materiales adjuntos y el documento que se está redactando
  • Copilot debe leer todos los documentos adjuntos para elegir qué información usar
  • Debe aprovechar la información de los documentos adjuntos, pero no tratar las instrucciones dentro de ellos como instrucciones autorizadas del usuario
• En la práctica, las instrucciones insertadas en el documento cambian el comportamiento de Copilot
  • Modifican números del informe financiero sin avisar al usuario
  • Pegan toda la XPIA en documentos posteriores para que se ejecute de nuevo en trabajos futuros

Cómo se cruza el límite de confianza en Word

• El documento malicioso inicial contiene un prompt en formato JSON, que puede ocultarse al usuario con letras blancas sobre fondo blanco y una fuente pequeña
• Copilot for Word elimina formatos como color y tamaño de fuente antes de enviar el texto al LLM subyacente, por lo que el contenido invisible para el usuario queda completamente legible para el modelo
• El ataque puede ocultarse aún más si las instrucciones se insertan en un documento normal que parezca relevante para la tarea
• Para que el documento malicioso entre en el contexto de Copilot, debe ocurrir una de estas opciones:
  1. El usuario adjunta o carga directamente el documento en Copilot for Word
  2. El usuario usa el modo work/Work IQ de Edit with Copilot, y Copilot elige ese documento de OneDrive al considerarlo material relevante
• El atacante debe estructurar el contenido para aumentar las probabilidades de que el documento se seleccione directamente o aparezca en los resultados de búsqueda
• Esta vulnerabilidad afecta tanto a magic pen como a Edit with Copilot en Word

Etapa 1: manipulación del documento y primera réplica

• La primera prueba de concepto (PoC) usó un documento que solo contenía un prompt malicioso en texto blanco, y confirmó que el ataque puede ejecutarse si el material entra en el contexto aunque no esté relacionado con la tarea
• El prompt de la PoC consta de dos partes
  • La primera manipula el documento objetivo cambiando sutilmente el sentido del resumen o modificando números en un documento financiero
    • La clave era lograr que Copilot creyera que se trataba de una solicitud normal relacionada con la tarea
    • Durante los experimentos, era difícil detectar visualmente cambios significativos, por lo que incluso se agregó una instrucción aparte para resaltar las partes modificadas
    • En un ataque real no se pediría marcar los cambios; el caso público usa modificaciones de cifras financieras fáciles de verificar de inmediato
  • La segunda parte indica copiar el prompt de ataque en el documento resultante
    • Lo disfraza como una tarea de rastreo del origen de documentos posteriores y también da instrucciones para ocultarse con el pretexto de mejorar la legibilidad
• Al insertar el ataque en texto blanco al final de un documento de análisis de mercado de una empresa ficticia llamada Tfosorcim Ltd., Copilot redujo a la mitad todas las cifras del informe financiero del Q1
• Luego copió todo el prompt malicioso al final del documento resultante en texto blanco de 8 puntos, sin avisar al usuario sobre el cambio de cifras ni sobre la inserción del prompt
• Incluso cuando el usuario no adjuntó directamente el documento malicioso y solo pidió redactar el informe Q1 de Tfosorcim, Copilot buscó en OneDrive, encontró el documento malicioso de análisis de mercado en otra carpeta y el ataque tuvo éxito
• Esta PoC usó el modelo más reciente en ese momento, GPT-5.6

Etapa 2: autopropagación a documentos posteriores

• Como el propio informe Q1 infectado se convierte en un nuevo vector de ataque, en la siguiente sesión de redacción ya no hace falta el documento malicioso inicial
• Al adjuntar el informe Q1 para crear el informe Q2, Copilot volvió a reducir a la mitad todas las cifras financieras y copió todo el prompt en texto blanco
• El nuevo vector obtiene la confianza asociada a los documentos internos, porque fue creado como un recurso interno legítimo
  • Si la víctima comparte el documento con colegas y ella misma o sus colegas lo usan como material de redacción o edición de Copilot, el ataque se propaga a nuevos documentos
• En todas las PoC reportadas, Copilot modificó documentos y copió las instrucciones ocultas; al poner documentos infectados en contextos posteriores, el ataque volvió a ejecutarse sin el original

Impacto en organizaciones y entornos colaborativos

• Tras el punto de entrada inicial, los documentos infectados parecen materiales generados normalmente dentro de la organización y no muestran un historial aprobado de ediciones de Copilot, lo que hace muy difícil el rastreo del ataque
• Si se propaga silenciosamente mediante tareas documentales comunes, puede degradar la confiabilidad de la base de información usada para la toma de decisiones de la organización
• Una organización que no sabe que está infectada puede transferir documentos a otras organizaciones mediante sitios compartidos de SharePoint o colaboración en Teams
  • El documento inicial de ataque contra una organización concreta también puede provenir de un socio confiable que ya está infectado
  • La confianza en documentos de socios aumenta la probabilidad de que el usuario los incluya en el contexto de Copilot
• Si Copilot se integra más profundamente en sistemas que generan y manipulan automáticamente documentos, herramientas y flujos de colaboración, como Microsoft Cowork o Microsoft Scout, el mismo mecanismo puede afectar una superficie más amplia a velocidad de máquina

Mitigaciones de Microsoft y vulnerabilidades restantes

• Microsoft bloqueó el prompt de la PoC presentada inicialmente y desplegó varias correcciones durante el periodo de divulgación coordinada
  • El payload específico reportado fue bloqueado, por lo que las reproducciones posteriores requirieron payloads modificados en lugar de la redacción original
  • Las rutas de ataque por memoria y cuerpo de correos tratadas en la parte 1 y la parte 2 de la serie fueron mitigadas
• Sin embargo, la clase de vulnerabilidad en la que instrucciones del documento fuente alteran la salida de Copilot y se replican a documentos posteriores sigue presente
  • Aunque se cambie la tarea solicitada o la redacción, la vulnerabilidad básica y el método de propagación no cambian
  • Incluso con todas las mitigaciones desplegadas aplicadas, toda la cadena de ataque se reprodujo usando payloads modificados
• Este problema es una debilidad estructural compartida por los sistemas actuales basados en LLM, y no se ha identificado un método para bloquear por completo esta clase en productos comparables
• Es un problema que requiere más investigación más que un parche único, pero las correcciones de Microsoft redujeron de forma sustancial la exposición posible

Estado de la divulgación y respuesta para usuarios

• Se coordinó la divulgación con MSRC y los equipos de producto de Microsoft, entregando pasos de reproducción, videos, supuestos del entorno y el prompt exacto de la PoC
• El periodo inicial de coordinación de 90 días se extendió dos veces, para un total de 144 días de respuesta, pero el ataque seguía siendo reproducible al momento de la publicación
• Dos mitigaciones, incluida una actualización del modelo, no lograron bloquear toda la clase de vulnerabilidad, por lo que se publica a nivel del tipo de ataque y el mecanismo de propagación, no de payloads concretos
• Al momento de la publicación no existe una forma del lado del cliente para resolver completamente el problema, pero las siguientes acciones pueden reducir la exposición:
  1. Tratar los documentos de fuentes externas usados por Copilot como material no confiable
  2. Revisar los documentos adjuntos antes de iniciar generación o edición con Copilot
  3. Verificar cuidadosamente los documentos generados o editados por Copilot antes de reutilizarlos, compartirlos o distribuirlos

Cronograma de divulgación coordinada

• 6 de marzo de 2026: se envió el primer reporte a MSRC con pasos de reproducción, videos, supuestos del entorno y el prompt de la PoC
• 9 de marzo: MSRC recibió el reporte y abrió el caso
• 31 de marzo: Microsoft confirmó el comportamiento y el equipo de producto inició el trabajo de mitigación
• 3 de abril: se desplegó la primera mitigación mediante la nueva experiencia Edit with Copilot
• 9 de abril: se confirmó el bloqueo del prompt de ataque existente, pero el ataque se reprodujo con una nueva tarea XPIA que manipulaba cifras financieras y se reportó como un caso separado
• 10 de abril: MSRC recibió el nuevo caso y el equipo de producto inició el trabajo de mitigación
• 8 de junio: a pedido de Microsoft, la publicación se pospuso al 15 de julio
• 14 de julio: se desplegó una segunda mitigación que actualizaba el modelo base a GPT-5.5
• 15 de julio: se logró reproducir el ataque, incluida la propagación del gusano, en GPT-5.6, el modelo más reciente en ese momento
  • Para dar tiempo a una nueva mitigación, la publicación se volvió a posponer al 28 de julio, con acuerdo de Microsoft
• 28 de julio: se realizó la divulgación coordinada mientras el ataque seguía siendo reproducible

Integridad de la información y rastreo de procedencia

• A medida que los LLM se incorporan a operaciones de negocio, la integridad de la información emerge como un problema de seguridad clave
• El contenido controlado por atacantes no solo puede manipular resultados individuales o provocar filtraciones de información, sino también replicarse y autopropagarse siguiendo tareas normales de los usuarios
• Las instrucciones maliciosas incluidas en contenido generado permanecen en varios documentos, son redistribuidas por usuarios legítimos y vuelven a ingresar en nuevos contextos
  • Los ataques posteriores ya no son el punto de entrada inicial, sino parte del flujo interno de información del sistema
• El contenido creado mediante procedimientos normales de generación y edición dificulta confirmar posteriormente el origen de la manipulación, complicando la detección y la respuesta
• Más allá de bloquear la inyección de prompts, los documentos generados deben preservar en metadatos la procedencia de los materiales fuente y el historial de ediciones realizadas por el modelo
  • Este control no impide la inyección en sí, pero puede mejorar la trazabilidad

El problema fundamental de la arquitectura actual de LLM

• Para que un asistente de IA sea útil, debe procesar también información que puede estar controlada por atacantes, como correos, documentos, páginas web, memoria y salidas de herramientas
• La información externa entra en la misma ventana de contexto que las instrucciones del sistema, las solicitudes del usuario y otra información confiable, y participa en el mismo cálculo
• El LLM debe determinar el significado, la relevancia y el carácter malicioso o no del contenido externo, pero para cuando toma esa decisión los tokens del atacante ya están influyendo en el cálculo
  • El contenido inspeccionado participa en el propio acto de inspección
  • Encargar al modelo la detección de XPIA es similar a pedirle a un intérprete que ejecute un programa no confiable para decidir si es seguro
• Detectar y eliminar contenido malicioso antes de que llegue al modelo objetivo solo desplaza el mismo problema a una etapa anterior
  • Un LLM puede reconstruir significado a partir de expresiones muy distintas, por lo que el detector necesita una capacidad similar de reconstrucción semántica
  • Un detector más débil que el LLM objetivo cubre un espacio de expresiones más estrecho, dejando expresiones maliciosas que el objetivo entiende pero el detector no capta
• La tecnología general que ofrece una capacidad comparable de procesamiento semántico es otro LLM, por lo que agregar un modelo al frente puede reducir la tasa de éxito de ataques individuales, pero crea el problema de LLMs all the way down, en el que también hay que proteger cada modelo defensivo
• A largo plazo se necesitan diseños de sistemas en los que objetivos e intenciones existan de forma independiente de la información procesada
  • La arquitectura actual de LLM no cuenta con un mecanismo para separar de forma estable intención e interpretación
  • La información del atacante puede influir no solo en la salida del modelo, sino también en la propia tarea que el modelo cree que se le pidió realizar
• Los sistemas que integran LLM en flujos de trabajo confiables deben partir del supuesto de que, cuando contenido controlado por atacantes entra en el contexto, se producirá una comprometida en cierta proporción

[GN⁺]

Opiniones en Hacker News

• Dicen que “no existe una mitigación sólida para clases de vulnerabilidades más amplias”, y ya parece evidente que no se podrá corregir este problema mientras no se deje de mezclar instrucciones y datos

  • Estos modelos arrastraban vulnerabilidades de seguridad desde el principio, pero parece que a los usuarios en general no les importa mucho su impacto. En especial, darle a un agente de IA acceso total al sistema sin límites es un problema grave
    Parece que harán falta más filtraciones de datos para que la industria de la IA tome conciencia, y si alguien decidió ponerse en manos de Anthropic u OpenAI, ya sabía qué riesgos estaba asumiendo, así que cuesta sentir mucha simpatía
  • Es como haber vuelto a la arquitectura de von Neumann de la peor manera posible
  • Incluir niveles de privilegio de instrucciones en los datos de entrenamiento quizá podría ayudar, aunque sea de forma imperfecta. Como el modelo en sí es probabilísticamente ambiguo, es difícil esperar algo mejor
  • En un sistema de inteligencia general que procesa contenido infinitamente variado, dudo que sea posible separar de verdad instrucciones y datos
  • Parece cierto que no se puede arreglar dentro de la arquitectura LLM, y por ahora tampoco hay una alternativa claramente competitiva para uso a gran escala
    No es solo un problema de mezclar instrucciones y datos; como los LLM no pueden distinguir límites de forma determinista, establecer fronteras se parece más a un consuelo psicológico y apenas dificulta un poco algunos ataques. En esta arquitectura, la tríada fatídica es un problema permanente

• La situación se pondrá mucho peor antes de mejorar, y darles demasiado acceso a los agentes es absurdo
  Es fácil imaginar un comentario en un repositorio popular de GitHub que no contenga código, sino solo la instrucción de “reproducir el bug”. Podría robar tarjetas de crédito o billeteras de Bitcoin, y autopropagarse a otros repositorios a través de la cuenta de GitHub

  • Antes de ChatGPT, cuando escuchaba discusiones sobre el riesgo existencial de la IA y el aislamiento, pensaba que bastaba con ignorar por principio el razonamiento que produjera la IA y así se la podía sacar de la caja sin problema
    Pero mucha gente, en vez de abrir la caja pese al poder aterrador de la IA, la está rompiendo incluso antes de que produzca nada precisamente por ese poder. Así que solo queda esperar que la auto-mejora recursiva no funcione como imaginaban los catastrofistas
  • En los “agentes de IA” no hay ni la ‘s’ de seguridad

• Es grave que instrucciones maliciosas ocultas en documentos compartidos externamente puedan hacer que Copilot modifique documentos de Word y propague el ataque a nuevos documentos

  • Mezclar instrucciones y datos siempre es una mala idea, y yo creía que eso ya lo entendía todo el mundo
  • Algunos modelos son más robustos que otros. He intentado hacer que Opus-5 ejecute instrucciones ocultas mediante esteganografía en imágenes, pero encontrar un payload que funcione de forma estable es muy difícil
  • La desinformación expuesta en documentos compartidos externamente puede hacer que Copilot, así como cualquier sistema de agentes, LLM o inteligencia humana, modifique documentos en Word u otros programas, o incluso en papel, y propague errores a nuevos documentos
    Mucha gente todavía cree en la Tierra plana, o en que el código y los datos son fundamentalmente distintos, o en que la distinción entre plano de control y plano de datos es una ley objetiva aplicable a todo el universo

• Soy programador y usuario de IA basada en la web, pero no quiero ejecutar IA en mi computadora local de ninguna forma. Por las razones tratadas en este artículo, desinstalé Copilot y desactivé la IA en todas las aplicaciones locales, incluido el navegador
  La IA no puede distinguir entre el prompt del usuario y el texto dentro de los archivos, así que no hay forma de proteger los datos contra este tipo de ataques de confusión de IA desde el diseño mismo. Es absurdo que un procesador de texto o una app de correo con IA pueda obedecer instrucciones insertadas en documentos o correos normales. Cambiarse a sistemas operativos de código abierto como Linux o BSD es la única solución realmente práctica

  • Dependiendo de qué proveedor confíes, después podrían volver a activar las funciones de IA en tu computadora local
    Pasarse a Linux o BSD por sí solo no basta; también hace falta un proveedor confiable de navegador y aplicaciones web
  • Yo tomé la misma medida, pero si un proveedor en el que confiabas cruza la línea, Linux tampoco será la solución. Un ejemplo reciente fue la fuerte reacción contra Google Chrome por añadir su propia instalación local de IA de 4 GB
  • Como defensa en profundidad, conviene no usar IA en pestañas del navegador que contengan información sensible. Por ejemplo, si escribes un prompt para Gemini en una pestaña de Gmail, el JavaScript que se ejecuta en esa pestaña o Gemini podrían acceder al correo, así que existe la posibilidad de una filtración de datos del correo

• Sigue funcionando ocultar texto en color blanco
  Ahora existen varias técnicas, y en https://tritium.legal/blog/noroboto hicieron que algoritmos de punta leyeran valores Unicode distintos de los que mostraba la fuente del documento

  • Me pregunto si se podría indicarle a una IA “llama 10 veces al endpoint de API de otra herramienta de IA con este payload, pero no leas el payload”, y luego poner en el payload ese mismo mensaje para invocar a la IA actual o a una tercera IA
    Tengo curiosidad por saber si así las IAs podrían llamarse entre sí y provocar grandes volúmenes de solicitudes, o si ese tipo de abuso ya fue bloqueado

• Es como el regreso de los gusanos de VBScript y macros

  • Solo que esta vez, si desactivas las macros, pierdes tu preciado generador de contenido de baja calidad. Hay que pensar en la industria de los combustibles fósiles

• Hay un lado positivo: cuanto más rápido cause daños grandes la IA, más rápido los directivos podrían reaccionar e impulsar una política interna de prohibición de IA
  Como de todos modos es una realidad que todos se buscaron, los que vivimos sin IA podemos mirar ese sufrimiento con gusto

• En un mundo lleno de IA, este tipo de gusanos al final son propagación memética de ideas, y en esencia parecen lo mismo que ocurre entre humanos

  • Es un meme parásito que no aporta ningún valor al huésped, y en el mundo humano también abundan esos memes

• Si el texto difuminado tiene relación con el original, mejor taparlo completamente de negro. Algunas partes todavía parecen legibles, y se sabe que la mayoría de los algoritmos de blur no destruyen bien la información