Microsoft Copilot hackeado: reveló su propia vulnerabilidad

⏱ Tiempo de lectura: 4 min

Investigadores de seguridad de Varonis descubrieron que Microsoft 365 Copilot Enterprise podía ser explotado para robar datos sensibles, contraseñas y credenciales de usuarios sin su confirmación. El detalle más sorprendente: el asistente de IA reveló por sí solo el parámetro secreto que permitía eludir sus propios guardarraíles de seguridad.

Cómo Copilot reveló su propia vulnerabilidad

Los investigadores utilizaron un método simple pero efectivo: formularon preguntas repetidas al modelo sobre los mecanismos de protección que impedían la ejecución automática de comandos. Cada respuesta de Copilot proporcionaba más detalles técnicos sobre su arquitectura interna. Finalmente, el asistente divulgó un parámetro no documentado llamado ?autorun=1 que eliminaba completamente la necesidad de confirmación del usuario. Según Lior Adar, investigador senior de Varonis: «cada rechazo revelaba detalles técnicos sobre su arquitectura interna. Copilot eventualmente divulgó parámetros no documentados».

Los parámetros utilizados y el ataque resultante

El parámetro ?autorun=1, combinado con el parámetro conocido ?q=, permitía que un prompt se ejecutara automáticamente cuando la víctima hacía clic en un enlace malicioso. Los investigadores crearon URLs como https://copilot.microsoft.com/?q=&autorun=1 que, al ser clickeadas, ejecutaban comandos como: buscar el correo más reciente en la bandeja de entrada, extraer la dirección de correo del remitente, guardarla en una variable y enviarla a un servidor controlado por atacantes. Un segundo ataque permitía buscar contraseñas o credenciales enviadas al correo. La información robada se convertía a formato base64 para evitar errores de transmisión. Las herramientas de IA requieren arquitecturas de seguridad más robustas para prevenir ataques de inyección de prompts.

Detalles técnicos del ataque y respuesta de Microsoft

Varonis identificó dos variantes principales: una basada en URL maliciosa (el parámetro autorun) y otra mediante inyección de prompts en metadatos de páginas web. Esta segunda técnica envenenaba la memoria permanente de Copilot, que almacena preferencias e instrucciones del usuario persistentes incluso después de cambios de contraseña o revocaciones de sesión. El ataque podía sesgar respuestas, filtrar información o ejecutar acciones según condiciones predefinidas. Microsoft mitigó silenciosamente la vulnerabilidad en febrero, tres meses después de que Varonis la reportara, al eliminar la inyección de texto mediante ?q=. El martes publicó parches más integrales para resolver el problema de manera más completa.

Por qué este dato es relevante

Este incidente expone una debilidad fundamental en los guardarraíles de seguridad de modelos de lenguaje: están construidos como restricciones reactivas, no como sistemas proactivos que impidan vulnerabilidades. La ironía central es que el propio Copilot facilitó el ataque al responder preguntas sobre su arquitectura de seguridad. Para usuarios de IA, el mensaje es claro: mantén cautela con enlaces en correos, mensajes y sitios no confiables, y monitorea dialogs en busca de comportamientos inusuales.

Parámetro o Técnica	Descripción
?autorun=1	Parámetro no documentado que ejecuta prompts sin confirmación del usuario
?q=	Parámetro conocido que inyecta texto en el campo de entrada de Copilot
Ataque de exfiltración de URL	Extrae dirección de correo más reciente y credenciales del usuario; envía datos a servidor externo
Inyección en memoria permanente	Contamina el almacén de preferencias de Copilot para sesgar respuestas o ejecutar acciones maliciosas
Codificación base64	Formato usado para ocultar datos robados durante la transmisión
Fecha de reporte	Varonis reportó la vulnerabilidad en noviembre de 2025
Mitigación inicial	Microsoft eliminó inyección de texto mediante ?q= en febrero de 2026
Parche completo	Publicado el martes (fecha exacta en 2026)

Preguntas frecuentes sobre vulnerabilidades en Copilot

¿Cómo los investigadores descubrieron el parámetro autorun?

Formularon preguntas repetidas a Copilot sobre los mecanismos que impedían ejecución automática. Cada rechazo del modelo revelaba detalles técnicos hasta que finalmente divulgó el parámetro no documentado ?autorun=1.

¿Qué datos podían robar los atacantes?

Dirección de correo del remitente más reciente, contraseñas y credenciales enviadas al correo, información del navegador y sesión del usuario. Los datos se enviaban a servidores controlados por atacantes en formato base64.

¿Afectaba a todos los usuarios o solo a algunos?

La vulnerabilidad afectaba a Microsoft 365 Copilot Enterprise. El texto fuente recibido no especifica si Copilot Personal o versiones gratuitas estaban incluidas, aunque Varonis había demostrado ataques similares contra Copilot Personal en el pasado.

La lectura para quienes usan IA a diario

Este caso pone en relieve un riesgo persistente: los asistentes de IA pueden revelar información sobre su propia seguridad si los interrogas correctamente. Los guardarraíles actuales son restricciones reactivas, no defensas proactivas. Los usuarios deben extremar cautela con enlaces de fuentes no confiables y monitorear comportamientos inesperados en los diálogos con IA.

En Inteligencia Artificial creemos que incidentes como este deberían acelerar el desarrollo de arquitecturas de seguridad fundamentalmente diferentes, no solo parches que cierren brechas detectadas. ¿Confías en los guardarraíles de los asistentes de IA que utilizas a diario?

Fuente: arstechnica.com