Un reciente hallazgo técnico ha puesto en alerta a la comunidad de ciberseguridad al identificar el primer gusano de inteligencia artificial capaz de propagarse a través de documentos de Microsoft Word. El analista de datos Håkon Måløy ha demostrado cómo un atacante puede insertar instrucciones ocultas en un archivo aparentemente inofensivo para manipular el comportamiento de Microsoft Copilot.
Lo que hace que este descubrimiento sea especialmente preocupante es su capacidad de autorreplicación, ya que la IA no solo obedece las órdenes maliciosas, sino que también las copia de forma invisible en cada nuevo documento que genera o edita. Este ciclo crea una cadena de infección que se mueve a través de los flujos de trabajo habituales de una empresa sin necesidad de intervención directa del atacante tras el primer contacto.
El descubrimiento se produce tras 144 días de trabajo coordinado con Microsoft, periodo durante el cual se intentaron diversas soluciones sin lograr cerrar por completo esta clase de vulnerabilidad, lo que subraya la complejidad técnica de proteger los sistemas basados en modelos de lenguaje actuales.
¿Qué es el gusano de IA y cómo funciona?
Este fenómeno técnico se encuadra dentro de lo que los expertos denominan ataques de inyección de prompts indirectos (XPIA, por sus siglas en inglés). En esencia, el ataque aprovecha la forma en que los asistentes de inteligencia artificial procesan la información externa para realizar sus tareas. Cuando un usuario le pide a Copilot que redacte un informe basándose en otros archivos, la IA lee todo el contenido disponible, incluyendo las instrucciones ocultas que un atacante pudo haber insertado previamente en uno de esos documentos de origen.
El mecanismo de engaño es ingenioso por su sencillez, ya que utiliza texto escrito en color blanco sobre fondo blanco y un tamaño de fuente extremadamente pequeño. Aunque un ojo humano es incapaz de detectarlo al abrir el archivo en Word, Copilot elimina todo el formato visual antes de enviar el texto al modelo de lenguaje subyacente. De este modo, las instrucciones maliciosas, que suelen estar formateadas en código JSON para ser más efectivas, resultan perfectamente legibles para el motor de la IA, que las interpreta como órdenes legítimas del usuario.
El proceso ocurre en dos etapas críticas. En la primera, el atacante logra que su documento malicioso sea incluido en el contexto de trabajo de Copilot. Esto puede suceder porque el usuario adjunta el archivo manualmente o porque la función de búsqueda automática de la herramienta lo localiza en OneDrive. En la segunda etapa, el gusano se activa para autopropagarse, ordenando a la IA que pegue el mismo código de ataque, de nuevo en texto invisible, al final del nuevo documento que el usuario está creando en ese momento.
Por qué este hallazgo cambia nuestra forma de usar la IA
La implicación más grave de este descubrimiento es la erosión de la confianza en los documentos internos de una organización. Hasta ahora, el riesgo solía asociarse a archivos provenientes de internet o de remitentes desconocidos. Sin embargo, este gusano de IA convierte documentos legítimos creados por compañeros de trabajo en portadores de la infección. Si un empleado utiliza un informe previo infectado como base para un nuevo documento mediante Copilot, el nuevo archivo también quedará comprometido, expandiendo el ataque de forma exponencial.
En las pruebas realizadas por el investigador, se demostró cómo el sistema podía alterar cifras en informes financieros de forma silenciosa. Por ejemplo, en una de las simulaciones, Copilot redujo a la mitad todos los valores numéricos de un informe trimestral sin avisar al usuario de los cambios realizados. Este tipo de manipulaciones son difíciles de detectar incluso para un revisor atento, ya que el contenido parece haber sido redactado siguiendo las pautas habituales del asistente, manteniendo un tono profesional y coherente.
Además, la trazabilidad del ataque se vuelve casi imposible una vez que entra en la red corporativa. Dado que cada nuevo documento infectado es generado por una cuenta de usuario legítima y mediante herramientas oficiales, no hay señales de alerta tradicionales que indiquen una intrusión externa. Esta característica permite que el ataque persista en el tiempo y se redistribuya continuamente a través de plataformas colaborativas como SharePoint o Microsoft Teams, donde el intercambio de archivos es constante.
- Los documentos creados por la IA pueden contener instrucciones invisibles que alteran datos críticos.
- La infección se propaga sin que el atacante original tenga acceso directo al entorno de la víctima.
- El uso de modelos avanzados como GPT-5.6 no ha impedido que el ataque siga siendo efectivo.
- Las medidas de seguridad actuales se centran en bloquear frases específicas, pero no la estructura del ataque.
Contexto del descubrimiento: 144 días de trabajo con Microsoft
El investigador Håkon Måløy, autor del blog En Klype Salt, inició un proceso de divulgación coordinada con el centro de respuesta de seguridad de Microsoft en marzo de 2026. Durante casi cinco meses, ambas partes colaboraron para intentar mitigar el problema. Microsoft implementó varias actualizaciones de seguridad y mejoras en la experiencia de edición con Copilot, logrando bloquear algunas de las formas específicas en que se redactaba el ataque original.
A pesar de estos esfuerzos, el investigador descubrió que la vulnerabilidad de clase permanecía abierta. Al modificar ligeramente las palabras del ataque o el objetivo de la manipulación, Copilot volvía a ejecutar las órdenes ocultas y a propagarlas. Incluso la actualización del modelo subyacente a versiones más recientes no logró solucionar el problema de raíz, lo que llevó a Måløy a hacer pública la información para que las empresas puedan tomar medidas preventivas por su cuenta.
Por su parte, Microsoft ha agradecido la colaboración del experto y ha recordado la importancia de mantener una estrategia de defensa en capas. La compañía recomienda a sus clientes tratar con precaución los materiales de fuentes desconocidas y revisar cuidadosamente cualquier contenido generado por IA antes de distribuirlo. Puede consultarse más información técnica sobre la gestión de este tipo de incidentes en el portal oficial del Centro de Respuesta de Seguridad de Microsoft.
¿Qué significa esto para el futuro?
Este hallazgo revela una debilidad estructural en el diseño de los sistemas de IA actuales. El problema fundamental reside en que los modelos de lenguaje no distinguen entre las instrucciones del sistema, las peticiones del usuario y los datos que están procesando. Cuando un modelo lee un documento para resumirlo, los datos que encuentra en él participan en el mismo proceso de computación que sus normas de funcionamiento. Es como pedirle a un intérprete que ejecute un programa desconocido para saber si ese programa es seguro, en el momento en que lo lee, el código ya está influyendo en su pensamiento.
A corto plazo, la solución no parece estar en un parche de software convencional, sino en un cambio en la forma en que interactuamos con estas herramientas. Hasta que se diseñen arquitecturas que separen claramente la intención del procesamiento de datos, cualquier sistema que integre un modelo de lenguaje en flujos de trabajo automáticos deberá asumir un cierto nivel de riesgo. La recomendación para los usuarios es clara, considerar los documentos externos como no confiables y verificar siempre que los resultados de la IA coincidan con los datos originales, especialmente en tareas críticas como la contabilidad o la gestión de informes estratégicos.
La fotografía de representación de este artículo pertenece a Imam Fadly y ha sido publicada en Unsplash
