El investigador de seguridad Håkon Måløy reveló una técnica que permite que Microsoft 365 Copilot para Word siga instrucciones ocultas en un documento, modifique datos y luego copie esas instrucciones al archivo de salida. La divulgación se produjo el 28 de julio, 144 días después de notificar a Microsoft.
En su prueba de concepto, Måløy demostró que un documento generado internamente podía desencadenar el mismo comportamiento cuando se usaba en una segunda sesión de redacción con Copilot. Según su cronología, Microsoft confirmó el comportamiento el 31 de marzo y desplegó dos mitigaciones: bloquear el texto original de la instrucción y actualizar el modelo subyacente a GPT-5.5.
Måløy indicó que la cadena completa funcionó con instrucciones modificadas en GPT-5.6 al día siguiente, y que la clase de ataque seguía reproduciéndose el 28 de julio. 'Por lo tanto, la clase de vulnerabilidad sigue siendo explotable en el momento de la publicación', afirmó.
El ataque no es de un solo clic ni ejecuta malware convencional. Requiere una operación de redacción o edición con Copilot, y el documento malicioso debe ingresar al contexto del modelo como archivo adjunto o como fuente de OneDrive seleccionada por Work IQ, el motor de inteligencia detrás de Microsoft 365 Copilot.
La divulgación no reporta explotación en entornos reales, y Måløy no ha publicado la carga útil completa. Recomienda tratar los documentos externos como no confiables, revisar los archivos adjuntos antes de iniciar una generación o edición, y verificar los archivos generados o editados por Copilot antes de reutilizarlos o compartirlos.
La cadena de ataque aprovecha el texto del documento y el comportamiento de redacción de Copilot. Copilot lee los archivos fuente para decidir qué incluir en un borrador y puede confundir las instrucciones dentro de ellos con parte de la solicitud del usuario. En la prueba de concepto, redujo a la mitad todas las cifras financieras, copió la instrucción completa en la salida en texto blanco de ocho puntos y no informó ningún cambio.
Måløy explicó que Word elimina el color y el tamaño de fuente antes de enviar el texto del documento al modelo de lenguaje grande, dejando las instrucciones en blanco sobre blanco legibles para el modelo. Una parte de la carga útil alteraba el documento; la otra indicaba a Copilot que copiara y ocultara las instrucciones, enmarcando esos comandos como requisitos de seguimiento de fuente y legibilidad.
Microsoft señala que Word puede basar un borrador en hasta 20 archivos, correos electrónicos o reuniones, y que la función Editar con Copilot puede usar Work IQ. En la prueba de Måløy, Copilot buscó en OneDrive un informe trimestral, encontró el análisis de mercado malicioso fuera de la carpeta que contenía las otras fuentes y lo incluyó. Work IQ consideró el archivo relevante.
Con el documento malicioso original ausente y solo el informe del primer trimestre infectado adjunto, Copilot redujo a la mitad las cifras en un borrador del segundo trimestre y añadió nuevamente la instrucción. El nuevo portador era un documento común generado internamente. La cadena no se propaga por sí sola: cada salto requiere otra operación de redacción o edición con Copilot en la que el portador ingrese al contexto del modelo.
El formato oculto es solo el punto de entrada. Una vez que Copilot copia las instrucciones en un documento generado internamente, la fuente original ya no está presente cuando ese archivo ingresa a la siguiente sesión. Måløy argumenta que esta ruptura en la cadena de procedencia hace que la manipulación sea más difícil de rastrear.
Al momento de la publicación, The Hacker News no encontró ningún CVE público ni aviso independiente de Microsoft para este hallazgo en las bases de datos NVD, CVE.org y la Guía de actualizaciones de seguridad de Microsoft. Microsoft afirma que los clasificadores de jailbreak y ataques de inyección de instrucciones entre indicaciones (XPIA) ayudan a bloquear instrucciones de alto riesgo, aunque pueden no estar disponibles en todos los escenarios de Copilot.
Defender for Office 365 añade inspección de flujo de correo para correos entrantes. Microsoft describe las salvaguardas en tiempo de ejecución de Copilot como cobertura de instrucciones inyectadas desde contenido fundamentado. Ni Microsoft ni Måløy confirman si esta carga útil exacta es detectada en ninguna de estas capas.
Según Måløy, ninguna corrección del lado del cliente aborda completamente el problema. Su argumento es que los bloqueos específicos de cargas útiles no alcanzan a la clase: un modelo debe procesar contenido controlado por el atacante para decidir si es malicioso, por lo que 'el contenido inspeccionado participa en el acto de inspección'.
Microsoft hizo un punto similar en una publicación de junio sobre la memoria de IA, escribiendo que 'La instrucción por sí sola no es un límite de seguridad confiable' y que el acceso y aislamiento de la memoria deberían ser controlados por sistemas deterministas en lugar de instrucciones del modelo.
Deja una respuesta