El 'gusano de Word' de Microsoft Copilot sigue funcionando 144 días después de su divulgación.

      Una línea oculta de texto en un documento de Word puede reducir silenciosamente a la mitad los números en su informe financiero. Luego puede contrabandear una copia de sí misma en el archivo limpio que envía. Y 144 días después de que un investigador advirtiera a Microsoft, todavía funciona.

      Håkon Måløy, un científico de datos noruego, divulgó la técnica el 28 de julio, habiéndola reportado por primera vez en marzo. No reveló la carga exacta, pero describió el mecanismo en detalle. Lo llama una de las primeras demostraciones públicas de un "gusano de IA" autorreplicante que se mueve a través de flujos de trabajo normales en una suite de oficina convencional. The Register informó sobre los hallazgos esta semana.

      Cómo se mueve el gusano

      El truco se oculta a simple vista. Las instrucciones maliciosas están en texto blanco de ocho puntos. Word elimina el color y el tamaño de fuente antes de entregar un documento al modelo, como señaló The Hacker News, por lo que el texto blanco sobre blanco permanece invisible para usted pero legible para Copilot.

      Una instrucción altera las cifras. La otra le dice a Copilot que copie el aviso en la salida y lo oculte, disfrazado como una regla de seguimiento de fuentes.

      Esa salida infectada se convierte en el portador. Agregue el archivo a su propio trabajo, y Copilot hace lo mismo nuevamente. No se propaga por sí solo. Cada salto necesita otro paso de redacción o edición de Copilot en el que el archivo envenenado ingresa al contexto del modelo.

      El atacante no necesita acceso a su cuenta de Microsoft. Como dijo Måløy, “solo necesita compartir un documento malicioso con la víctima.”

      Por qué Microsoft no puede simplemente parchearlo

      Microsoft confirmó el comportamiento en marzo y envió dos soluciones. Bloqueó la redacción exacta del aviso y luego actualizó el modelo subyacente a GPT-5.5. Måløy reformuló la carga, y funcionó nuevamente en GPT-5.6 al día siguiente. “Dos intentos de mitigación, incluida una actualización del modelo, no cerraron la clase”, escribió.

      Su punto más profundo es sobre la arquitectura. Un modelo tiene que leer contenido controlado por el atacante para juzgar si es un ataque. Para entonces, el texto malicioso ya está moldeando ese juicio.

      Confiar en que el modelo lo detecte, escribió, es como “pedir a un intérprete que ejecute un programa no confiable para determinar si ese programa es seguro para ejecutar.” Agregar un segundo modelo para vigilar el primero y solo obtienes “LLMs hasta el fondo.”

      Microsoft señala una estrategia de defensa en profundidad que bloquea instrucciones maliciosas “en múltiples puntos” y dice a los clientes que traten el contenido desconocido con precaución y revisen lo que produce Copilot.

      Hizo la versión más contundente del argumento en junio, escribiendo que “solo el aviso no es un límite de seguridad confiable.” Su propia respuesta a la seguridad de la IA ha sido en gran medida más IA.

      La misma debilidad, en todas partes

      El gusano de Word es un ejemplo de un problema más amplio. Copilot confía en el contenido que lee. Los asistentes de IA que acceden a sus archivos siguen generando el mismo tipo de fuga.

      La misma semana, investigadores de la Universidad de Tel Aviv e Intuit describieron el “hallusquatting”, informó SecurityWeek. Los asistentes de codificación de IA inventan nombres de paquetes de software que no existen, en algunas tareas entre el 85% y el 100% del tiempo.

      Los atacantes registran esos nombres, los llenan de malware y esperan a que la IA los extraiga a la máquina de un desarrollador. Es el lado opuesto del hallazgo de que el código escrito por IA sigue fallando en las pruebas de seguridad.

      Todo esto, mientras Copilot va a todas partes

      El momento es incómodo, porque Microsoft está impulsando a Copilot más que nunca. En la llamada de ganancias de esta semana, Satya Nadella confirmó una “super aplicación” de Copilot que combina chat, codificación y agentes autónomos en un solo producto, que se lanzará este año.

      La compañía dice que tiene más de 30 millones de asientos de Copilot pagados. Dice que los ingresos de Copilot aumentaron un 60% en un trimestre y que el uso semanal ahora rivaliza con Outlook y Teams.

      Incluso los reguladores que rodean a Copilot están, por ahora, preocupados por algo diferente: cómo Microsoft lo integró en Microsoft 365 y aumentó los precios. La cuestión de la seguridad es más silenciosa y difícil.

      El propio consejo de Måløy, a falta de dejar de usar Copilot, es tratar cada documento como no confiable y verificar todo lo que toca el asistente. Lo cual no está lejos de hacer el trabajo usted mismo.