Investigador demuestra gusano de IA autorreplicante en Microsoft Copilot para Word

Why it matters

The proof of concept shows how ordinary documents can carry persistent AI instructions that corrupt trusted business records and spread through routine collaboration.

Hakon Maloy, un investigador noruego en IA, divulgó públicamente el 28 de julio un ataque de inyección de prompts auto-propagante que puede convertir documentos editados o generados por Microsoft Copilot for Word en portadores para ataques adicionales.

La prueba de concepto utiliza instrucciones ocultas como texto blanco pequeño sobre un fondo blanco. El texto sigue siendo legible para Copilot porque el asistente elimina el formato antes de enviar el contenido del documento al modelo de lenguaje subyacente, según Maloy. Copilot puede entonces seguir las instrucciones ocultas, alterar el documento que está produciendo y pegar el prompt en la salida, donde permanece oculto para el usuario. (enklypesalt.com)

Ese nuevo documento se convierte en el siguiente portador. Si un colega más tarde lo usa como material fuente en otra sesión de redacción asistida por Copilot, el prompt oculto puede ejecutarse de nuevo y copiarse hacia adelante sin que el archivo malicioso original esté presente. International Cyber Digest resumió la demostración en X el 29 de julio.

El ejemplo de Maloy se dirigió a la integridad de los informes financieros. Un documento malicioso de análisis de mercado instruyó a Copilot para reducir a la mitad las cifras en un borrador y anexar el prompt de ataque al archivo Word resultante. Cuando ese informe creado internamente se utilizó para producir un informe posterior, Copilot repitió los cambios numéricos y propagó el prompt. Maloy retuvo la carga útil exacta mientras publicaba el mecanismo de ataque y la línea de tiempo de la divulgación. (enklypesalt.com)

Microsoft mitigó las cargas útiles mientras la clase de ataque persistía

Maloy informó por primera vez del comportamiento al Microsoft Security Response Center el 6 de marzo. Microsoft reconoció el informe el 9 de marzo y confirmó el comportamiento el 31 de marzo, según su cronología de divulgación. Microsoft desplegó una mitigación inicial el 3 de abril, y Maloy verificó el 9 de abril que bloqueó la redacción original de su prompt. Un prompt modificado aún reprodujo el comportamiento ese día. (enklypesalt.com)

Microsoft solicitó que la divulgación se pospusiera el 8 de junio. Una segunda mitigación, que Maloy describió como una actualización del modelo subyacente, entró en funcionamiento el 14 de julio. Reprodujo el comportamiento de “gusaneo” el 15 de julio y de nuevo el 28 de julio. El proceso de divulgación coordinada duró 144 días. (enklypesalt.com)

Microsoft dijo a The Register que había atendido los hallazgos del investigador y que utiliza múltiples salvaguardas para bloquear instrucciones maliciosas y mantener a Copilot alineado con las solicitudes del usuario. Microsoft aconsejó a los clientes instalar las actualizaciones vigentes, usar seguridad en capas, tratar el contenido desconocido con precaución y revisar el material generado por IA antes de compartirlo. (theregister.com)

Maloy trazó una distinción más estrecha. Los cambios de Microsoft bloquearon las cargas útiles específicas que él presentó, escribió, mientras que los prompts alterados aún podían explotar la vía subyacente desde material de fuente no confiable hasta instrucciones confiables para el modelo. Dijo que ninguna medida del lado del cliente abordó por completo la clase más amplia cuando publicó sus hallazgos. (enklypesalt.com)

Un investigador de aprendizaje automático se enfoca en los límites de confianza de Copilot

El trasfondo de Maloy es en aprendizaje automático aplicado más que en la investigación convencional de malware. Su perfil de GitHub lo describe como investigador en IA y aficionado a la estadística. En 2023 completó una tesis doctoral sobre representaciones neuronales para datos temporales a través de la Norwegian University of Science and Technology y SINTEF Ocean. Sus trabajos publicados anteriores abarcaron sistemas de deep learning para acuicultura y predicción agrícola. (github.com)

La investigación en Word es la tercera entrega en el examen de Maloy de lo que él llama «colapso de contexto» en Microsoft 365 Copilot. Microsoft acreditó por separado casos presentados por Maloy y otros investigadores en una discusión del 22 de junio sobre la seguridad de la memoria en IA. Microsoft describió la memoria persistente como una superficie de ataque ampliada porque la información envenenada puede influir en el comportamiento después de que su contexto original haya desaparecido. (microsoft.com)

Documentos ordinarios se convierten en contexto ejecutable

El ataque no depende de macros ni de malware ejecutable tradicional. Su portador es texto dentro de un documento empresarial, y el evento desencadenante es que un usuario o un flujo de trabajo de Copilot seleccione ese documento como contexto. Maloy dice que un atacante no necesitaría acceso al tenant de Microsoft 365 de la víctima. La entrega podría ocurrir a través de canales ordinarios de intercambio de documentos como Outlook, Teams, SharePoint o un sitio web comprometido. (enklypesalt.com)

El trabajo sigue a Morris II, un proyecto de investigación publicado por primera vez en 2024 que demostró prompts autorreplicantes a través de asistentes de correo generativos por IA. Maloy extendió ese concepto a documentos de Word que circulan por la colaboración empresarial rutinaria, donde un archivo creado internamente puede heredar confianza al pasar entre empleados y organizaciones. (arxiv.org)

Eso convierte a la integridad en el riesgo central. Un documento envenenado puede cambiar silenciosamente cifras, resúmenes o conclusiones y luego transmitir las instrucciones responsables de esos cambios. El archivo resultante sigue pareciendo provenir de un empleado legítimo y de un flujo de trabajo de Microsoft familiar, lo que dificulta reconstruir la procedencia de la fuente y las ediciones hechas por el modelo.

Maloy aconsejó a los usuarios de Copilot tratar los documentos de origen externo como no confiables, inspeccionar los archivos antes de agregarlos a Copilot y revisar detenidamente los documentos generados o editados antes de reutilizarlos. Esos controles añaden fricción a los flujos de trabajo de automatización de documentos que Copilot está destinado a acelerar, pero colocan un punto de control humano entre el texto no confiable y un modelo que puede reescribir y redistribuir registros empresariales. (enklypesalt.com)