No me gusta alarmar por gusto, pero a veces una noticia llega y te hace pensar que la ciberseguridad de la oficina está más rota de lo que admitimos. Esta semana un investigador noruego soltó el tercer capítulo de una serie que lleva meses incomodando a Microsoft: un gusano de IA que se propaga a través de documentos de Word usando Copilot. Y lo peor es que Redmond lleva casi cinco meses intentando cerrar el agujero sin lograrlo.
De qué se trata esta wea
El investigador Haakom le reportó a Microsoft en marzo de 2026 un comportamiento que suena a ciencia ficción barata pero es real. Un atacante puede ocultar instrucciones maliciosas dentro de un documento de Word usando texto blanco sobre fondo blanco, en una fuente chiquitita. Para ti el documento se ve limpio. Para Copilot, que lee el texto plano sin formato, esas instrucciones son órdenes claras.
El resultado: Copilot puede modificar números de un reporte financiero, cambiar conclusiones de un resumen, y lo más heavy, copiar esas instrucciones ocultas al nuevo documento que genera. Ese documento infectado pasa a ser un vector de ataque. Si un compañero de pega lo usa después como fuente para otro documento, el gusano se replica. Sin que el atacante original haga nada más.
Por qué esto es distinto a un virus común
Un virus tradicional necesita que ejecutes algo, que instales una wea, que hagas click donde no debes. Este ataque no. Solo necesita que uses Copilot de forma normal. Adjuntas un PDF de un proveedor, un Excel de contabilidad, un análisis de mercado que bajaste de un sitio web, y listo. Si ese archivo viene comprometido, Copilot lo lee, ejecuta las instrucciones ocultas, y las propaga.
El escenario del investigador es concreto: descargas una guía de análisis de mercado desde un sitio confiable que fue comprometido. La usas como fuente para un informe Q1 con Copilot. El documento resultante tiene los números alterados y las instrucciones ocultas copiadas al final. Lo compartes internamente. Tu compañero lo usa para el informe Q2. El ciclo sigue. El atacante original ni siquiera necesita estar en la conversación después del primer documento.
Lo que Microsoft intentó y falló
La línea de tiempo de la divulgación coordinada da una idea de lo difícil que está el problema. Microsoft recibió el reporte el 6 de marzo de 2026. Reconoció el comportamiento a finales de ese mes. Primera mitigación en abril. Segunda mitigación en julio, que consistió en actualizar el modelo subyacente a GPT-5.5. El investigador reprodujo el ataque con GPT-5.6. Postergaron la divulgación dos semanas más para dar tiempo a otra solución. El 28 de julio el ataque seguía funcionando. Total: 144 días de coordinación y la clase de vulnerabilidad sigue abierta.
¿Por qué? Porque el problema no es un bug que se parcha con una línea de código. Es arquitectural. Los LLM actuales no pueden separar de forma confiable las instrucciones del usuario de los datos que procesan. Todo vive en la misma ventana de contexto. Para que el modelo entienda si un documento es malicioso, primero tiene que leerlo. Y para leerlo, ya lo incluyó en su razonamiento. El contenido que inspeccionas participa en el acto de inspeccionar. Es como pedirle a un intérprete que ejecute un programa para saber si es seguro.
Mi opinión: esto no es un bug, es una condición de diseño
Trabajo con sistemas todos los días y una cosa que aprendí en la pega es que cuando un problema dura 144 días sin parche robusto, no es porque los ingenieros sean weones. Es porque el problema es inherente al diseño. Microsoft puede parchar payloads específicos, cambiar wording, actualizar modelos, pero la clase de vulnerabilidad persiste. Mientras los asistentes de IA procesen documentos de terceros dentro de la misma ventana de contexto donde reciben instrucciones del usuario, alguien va a encontrar una forma nueva de inyectar prompts.
La recomendación práctica del investigador es lo único que puedes hacer hoy: trata todo documento externo como no confiable cuando lo uses con Copilot, revisa lo que genera antes de compartirlo, y nunca asumas que un archivo interno está limpio solo porque lo creó un compañero. En otras palabras: vuelve a revisar todo manualmente, exactamente lo que Copilot prometía que no tendrías que hacer.
La ironía es perfecta.
Fuente de inspiración: Context Collapse, Part 3 – AI Worming through Word
