La falla invisible que puso en riesgo los datos de los usuarios de Copilot
Una reciente falla de seguridad expuso a miles de usuarios del asistente de inteligencia artificial de Microsoft a un riesgo inesperado: sus propios correos electrónicos podrían haber sido utilizados para enviar información confidencial a atacantes, sin que hicieran clic en nada.
El incidente, bautizado como EchoLeak, es considerado la primera vulnerabilidad de este tipo asociada a una IA generativa.
Microsoft 365 Copilot es una herramienta de inteligencia artificial integrada en programas ampliamente usados como Word, Outlook y PowerPoint. Su función es facilitar tareas cotidianas: puede redactar correos, generar resúmenes, buscar archivos o responder preguntas basadas en la información que encuentra en el correo y los documentos del usuario.
Es, en pocas palabras, un "asistente virtual" que aprende del entorno de trabajo de cada persona.
¿Qué ocurrió con EchoLeak?
La empresa de ciberseguridad Aim Security descubrió una falla crítica que afectaba directamente a Copilot. La llamaron EchoLeak, y su funcionamiento puede parecer sacado de una película de espías: el atacante solo necesitaba enviar un correo electrónico especialmente diseñado. Nada más. No hacía falta que el destinatario lo abriera ni hiciera clic. Solo con que Copilot accediera a ese correo en una consulta posterior, el daño ya estaba hecho.
¿Cómo es posible? Imaginemos que alguien deja un mensaje escondido en un cajón que sabe que otra persona abrirá más tarde. El mensaje está redactado para que, al leerlo, quien lo encuentra realice una acción sin saber que está siendo manipulado. En este caso, la acción era que Copilot enviara datos personales o laborales a un servidor controlado por el atacante.
¿Qué tipo de información estaba en riesgo?
Podía tratarse de cualquier contenido sensible que el asistente tuviera registrado en sus interacciones anteriores con el usuario: guías de recursos humanos, información interna sobre empleados, procedimientos legales o datos financieros. Es decir, material que usualmente no se comparte fuera de una organización.
Por ejemplo, si un usuario preguntaba a Copilot "¿Cómo se gestiona una licencia médica en la empresa?", la IA podía consultar el correo malicioso, interpretar sus instrucciones escondidas y, sin saberlo, reenviar detalles internos al atacante.
¿Cómo se resolvió?
Microsoft actuó rápidamente tras la notificación y emitió un parche del lado del servidor, lo que significa que los usuarios no tienen que hacer nada para estar protegidos. La compañía calificó el problema como una "inyección de comandos de IA" y le asignó el número de identificación CVE-2025-32711, un registro oficial para vulnerabilidades de seguridad.
¿Por qué es importante?
Lo novedoso —y preocupante— de EchoLeak es que no requería ninguna acción del usuario. A diferencia de otros ataques donde se necesita hacer clic en un enlace o descargar un archivo, aquí la inteligencia artificial hizo todo por sí sola, siguiendo instrucciones que no fue capaz de identificar como maliciosas.
Este tipo de ataques, conocidos como inyecciones indirectas, son parte de una nueva categoría de riesgos que afectan a sistemas de IA como Copilot, ChatGPT o Gemini. Los expertos en ciberseguridad ya trabajan en clasificaciones específicas para este tipo de fallas, como lo refleja el nuevo listado de OWASP para aplicaciones basadas en modelos de lenguaje (LLM).
¿Qué podemos aprender de esto?
El caso EchoLeak muestra que, si bien la inteligencia artificial puede ser una gran aliada para mejorar la productividad, también abre la puerta a riesgos complejos y sutiles.
Así como en su momento aprendimos a no abrir correos sospechosos o a no descargar archivos de dudosa procedencia, ahora hay que entender cómo protegernos en un entorno donde nuestras propias herramientas automatizadas pueden ser engañadas. La tecnología avanza rápido, y la seguridad debe hacerlo a la par.
