Un virus que se escribe solo: comandos ocultos en Word convierten a Copilot en vector de ataque

Un informe ordinario de Word puede convertirse sin darse cuenta en portador de comandos maliciosos y contagiar documentos posteriores a través de Microsoft Copilot. Un especialista en seguridad mostró cómo una instrucción oculta hace que el asistente cambie datos, copie el ataque y lo propague dentro de la empresa sin la participación del atacante inicial.

El ataque comienza con un documento externo, por ejemplo, un análisis de mercado o un informe analítico. El atacante añade al archivo comandos escritos en color blanco sobre fondo blanco y con una fuente pequeña. El usuario no detecta el texto oculto; sin embargo, Copilot elimina el formato antes de procesar el documento y transmite todo el contenido al modelo en su forma normal.

Si un empleado adjunta ese archivo a Copilot en Word, los comandos ocultos pueden afectar el informe que se está creando. En las pruebas, el asistente redujo sin avisar todos los indicadores financieros a la mitad y, a continuación, insertó la instrucción maliciosa al final del nuevo documento. Copilot volvió a ocultar el texto en blanco, por lo que el informe final parecía normal.

El archivo creado dentro de la empresa se convertía en una nueva fuente de ataque. Cuando otro empleado utilizaba el informe infectado para preparar el siguiente documento, Copilot volvía a cambiar las cifras y copiaba los comandos ocultos. El archivo malicioso original ya no era necesario para continuar la cadena. Ese mecanismo permite que el ataque se propague por sí mismo a través del intercambio habitual de documentos.

El atacante no necesita acceso a la cuenta de Microsoft 365 ni a la red interna de la víctima. Basta con entregar el archivo preparado a través de SharePoint, Teams, Outlook u otro canal. En algunos modos, Copilot puede encontrar el documento en OneDrive si considera que el contenido es adecuado para la tarea actual.

Un peligro particular lo provoca la confianza en los archivos internos. Después de la primera activación, el informe infectado parece un documento preparado y guardado por un empleado de la empresa. Los colegas pueden reenviar el archivo a socios, añadirlo a espacios comunes de SharePoint o usarlo en nuevos proyectos. A medida que se propaga, resulta cada vez más difícil identificar la fuente de la manipulación, y los datos alterados pueden afectar los cálculos financieros y las decisiones de gestión.

El especialista proporcionó a Microsoft instrucciones para reproducir el ataque, así como grabaciones y ejemplos de comandos el 6 de marzo de 2026. El plazo acordado para la divulgación se prorrogó varias veces y, en total, la empresa dispuso de 144 días. Microsoft publicó varias medidas de protección y sustituyó el modelo base por GPT-5.5; sin embargo, la variante modificada del ataque se pudo reproducir también con GPT-5.6. A 28 de julio no existía una protección universal contra toda la clase de ataques similares.

Microsoft cerró las variantes concretas de comandos que recibió durante la comprobación, pero el problema arquitectónico persistió. Un gran modelo de lenguaje debe, a la vez, leer un documento no confiable, determinar su sentido y distinguir los datos de las instrucciones. La orden oculta ya participa en el procesamiento en el momento en que el sistema intenta reconocer la amenaza.

A los usuarios se les aconseja considerar los documentos externos como no confiables, comprobar los archivos adjuntos antes de trabajar con Copilot y revisar con atención los documentos creados o editados antes de enviarlos a colegas. Estas medidas no eliminan por completo el riesgo, ya que las instrucciones ocultas pueden entrar en archivos internos y continuar propagándose por los procesos de trabajo habituales.