Un gusano de IA oculto en documentos de Word: Cómo Copilot propaga indirect prompt injections en empresas
Sin necesidad de hacer clic en ningún enlace ni descargar adjuntos sospechosos. Con tan solo abrir Microsoft Word y pedirle a Copilot que te ayude a redactar un informe, una instrucción invisible altera las cifras financieras de todo el documento—e inserta silenciosamente la “fuente de infección” en el nuevo archivo generado para que se propague al siguiente compañero.
El 28 de julio de 2026, el investigador de seguridad noruego Håkon Måløy hizo pública una investigación que ha perturbado a la industria de la IA: un gusano de IA capaz de autorreplicarse y propagarse en Microsoft Word a través de Copilot. El Centro de Respuesta a la Seguridad de Microsoft (MSRC) colaboró con él durante un período de divulgación de 144 días que abarcó dos intentos de parche y una actualización del modelo base (de GPT-5.5 a GPT-5.6), pero el ataque sigue siendo reproducible.
Esto no es ciencia ficción. Es una realidad que puede ocurrir hoy mismo.
1. ¿Cómo funciona?
Dejando de lado los modismos técnicos, ilustremos la situación con un escenario práctico.
Imagina que eres analista financiero en una empresa. Descargas un informe de análisis de mercado de Internet (aparentemente legítimo, pero modificado por un atacante). A simple vista no detectas ninguna anomalía: el atacante insertó instrucciones maliciosas en texto blanco de tamaño extremadamente pequeño al final del documento, totalmente invisible para el ojo humano.
Utilizas este informe como material de referencia y le pides a Copilot en Word que redacte tu informe financiero del Q1. Copilot lee todos los documentos proporcionados, incluyendo ese análisis de mercado. Ahí es donde se produce el fallo:
Copilot lee ese texto invisible.
La instrucción oculta indica a Copilot que reduzca a la mitad todas las cifras del informe financiero y copie esa misma instrucción al final del nuevo documento generado (también oculta en texto blanco). Copilot obedece sin dudarlo.
Como resultado, obtienes un informe del Q1 aparentemente normal, pero con todas las cifras reducidas a la mitad—y con la misma instrucción maliciosa escondida al final. Cuando compartes este informe con un compañero para que elabore el informe del Q2, Copilot vuelve a leer, ejecutar y propagar el ataque.
El documento malicioso original ya no está presente, pero el ataque continúa.
Es por esto que los investigadores lo denominan “gusano de IA”: al igual que un virus biológico, aprovecha las funciones normales del huésped (Copilot + Word) para replicarse a sí mismo.
Figura 1: El atacante oculta instrucciones maliciosas al final del documento con texto blanco y tamaño pequeño, invisible al ojo humano. Sin embargo, cuando Copilot procesa el documento, el formato de texto se elimina y el texto blanco se trata exactamente igual que el texto normal.
Figura 2: En el informe del Q1 generado por Copilot, todas las cifras son reducidas a la mitad de forma silenciosa, sin que Copilot emita ninguna advertencia o aviso.
Figura 3: Incluso en GPT-5.6 (el modelo más reciente disponible de OpenAI en ese momento), el ataque pudo reproducirse con éxito.
2. Un fallo de diseño fundamental: Instrucciones y datos mezclados
Los lectores podrían preguntarse: ¿no es esto simplemente un error de software? ¿No puede Microsoft lanzar un parche y solucionarlo?
El problema es que esto no se puede resolver simplemente “lanzando un parche”.
Måløy ofrece un análisis muy claro en su artículo:
“Para que los asistentes de IA sean útiles, deben procesar correos electrónicos, documentos, páginas web, memorias y salidas de herramientas; información que puede estar bajo el control de un atacante. Para procesarla, esta debe ingresar a la ventana de contexto del modelo junto con las instrucciones del sistema, las solicitudes del usuario y otro contexto de confianza.”
Explicado en términos sencillos:
Para poder trabajar para ti, la IA debe “leer” todo lo que le proporcionas. Sin embargo, la IA no puede distinguir qué es “dato” (resúmeme este informe) y qué es “instrucción” (reduce los números a la mitad).
En la seguridad informática tradicional, las instrucciones y los datos están estrictamente separados. En Excel, escribir “100” es un dato; escribir =A1*2 es una instrucción. El sistema comprende la diferencia.
Los grandes modelos de lenguaje (LLM) no funcionan así. Para el modelo, todo el texto introducido—sea un documento, una petición del usuario o texto malicioso oculto—se mezcla dentro de la misma ventana de contexto. Carece de un mecanismo natural para discernir: “esta es la instrucción de trabajo de mi usuario” vs. “este es un texto secundario dentro de un documento de referencia”.
Esta es la verdadera esencia del problema de prompt injection (inyección de prompts) que la comunidad de seguridad lleva años debatiendo.
Figura 4: Incluso si la víctima no sube manualmente el archivo malicioso, si este se encuentra en OneDrive y Copilot lo considera “relevante”, lo buscará y leerá automáticamente.
3. ¿Por qué el software antivirus tradicional no puede detenerlo?
El software de seguridad tradicional opera mediante coincidencia de patrones: recopila las firmas de virus conocidos y emite una alerta cuando detecta esa misma firma en un archivo.
Sin embargo, el vector de ataque de un gusano de IA es el lenguaje natural.
Las instrucciones maliciosas pueden escribirse de infinitas maneras: en español, inglés, emojis, codificación Base64 o incluso ocultas dentro de imágenes. Un atacante puede reescribir la misma instrucción 100 veces, generando firmas distintas en cada ocasión, y Copilot las entenderá todas.
Como señaló un usuario en Hacker News durante el debate:
“Puedes ocultar instrucciones maliciosas en el lenguaje natural en cualquier rincón del documento. No existe ninguna firma formal que pueda pre-identificar estos ‘programas’.”
Lo que es más crítico aún: el propio Copilot es un motor de comprensión general. Colocar un “filtro” previo requeriría utilizar otro modelo de inspección—que se enfrentaría exactamente al mismo dilema. En palabras de Måløy:
“Detectar y eliminar contenido malicioso solo traslada el mismo problema una capa más hacia afuera.”
4. Los dos factores: Defecto de arquitectura vs. Realidad defensiva
Esta crisis se deriva de dos factores principales:
Factor 1: Defectos arquitectónicos de los sistemas de IA. Las arquitecturas actuales de los LLM no tienen la capacidad de separar instrucciones y datos a nivel de diseño. Esto no es un descuido puntual de un proveedor, sino un problema fundamental de la ruta tecnológica actual. Måløy lo califica como una “debilidad arquitectónica fundamental”.
Factor 2: La realidad defensiva. Microsoft aplicó dos correcciones durante el período de colaboración de 144 días: primero modificó el flujo de interacción de Copilot y posteriormente actualizó el modelo subyacente de GPT-5.5 a GPT-5.6. Cada corrección bloqueó frases específicas de ataque, pero pequeñas variaciones permitieron superarlas nuevamente. Microsoft terminó admitiendo que ninguna solución en el lado del cliente puede resolver completamente este problema.
5. Dos perspectivas
Quienes defienden la postura a favor consideran que es el precio del progreso:
“Los asistentes de IA son útiles precisamente porque pueden leer documentos y ayudarte a escribir. No se puede renunciar a esa capacidad solo porque exista la posibilidad de ser explotada. La seguridad es un proceso de mejora continua, no un objetivo que se logra de la noche a la mañana.”
Por el contrario, los escépticos sostienen un punto de vista mucho más crítico:
Uno de los comentarios más valorados en Hacker News señalaba: “Hasta que las instrucciones y los datos no se procesen de forma separada, este tipo de vulnerabilidades simplemente no se puede solucionar.”
Otro comentarista comparó el dilema con un problema clásico de la historia de la informática—la arquitectura de Von Neumann:
“Hemos vuelto a la arquitectura de Von Neumann, y de la peor manera posible.”
En los inicios de la informática, los programas compartían el mismo espacio de memoria para datos y código, lo que dio lugar a vulnerabilidades como los desbordamientos de búfer. Más tarde, se introdujo el bit NX (no ejecutable) a nivel de hardware para separar físicamente el código de los datos. En los sistemas de IA actuales, sin embargo, las instrucciones y los datos están completamente mezclados en la ventana de contexto sin ningún mecanismo de aislamiento.
6. ¿Qué implica todo esto?
La importancia de este hallazgo reside en que revela una cuestión mucho más profunda:
A medida que los sistemas de IA adquieren la capacidad de leer documentos, comprender intenciones y ejecutar acciones, la seguridad de la información en sí—incluyendo su contenido y las instrucciones implícitas—se convierte en la superficie de ataque principal.
Un documento de Word compartido en una empresa solía ser un contenedor pasivo de datos. Sin embargo, hoy su contenido puede transformarse a través de Copilot en “código ejecutable”, capaz de alterar estados financieros, modificar la lógica de negocio y replicarse en nuevos documentos sin necesidad de que el atacante esté presente.
La conclusión de Måløy al final de su artículo representa la reflexión más relevante de la investigación:
“Cualquier sistema que integre LLMs en flujos de trabajo de confianza debe asumir hoy en día la siguiente premisa: una vez que el contenido controlado por un atacante ingresa a la ventana de contexto del modelo, existe una probabilidad no nula de que el sistema sea comprometido.”
Se trata de un juicio de ingeniería, no de alarmismo.
7. Reflexión final
El caso expuesto en este artículo proviene de la tercera entrega de la serie Context Collapse del investigador Håkon Måløy, verificada tras 144 días de divulgación coordinada con el MSRC. Hasta la fecha de publicación, Microsoft no ha proporcionado una solución completa.
Los asistentes de IA ofrecen grandes ventajas en el día a día. Sin embargo, la utilidad y la seguridad son aspectos distintos. La vulnerabilidad de los sistemas de IA actuales reside en este defecto de diseño fundamental: la mezcla indisoluble entre instrucciones y datos.
Así como la industria del software tardó más de una década en asimilar el principio de que “toda entrada debe ser validada”, el campo de la IA necesita una transformación de paradigma similar. Hasta que eso suceda, conviene mantener la vigilancia.
Nota del autor: Este artículo tiene fines divulgativos y no evalúa la seguridad absoluta de ningún producto o empresa en particular. La seguridad es un proceso sistémico continuo sin soluciones mágicas.
Enlaces de referencia
- Context Collapse Part 3 - AI Worming through Word (by Håkon Måløy)
- Discusión en Hacker News (item?id=49096188)
- Simon Willison: AI Worming through Word
- The Register: Word worm crawls into Copilot, spreads chaos
- Morris II: First AI Worm (2024)
- Entrada de Wikipedia sobre prompt injection
- Anatomy of a Frontier Lab Agent Intrusion (Hugging Face, July 2026)
- Prompt Injection Is the Input Bug of the Agent Era (Brain Bytes)
- GuidePoint Security: Prompt Injection — The AI Vulnerability We Still Can’t Fix
