Una empleada abre una página web. Eso es todo lo que hace falta.

Una empleada de una empresa mediana tiene sesión iniciada en Microsoft Copilot Personal, como la mayoría del personal hoy en día, al menos parte de la jornada laboral. Abre una página web que le ha enviado alguien, o un documento compartido que espera entre otros archivos en su bandeja de entrada. Lee un párrafo, cierra la pestaña y sigue con su trabajo. Nada en la página parece sospechoso. No hace clic en ningún enlace dentro de ella, no descarga nada y no escribe ninguna contraseña en ningún sitio.

Ese simple acto de abrir la página es todo el ataque. La firma de investigación en seguridad Varonis descubrió que un mensaje oculto incrustado en contenido de aspecto normal basta para que Copilot actúe siguiendo las instrucciones de un atacante en cuanto lee ese contenido, dentro de la sesión que ella ya tiene abierta. Varonis bautizó el fallo como SearchLeak y lo reveló junto con otras dos vulnerabilidades en Copilot Personal.

Dos fallos encadenados equivalen a acceso total a los datos

La cadena SearchLeak combina dos debilidades independientes. Primero, un atacante crea una página web o un documento que contiene un mensaje oculto y malicioso, redactado para parecer texto ordinario o metadatos en lugar de una instrucción. Segundo, cuando una víctima que ya tiene sesión iniciada en Copilot visita esa página o abre ese documento, el mensaje oculto se ejecuta automáticamente dentro de su sesión autenticada. Ningún clic adicional, ningún cuadro de confirmación y ninguna segunda advertencia se interponen entre la carga de la página y la ejecución del mensaje.

Una vez que el mensaje se ejecuta con su autoridad, ordena a Copilot que consulte todo aquello a lo que la víctima ya le ha dado acceso: su correo, sus archivos y cualquier aplicación de terceros conectada a su cuenta. Copilot no le pide confirmación, porque desde su propia perspectiva simplemente está cumpliendo una instrucción dentro de una sesión legítima ya autenticada.

El paso final es la exfiltración, y Copilot también aporta la herramienta para ello. Usando su propia capacidad integrada para acceder a URLs, el asistente comprometido envía los datos recopilados a un webhook controlado por el atacante. La sesión de la víctima, sus autorizaciones y las propias funciones de Copilot funcionan exactamente como fueron diseñadas. Nada en esa cadena exige que ella cometa un error.

Una segunda puerta: envenenar la memoria de Copilot

Varonis reveló un tercer fallo, independiente de la cadena SearchLeak, accesible a través de la función de resumen de páginas web de Copilot. En lugar de extraer datos en una sola pasada, esta vía permite a un atacante introducir información falsa o manipulada en lo que Copilot recuerda sobre un usuario, envenenando su memoria a través de contenido que se le pide resumir.

Esto importa porque convierte una sola página web maliciosa en un problema duradero en vez de un hecho puntual. La memoria de un asistente existe para hacerlo más útil con el tiempo, trasladando contexto de una sesión a otra. Una memoria envenenada traslada la influencia de un atacante de una sesión a otra exactamente de la misma manera, mucho después de que se haya cerrado la página que la implantó.

Por qué esto no es phishing

El phishing tradicional depende de engañar a una persona: haz clic en este enlace, introduce aquí tu contraseña, aprueba este inicio de sesión. La formación en seguridad existe para interceptar precisamente ese momento de decisión humana. SearchLeak no tiene ese momento. La víctima no hizo clic en ningún enlace malicioso, no introdujo ninguna credencial y no vio nada parecido a una advertencia que ignorar.

El ataque se activa cuando el asistente de IA lee contenido, no cuando la persona hace clic en algo. Se trata de un desencadenante completamente distinto, que queda fuera de todo aquello para lo que se diseñó la formación de 'no hacer clic en enlaces sospechosos'. Una empleada que hubiera hecho todo correctamente según cualquier norma existente podría haber activado igualmente esta cadena con solo abrir un archivo que le enviaron.

Aquí está el núcleo del nuevo riesgo. Un copiloto de IA con acceso ya autorizado y permanente al correo, los archivos y las aplicaciones conectadas de una persona se convierte en un único punto de compromiso en el momento en que se le puede inducir a actuar siguiendo instrucciones ocultas en contenido que simplemente lee. La misma utilidad del asistente, poder actuar en su nombre sin que usted vuelva a autorizar cada paso, es la propiedad que hace posible este ataque.

Qué deberían comprobar realmente las empresas de la UE y el Reino Unido

Microsoft calificó SearchLeak como crítico y ya lo ha corregido, así que el fallo concreto descrito aquí está cerrado. Esa es una buena noticia, y no el motivo para seguir leyendo. El patrón al que pertenece, la inyección de instrucciones a través de contenido que un asistente de IA consume de forma pasiva en lugar de contenido en el que una persona hace clic de forma activa, no va a desaparecer, y volverá a aparecer en algún otro asistente conectado con algún otro desencadenante.

Para cualquier empresa que esté implantando ahora Microsoft 365 Copilot o un asistente de IA conectado de forma similar, el ejercicio útil no es solo formar al personal para detectar enlaces sospechosos. Consiste en preguntar a qué se puede inducir a ese asistente con el acceso ya autorizado que ya posee, y en tratar la 'inyección de instrucciones mediante contenido consumido de forma pasiva' como una partida propia en las evaluaciones de riesgo de proveedores. Como ese acceso permanente suele tocar datos personales, esto pertenece también a las evaluaciones de riesgo del tratamiento de datos según el RGPD, no solo a la lista pendiente de seguridad informática.

Leer a continuación: El fisco francés está exento de sus propias multas del RGPD  |  El Pensamiento Oculto de la IA Llega a Modelos Baratos