Microsoft parchó el pasado martes una vulnerabilidad calificada de gravedad crítica en su plataforma de inteligencia artificial M365 Copilot. El lunes, los investigadores que la descubrieron y la reportaron al fabricante hicieron público el funcionamiento de su prueba de concepto, capaz de extraer códigos de autenticación en dos pasos y otros datos sensibles de los correos electrónicos a los que Copilot tiene acceso.
El fallo se enmarca en un problema más amplio que afecta a Microsoft y a otros proveedores de grandes modelos de lenguaje: la incapacidad de sus asistentes para distinguir entre las instrucciones legítimas del usuario y los comandos maliciosos ocultos en contenidos de terceros —correos, documentos o páginas web— que el modelo resume, redacta o procesa en nombre del usuario. Para explotar la brecha, los atacantes recurren a lenguajes de marcado y etiquetas HTML como o
La firma de seguridad Varonis diseñó una cadena de exploits capaz de saltar los filtros de Copilot. El primer eslabón, bautizado como Parameter-to-Prompt Injection, introduce la orden maliciosa en el parámetro de consulta de una URL, una variante del clásico prompt injection. Microsoft, por su parte, había levantado barreras como envolver la salida del modelo en bloques o restringir los sitios que Copilot puede visitar sin aprobación explícita, pero ninguna impide de raíz la manipulación del contexto del modelo.