Vulnerabilidad en Copilot: cuando un clic puede revelar tus secretos
La ciberseguridad y la IA parecen estar en una carrera constante, y esta vez Microsoft ha tenido que correr para parchear una vulnerabilidad seria en Copilot. Investigadores de seguridad de Varonis descubrieron un fallo que permitía a atacantes extraer información personal sensible de los usuarios con un simple clic en un enlace aparentemente inofensivo. Y lo peor: el ataque seguía funcionando incluso después de cerrar la ventana de chat.
El ataque «Reprompt»: simple pero devastador
La vulnerabilidad, bautizada como «Reprompt», demuestra lo que llevamos tiempo advirtiendo en el sector: incluso las plataformas de IA más avanzadas pueden tener fallos de seguridad importantes. En este caso, el método era tan elegante como preocupante.
Los investigadores de Varonis crearon un enlace a Copilot que contenía un parámetro «q» (algo que utilizan la mayoría de LLMs para introducir URLs directamente en un prompt). Este parámetro incluía instrucciones específicas que, una vez activadas, hacían que Copilot Personal extrajera y enviara datos como el nombre del usuario, su ubicación, y detalles de conversaciones anteriores a un servidor controlado por los atacantes.
Un ataque en varias etapas
Lo verdaderamente ingenioso (y preocupante) del ataque era su estructura:
- El usuario hacía clic en un enlace legítimo de Copilot recibido por email
- Este enlace contenía instrucciones ocultas que hacían que Copilot extrajera un «secreto» del usuario
- La información se enviaba a un servidor controlado por los atacantes
- Un archivo JPG falso contenía más instrucciones que buscaban datos adicionales
- Todo el proceso continuaba incluso si el usuario cerraba la ventana
«Una vez que entregamos este enlace con este aviso malicioso, el usuario solo tiene que hacer clic en el enlace y la tarea maliciosa se ejecuta inmediatamente», explicó Dolev Taler, investigador de Varonis. Y añadió algo que me parece especialmente inquietante: «Incluso si el usuario solo hace clic en el enlace y cierra inmediatamente la pestaña del chat de Copilot, la explotación aún funciona».
Las barandillas de seguridad que fallaron
Como desarrollador de seguridad que soy, me llama especialmente la atención el fallo en el diseño de las protecciones. Microsoft había implementado «barandillas» para evitar la filtración de datos sensibles, pero cometieron un error fundamental: estas protecciones solo se aplicaban a la primera solicitud.
Los atacantes simplemente instruyeron a Copilot para repetir cada solicitud, haciendo que la segunda petición pasara por alto las barandillas y extrajera los datos privados. Como dijo Taler: «Microsoft diseñó incorrectamente las barandillas. No realizaron la modelización de amenazas para entender cómo alguien puede explotar esa laguna para exfiltrar datos».
Este tipo de vulnerabilidad pertenece a una categoría conocida como «inyecciones de prompt indirectas», un problema ante el que ningún LLM ha demostrado ser completamente inmune hasta ahora.
¿Quién estaba en riesgo?
Por suerte, la vulnerabilidad solo afectaba a Copilot Personal. Microsoft 365 Copilot, la versión empresarial, no era vulnerable a este ataque. Además, Microsoft ha reaccionado con relativa rapidez tras ser notificados por Varonis e implementó correcciones que bloquean este vector de ataque específico.
Lecciones sobre seguridad en sistemas de IA
Este incidente nos deja varias reflexiones importantes sobre la seguridad en sistemas de IA:
-
Las barandillas no son infalibles: Las protecciones diseñadas para un único escenario pueden ser fácilmente sorteadas.
-
Ataques multietapa: Los sistemas de IA son vulnerables a ataques complejos que se desarrollan en varias fases.
-
El poder de los parámetros ocultos: Elementos como el parámetro «q» pueden convertirse en vectores de ataque si no se sanean adecuadamente.
-
La persistencia es un problema: Que un ataque continúe incluso después de cerrar la aplicación supone un riesgo adicional significativo.
La vulnerabilidad Reprompt es un recordatorio de que, por muy avanzados que sean nuestros sistemas de IA, siguen siendo herramientas creadas por humanos y, por tanto, susceptibles de contener errores de diseño o implementación. En un momento en que estamos integrando la IA en cada vez más aspectos de nuestra vida digital, estos fallos de seguridad son especialmente preocupantes.
Como usuarios, la principal defensa sigue siendo la precaución: desconfiar de enlaces, incluso si parecen legítimos, y limitar la información sensible que compartimos con cualquier sistema, por inteligente que parezca. Y como desarrolladores, este caso nos recuerda la importancia de pensar en la seguridad desde las primeras etapas del diseño, no como un añadido posterior.
La carrera entre seguridad e IA continúa, y por ahora parece que los atacantes mantienen cierta ventaja en el campo de la innovación. Esperemos que incidentes como este ayuden a cambiar esa dinámica.
