En pocas palabras: Sí. El investigador noruego Håkon Måløy demostró que Copilot for Word puede propagar gusanos IA: instrucciones ocultas en un documento se copian solas a los archivos que Copilot genera después, sin ejecutable ni macro. Lo publicó el 28 de julio de 2026, tras 144 días de disclosure.
Un investigador noruego demostró que los gusanos IA Copilot Word pueden autopropagarse: instrucciones ocultas en un documento se cuelan en los archivos que Copilot genera después, y esos archivos pasan a contagiar a los siguientes. Håkon Måløy lo reportó a Microsoft y lo publicó el 28 de julio de 2026, tras 144 días de disclosure coordinado.
Un gusano IA document-borne es una vulnerabilidad de prompt injection que se autoaplica y se copia sola de un documento a otro. En Copilot for Word, las instrucciones maliciosas escondidas en un archivo terminan dentro de los documentos que Copilot genera o edita, que pasan a ser nuevos portadores del mismo ataque, sin que vos lo notes. No es malware clásico: no hay ejecutable ni macro, solo texto.
En 30 segundos
- Håkon Måløy, investigador noruego, reportó la falla a Microsoft el 6 de marzo de 2026 y la publicó el 28 de julio de 2026.
- El disclosure coordinado arrancó con 90 días y se extendió dos veces, hasta llegar a 144 días.
- El ataque usa XPIA (Cross-Domain Prompt Injection): texto oculto en un documento que Copilot copia a los archivos que produce después.
- Microsoft bloqueó payloads puntuales del PoC, pero la clase de vulnerabilidad seguía siendo explotable con variaciones.
- No hay ejecutable ni macro: el vector es texto plano invisible (blanco sobre blanco, fuente diminuta).
¿Qué es un gusano IA document-borne?
Es una vulnerabilidad de prompt injection que se propaga sola entre documentos, sin ejecutable ni macro, aprovechando que Copilot lee el texto de un archivo como si fueran órdenes. Lo descubrió Håkon Måløy, investigador noruego, y lo documentó en “Context Collapse, Part 3 – AI Worming through Word”, publicado el 28 de julio de 2026.
Acá está el quiebre conceptual. Un virus tradicional necesita que ejecutes algo. Este gusano necesita que Copilot lea algo.
Ponele que abrís un informe de mercado que te mandó un proveedor. Vos lo ves normal. Pero adentro tiene un párrafo que no podés ver, escrito en blanco sobre fondo blanco, con instrucciones dirigidas a Copilot. Cuando le pedís al asistente que te resuma ese informe o que arme un reporte a partir de él, Copilot obedece esas instrucciones ocultas. Y peor: las copia dentro del documento nuevo que genera. Ese documento nuevo ya está infectado.
La diferencia con el trabajo previo sobre “AI worms” (que ya había mostrado propagación autorreplicante en asistentes de email con IA) es el terreno: acá el vector son documentos de Word en un flujo de trabajo empresarial confiable, no correos. Más contexto en cambios de facturación en Copilot.
¿Cómo funciona el ataque de propagación en Copilot?
El ataque tiene dos etapas: primero Copilot ejecuta instrucciones ocultas en un documento fuente, y después las escribe dentro del documento que genera, convirtiéndolo en un nuevo portador. La clave técnica es que Copilot extrae todo el texto del archivo sin respetar el formato visual, así que el texto “invisible” para vos es texto normal para el modelo.
El truco de ocultamiento es viejo y simple: texto blanco sobre fondo blanco, o fuente de tamaño mínimo. Para tu ojo no existe. Para el parser de Copilot es una instrucción más.
Seguí la secuencia completa de un caso concreto del análisis: recibís un “análisis de mercado” con instrucciones ocultas, le pedís a Copilot que genere un informe financiero a partir de ese análisis, Copilot ejecuta las órdenes escondidas mientras arma el informe, y de yapa mete esas mismas órdenes ocultas dentro del informe financiero nuevo, que después vos compartís con tu equipo creyendo que es un documento limpio.
¿Y qué pasa cuando un compañero le pide a Copilot que trabaje sobre ese informe? Exacto: se repite el ciclo. Ahí está el gusano.
¿Qué diferencia hay entre prompt injection normal y XPIA?
XPIA (Cross-Domain Prompt Injection Attack) es prompt injection que cruza los límites entre sistemas o documentos, sin que vos interactúes de forma directa con el prompt malicioso. En un prompt injection común escribís vos la instrucción; en un XPIA la instrucción viaja escondida dentro de un contenido que Copilot procesa por su cuenta. Cubrimos ese tema en detalle en cómo evolucionó Copilot en 2026.
La distinción importa porque cambia quién dispara el ataque. Vos pedís algo inocente (“resumime este PDF”). El contenido resume, sí, pero también obedece órdenes que nunca viste.
El concepto de XPIA es anterior a esta falla puntual de Word y ya estaba documentado como categoría de riesgo. Lo nuevo del trabajo de Måløy es demostrar que el XPIA no se queda en una sola interacción: se propaga a los documentos que salen del asistente.
¿Cuál es la línea de tiempo oficial del disclosure?
El reporte llegó al Microsoft Security Response Center (MSRC) el 6 de marzo de 2026, y la publicación pública fue el 28 de julio de 2026, después de un período de coordinación de 144 días. El plazo original era de 90 días y se extendió dos veces a pedido del proceso de mitigación.
| Hito | Fecha (2026) | Detalle |
|---|---|---|
| Reporte a MSRC | 6 de marzo | Måløy entrega pasos de reproducción, videos y PoC exactos |
| Intentos de mitigación | abril a junio | Microsoft bloquea payloads puntuales del PoC |
| Disclosure público | 28 de julio | Se publica “Context Collapse, Part 3” tras 144 días |
El dato incómodo: según el autor, la vulnerabilidad seguía siendo explorable incluso después de los intentos de arreglo. Modificando el payload, el ataque volvía a pasar.
¿Qué mitigaciones puso Microsoft y por qué no alcanzaron?
Microsoft bloqueó payloads específicos del proof-of-concept, pero no cerró toda la clase de vulnerabilidad, así que variantes del mismo ataque seguían funcionando. La razón es de fondo, no de parche: un LLM tiene que procesar el contenido de documentos “confiables” y al mismo tiempo distinguir cuáles de esas palabras son datos y cuáles son instrucciones. Ese límite, hoy, no existe de forma nítida.
Es el problema de siempre con prompt injection, ahora aplicado a un flujo empresarial. El modelo no tiene una frontera dura entre “contenido para leer” y “orden para obedecer”. Todo entra por el mismo canal: texto. Relacionado: limitaciones de capacidad de Copilot.
Por eso un fix quirúrgico (bloquear este string) no resuelve nada estructural. Cambiás dos palabras del payload y volvés a estar adentro. La “solución” de bloquear casos puntuales es tapar agujeros de a uno en un colador.
¿Cuáles son los riesgos reales en empresas?
Los riesgos concretos van desde alterar reportes financieros hasta exfiltrar datos confidenciales, todo con propagación silenciosa entre documentos. Como el gusano viaja en archivos que circulan como “confiables” dentro de la organización, el radio de contagio es tu propio flujo de trabajo interno.
Algunos escenarios verosímiles:
- Informe trimestral manipulado: instrucciones ocultas hacen que Copilot introduzca cifras o conclusiones falsas al regenerar el reporte.
- Contrato con cláusulas cambiadas: el asistente reescribe una sección siguiendo órdenes escondidas y nadie revisa el texto generado línea por línea.
- Exfiltración de datos: ya se demostraron PoC de robo de información en asistentes con IA (el caso EchoLeak, entre otros), así que combinar propagación con exfiltración no es ciencia ficción.
Para las empresas que alojan sus flujos de documentos y su infraestructura en la nube, el punto no es cambiar de hosting o cloud, sino repensar cuánta confianza ciega le dan al contenido que produce un asistente. El vector no está en el servidor. Está en el texto.
¿Qué está confirmado y qué no?
| Confirmado | Pendiente / no confirmado |
|---|---|
| La falla existe y fue reproducida en un disclosure coordinado con MSRC | Que exista un fix definitivo que elimine toda la clase de vulnerabilidad |
| La técnica de ocultamiento (texto blanco, fuente mínima) y la propagación a documentos generados | Casos reales de explotación en el mundo (a la fecha se conoce como investigación, no como incidente masivo) |
| Microsoft bloqueó payloads puntuales del PoC | Si esos bloqueos cubren variantes fuera de las probadas por el investigador |
¿Cómo proteger tus documentos y datos en Copilot?
La defensa central es tratar cualquier documento externo como no confiable y revisar siempre el contenido que genera Copilot antes de distribuirlo. No hay un fix mágico del lado del usuario, así que la mitigación es de proceso, no de configuración.
Medidas prácticas:
- Desconfiá de archivos externos: si el documento vino de afuera, asumí que puede tener instrucciones ocultas antes de pasarlo por Copilot.
- Revisá lo generado: leé el output del asistente completo, no solo por arriba, antes de compartirlo con tu equipo.
- Etiquetá datos sensibles: usá Microsoft Purview y las guías de seguridad de Microsoft 365 Copilot para clasificar y limitar qué toca el asistente.
- Acotá el acceso de Copilot: no le des al asistente acceso indiscriminado a documentos confidenciales que no necesita.
- Mantené Microsoft 365 al día: aplicá las mitigaciones que Microsoft vaya liberando, aunque sepas que no cierran toda la clase de ataque.
Ojo: todo esto reduce el riesgo, no lo elimina. Mientras el modelo no distinga datos de instrucciones, la revisión humana sigue siendo el último filtro.
Errores comunes al pensar este ataque
- “Si no abro adjuntos raros, estoy cubierto”: falso. El documento puede parecer legítimo y hasta serlo; el problema es el texto oculto que Copilot procesa, no un ejecutable que vos corras.
- “Un antivirus lo detecta”: no necesariamente. Acá no hay firma de malware ni macro sospechosa, es texto plano invisible. Los controles clásicos no ven una instrucción escondida en blanco sobre blanco.
- “Microsoft ya lo parcheó, listo”: Microsoft bloqueó casos puntuales, pero el propio investigador mostró que variaciones del payload seguían pasando. Tratar el tema como cerrado es el error más caro.
Preguntas Frecuentes
¿Qué es un Document-borne AI worm?
Es una vulnerabilidad de prompt injection que se propaga entre documentos aprovechando un asistente de IA, sin ejecutable ni macro. Las instrucciones maliciosas van ocultas como texto y se copian a los archivos que el asistente genera después, que se vuelven nuevos portadores. Para más detalles técnicos, mirá herramientas de IA para desarrolladores.
¿Quién descubrió la falla en Copilot for Word?
La descubrió Håkon Måløy, investigador noruego, en el marco de un disclosure coordinado con el Microsoft Security Response Center. La reportó el 6 de marzo de 2026 y la publicó el 28 de julio de 2026.
¿Cuánto duró el disclosure coordinado?
Duró 144 días. El período original era de 90 días y se extendió dos veces mientras Microsoft trabajaba en mitigaciones, hasta la publicación pública del 28 de julio de 2026.
¿Cómo se oculta el texto malicioso en el documento?
Con texto en blanco sobre fondo blanco o en fuente de tamaño mínimo, invisible al ojo humano. Copilot extrae todo el texto del archivo sin respetar el formato visual, así que lee esas instrucciones como si fueran contenido normal.
¿Ya hay un arreglo definitivo?
No a la fecha. Microsoft bloqueó payloads puntuales del proof-of-concept, pero el investigador mostró que variantes del ataque seguían funcionando. El problema es estructural: los LLM todavía no separan bien datos de instrucciones.
Conclusión
Lo que cambió con este trabajo es que el prompt injection dejó de ser un truco de una sola interacción y pasó a comportarse como un gusano: se copia a los documentos que salen del asistente y se contagia dentro de flujos de trabajo confiables. Es la primera demostración pública de un AI worm autopropagante en una suite comercial masiva.
Importa porque no se arregla con un parche puntual. Mientras Copilot (y cualquier LLM) no distinga de forma dura qué es dato y qué es orden, el vector sigue abierto.
Qué hacer hoy, sin esperar a un fix mágico: tratá todo documento externo como sospechoso, revisá siempre lo que genera el asistente antes de compartirlo, etiquetá tus datos sensibles con Purview y no le des a Copilot acceso a lo que no necesita. La revisión humana volvió a ser imprescindible, y por un buen rato.
Fuentes
- Context Collapse, Part 3 – AI Worming through Word (Håkon Måløy) – reporte original del investigador
- The Register – cobertura del gusano que se propaga en Copilot for Word
- GBHackers – análisis técnico de la falla en Microsoft Copilot Word
- Pillar Security – qué es Cross-Domain Prompt Injection (XPIA)
- Microsoft Learn – seguridad de Microsoft 365 Copilot