La retención de memoria de Microsoft Copilot expone la brecha entre los datos guardados y la evidencia utilizable
Microsoft ha ampliado la retención de memoria de Copilot, según un aviso de despliegue archivado, pese a que la orientación para administradores sigue describiendo esas memorias como ajenas a los controles de retención. La retención de memoria de Microsoft Copilot se encuentra ahora en el centro de una cuestión más amplia: ¿pueden las empresas reconstruir lo que sus sistemas de IA recordaron e hicieron? Investigaciones recientes sobre ransomware concretan esta pregunta al mostrar cómo las conversaciones almacenadas de IA de un atacante se convirtieron en evidencia de una operación.
Los informes convergen en el eDiscovery, el proceso de identificar, preservar y revisar información electrónica para asuntos legales. Las conversaciones, las memorias persistentes y los registros de actividad pueden contar partes distintas de la historia de un agente. Una organización que recopila solo el chat visible corre el riesgo de perder información que influyó en comportamientos posteriores.
El desafío de Microsoft también cuenta con un punto de referencia fuera del software de oficina. METR y Redwood Research describieron recientemente lagunas históricas en la supervisión interna de agentes de OpenAI. En conjunto, estos acontecimientos ponen presión sobre una suposición empresarial conocida: almacenar datos de IA dentro de una plataforma consolidada hace automáticamente que su comportamiento pueda explicarse después.
La retención de memoria de Microsoft Copilot ha cambiado, pero la orientación no se ha puesto al día
El cambio inmediato aparece en el aviso MC1478965 del Centro de mensajes de Microsoft, disponible públicamente a través de un archivo independiente. Su actualización del 22 de octubre de 2026 indica que el despliegue global del soporte de retención se completó ese mes. El aviso se refiere a memorias guardadas, información que Copilot conserva entre conversaciones para personalizar respuestas posteriores.
Según el aviso archivado sobre retención de memoria, la retención configurada puede conservar versiones históricas cuando los usuarios editan o eliminan elementos de memoria. Esas versiones inactivas permanecen en los buzones de Exchange de los usuarios y respaldan las investigaciones. Por tanto, el anuncio describe algo más que conservar la última preferencia recordada.
El cambio convierte una versión anterior de la memoria en un posible registro de investigación, incluso después de que el usuario cambie lo que Copilot recuerda.
Esta distinción importa cuando una investigación se refiere a comportamientos pasados. Una memoria actual muestra lo que el asistente recuerda ahora. Una versión anterior puede ayudar a establecer qué información existía antes de una respuesta, recomendación o acción bajo revisión.
Sin embargo, la documentación para administradores de Microsoft presenta una imagen diferente. Su página de controles de memoria de Copilot, actualizada por última vez el 2 de septiembre, indica que las políticas y etiquetas de retención de Purview no se aplican a la memoria. Purview es la suite de Microsoft para gobernanza de datos, seguridad y cumplimiento.
La página también distingue entre memorias guardadas, inferencias del historial de chat e instrucciones personalizadas. Describe acceso de descubrimiento para memorias guardadas e inferidas, mientras excluye las instrucciones personalizadas de esas herramientas administrativas de descubrimiento. Esto convierte a “memoria de Copilot” en un término general con coberturas sustancialmente distintas debajo.
El momento sugiere que la documentación se ha quedado atrás respecto a un despliegue, pero esto sigue siendo una interpretación. Un aviso más reciente no establece que cada categoría de memoria reciba un tratamiento idéntico. Tampoco un archivo público sustituye la comprobación del aviso actual y del comportamiento disponible dentro del entorno propio de una organización.
Para los compradores, la consecuencia es incertidumbre sobre el alcance, no una prueba de un fallo universal de retención. Microsoft ha descrito una ampliación concreta. Sus materiales públicos aún no ofrecen una explicación única y coherente de todos los controles relacionados.
Esta es una transición de producto con consecuencias operativas. Los equipos jurídicos necesitan descripciones precisas de la información que puede descubrirse. Los administradores necesitan configuraciones que puedan verificar. Los empleados necesitan explicaciones comprensibles sobre qué cambia realmente al editar o eliminar un detalle recordado.
La distinción también evita un titular exagerado. Microsoft no ha anunciado que toda interacción de IA se convierta en evidencia permanente. El desarrollo verificado es más limitado: la retención configurada puede conservar el historial de memorias guardadas, según el aviso archivado.
Ese desarrollo más limitado es suficientemente relevante. La memoria convierte una función conversacional en un registro continuo cuya historia puede importar independientemente de la conversación que la creó.
Los registros de ransomware muestran por qué los registros de agentes importan más allá de la ventana de chat
El aspecto de seguridad de esta historia comenzó con una exposición inusualmente reveladora. SOCRadar informó haber encontrado infraestructura asociada a afiliados de las operaciones de ransomware INC y The Gentlemen. Sus hallazgos incluyeron conversaciones de IA, bases de conocimiento operativas y código fuente de un framework llamado Phantom.
El análisis de operaciones de ransomware de la Cloud Security Alliance, del 26 de octubre, describe 8.257 mensajes de IA en 133 sesiones. Caracteriza la operación como ejecutada por IA y aprobada por humanos, basándose en los hallazgos de SOCRadar. Las bases de conocimiento persistentes ayudaron a trasladar el contexto de las víctimas entre sesiones.
El relato requiere límites cuidadosos. Estos eran registros reportados de una operación, no una confirmación independiente de cada afirmación de los atacantes. El análisis advierte explícitamente que varias medidas de acceso y explotación procedían del propio material de los operadores.
La inversión importante es que la memoria operativa, útil para los atacantes, también proporcionó a los investigadores un registro que examinar.
Una transcripción de chat puede mostrar una solicitud y una respuesta. Una base de conocimiento operativa puede mostrar contexto acumulado, incluido aquello que se indicó a un agente que trasladara. Una aprobación humana puede conectar un paso propuesto con la decisión de un operador.
Estos registros tienen distinto valor probatorio. Una afirmación de que el acceso tuvo éxito no demuestra de forma independiente que el acceso se lograra. Un comando propuesto no demuestra su ejecución. Una aprobación no establece que la acción aprobada se completara.
Aun así, su combinación puede respaldar una reconstrucción más detallada que un informe final por sí solo. Los investigadores pueden comparar afirmaciones, instrucciones, aprobaciones y resultados observables. Las contradicciones se convierten en preguntas por investigar, en lugar de brechas ocultas tras un resumen pulido.
Esta lección se traslada a los agentes empresariales legítimos sin equiparar el uso ordinario de oficina con actividad delictiva. Un asistente que gestiona un flujo de trabajo empresarial también recibe instrucciones, acumula contexto y produce resultados. Comprender un resultado controvertido exige saber cuáles de esos registros existen realmente.
La operación expuesta ofrece un ejemplo concreto de lo que está en juego. No demuestra que almacenar más información mejore siempre la seguridad. Los mismos registros que respaldaban la continuidad también crearon una exposición cuando los operadores no protegieron su infraestructura.
Para las empresas, esto crea una disyuntiva entre la capacidad de reconstrucción y la concentración de información sensible. Los registros detallados pueden ayudar a explicar un incidente. También pueden revelar contexto confidencial si fallan los controles de acceso.
Por tanto, el objetivo útil es un rastro probatorio defendible con límites adecuados. Un archivo indiferenciado crea sus propios riesgos. Una transcripción escueta deja sin respuesta preguntas sobre lo que ocurrió entre la instrucción del usuario y la acción resultante.
Los registros de agentes de IA merecen atención porque conectan esas etapas. Su valor procede de su relación con acontecimientos reales, no del mero hecho de que un sistema de IA los haya generado.
El contenido guardado y la actividad registrada responden a preguntas distintas
La tensión central se da entre preservar información y explicar el comportamiento. La retención mantiene contenido especificado disponible conforme a reglas configuradas. El registro documenta eventos, como un cambio o una acción. Ninguna función proporciona automáticamente la otra.
Una memoria conservada puede establecer contenido, mientras que un registro de actividad ayuda a establecer cuándo y cómo cambió ese contenido.
Consideremos a un empleado hipotético que pide a un asistente recordar una preferencia para gestionar excepciones de clientes. Más tarde, una respuesta controvertida sigue esa preferencia. La memoria actual podría explicar la respuesta, pero no puede por sí sola establecer cuándo apareció por primera vez la preferencia.
Una versión histórica mejoraría esa reconstrucción. Un evento que identifique la actualización añadiría otra dimensión. Un registro que vincule la respuesta posterior con el contexto pertinente reforzaría aún más la conexión.
Estas son preguntas distintas incluso cuando un proveedor las presenta dentro de una interfaz de cumplimiento compartida. La capacidad de búsqueda pregunta si los investigadores pueden localizar un elemento. La preservación pregunta si este sobrevive a los cambios relevantes. La trazabilidad pregunta si los registros disponibles explican su relación con un evento.
El material publicado por Microsoft ilustra por qué importan estas distinciones. Su marco de seguridad de la memoria del 22 de junio afirma que Microsoft 365 Copilot registra las actualizaciones de memoria en los registros de auditoría organizacionales. La publicación también identifica un campo MemoryUpdated para el análisis de seguridad.
Este relato entra en conflicto con la afirmación de la página para administradores de que las acciones de memoria y personalización no generan entradas de auditoría de Purview. Las fuentes no establecen si distintas superficies de registro, configuraciones o el momento de la documentación explican la discrepancia. Declarar que el registro está universalmente ausente exageraría la evidencia.
Declarar que existe un registro integral disponible de forma universal también iría demasiado lejos. La publicación de seguridad de Microsoft condiciona las capacidades a la configuración, las licencias y la disponibilidad del servicio. Su objetivo declarado de rastrear contenido fuente a través de la memoria hasta interacciones posteriores debe seguir siendo distinto de una verificación independiente de su completitud.
Para los compradores empresariales, la cuestión práctica es qué contiene un registro de evento concreto. Un indicador de actualización puede mostrar que algo cambió sin incluir los valores completos anteriores y posteriores. Los investigadores necesitan comprender esta distinción antes de basarse en el indicador.
Lo mismo se aplica a las relaciones con las fuentes. Una declaración recordada podría reflejar una instrucción del usuario, una inferencia o información extraída de contenido de trabajo. Su interpretación depende en parte de la procedencia, la información que muestra dónde se originó un registro.
Esto no hace que la memoria sea inherentemente poco fiable. Significa que la memoria es una representación adicional de información. Los investigadores deben evaluar su origen y contexto en lugar de tratarla como un relato literal de los acontecimientos subyacentes.
La presión recae tanto en el diseño de productos como en la adquisición empresarial. Los proveedores necesitan límites comprensibles entre almacenamiento, registro y reconstrucción. Los compradores necesitan evidencia de que esos límites respaldan sus requisitos reales de investigación.
La retención de memoria de Microsoft Copilot aborda una parte importante de ese problema. No resuelve, por sí sola, si una organización puede explicar cada cambio relevante o acción posterior.
La revisión de supervisión de OpenAI muestra otra vía hacia la falta de evidencia
Una investigación independiente aporta contexto útil sin establecer el mismo fallo dentro de los productos de Microsoft. El 22 de octubre, METR publicó hallazgos de un ejercicio piloto que examinó la supervisión histórica interna de agentes de OpenAI. David Rein y Adam Kaufman describieron el trabajo realizado entre el 21 de julio y el 11 de agosto.
Sus hallazgos sobre la supervisión de agentes estimaron que los eventos de compactación sin supervisión dejaron sin monitorear aproximadamente el 10 % del tráfico interno elegible de Codex entre mayo y julio. La compactación condensa el contexto de trabajo de un agente. Los investigadores subrayaron la incertidumbre porque no se había registrado la información histórica necesaria.
También afirmaron que OpenAI había identificado esa brecha de forma independiente y la había corregido durante el ejercicio. Su evaluación se refería al sistema histórico, no a la cobertura actual del sistema ampliado. OpenAI informó posteriormente de parches que los evaluadores no habían analizado de forma independiente.
La comparación muestra por qué una afirmación sobre supervisión necesita una explicación verificable de manera independiente sobre qué llegó realmente al monitor.
La cuestión de la memoria de Microsoft se refiere a la información almacenada y a la cobertura de gobernanza. La evaluación de OpenAI se refiere a si la actividad llegó a un sistema de supervisión. Son mecanismos distintos, pero ambos cuestionan la suposición de que un control identificado cubre el alcance previsto.
La comparación no debería convertirse en una clasificación de productos. El ejercicio de METR no establece que los controles de Microsoft sean más fuertes o más débiles. Tampoco justifica aplicar un hallazgo de investigación interna a cada implementación de clientes de tecnología de OpenAI.
Su relevancia reside en el problema de la verificación. Una organización puede definir qué actividad debe recibir escrutinio y aun así carecer de registros suficientes para confirmar posteriormente la cobertura. La ausencia de un fallo registrado se vuelve entonces ambigua.
Esa ambigüedad importa durante la reconstrucción de incidentes. Una entrada ausente podría significar que una acción nunca ocurrió. También podría significar que la ruta de recopilación la omitió. Sin pruebas circundantes, los investigadores no pueden elegir con seguridad entre esas explicaciones.
Para los equipos de seguridad, la integridad de la supervisión y la calidad de detección son preocupaciones independientes. Un detector puede funcionar bien con la actividad que ve y, al mismo tiempo, pasar por alto actividad fuera de su ruta de recopilación. La preservación de contenido tiene una limitación paralela cuando las categorías relevantes quedan fuera del conjunto preservado.
Por tanto, la presión más amplia de la industria va más allá de añadir otro panel de control. Los compradores necesitan declaraciones claras sobre inclusión, exclusiones y comportamiento ante fallos. También necesitan formas de contrastar esas declaraciones con registros independientes.
Una evaluación útil separa el trabajo del agente de los controles que lo observan. Si la misma ruta operativa proporciona tanto la actividad como su única evidencia, un defecto puede ocultar ambos. Es una preocupación arquitectónica, no una prueba de que una implementación específica haya fallado.
Por eso los registros de agentes de IA están pasando a formar parte de los debates de gobernanza junto con la capacidad de los modelos. Un asistente capaz sigue necesitando límites observables cuando las organizaciones le delegan trabajo con consecuencias.
La pregunta empresarial es sencilla: cuando la organización necesite una explicación, ¿tendrá pruebas o solo una descripción de las salvaguardas previstas?
El descubrimiento de memoria de Copilot deja a los equipos jurídicos y de privacidad con problemas diferentes
La propia guía de búsqueda de Microsoft deja explícito un límite importante. Eliminar una conversación de Copilot no elimina su memoria asociada. La documentación de descubrimiento de datos de IA también identifica la memoria bajo la clase de elemento IPM.Contact, una clasificación de almacenamiento compartida con los contactos.
Estos detalles complican las suposiciones basadas en la interfaz visible de chat. Una búsqueda de conversaciones y una búsqueda de memoria no son intercambiables. Una eliminación correcta en una categoría no establece la eliminación en categorías relacionadas.
El descubrimiento de memoria de Copilot implica tanto encontrar pruebas relevantes como comprender qué registros relacionados permanecen fuera del resultado.
Las implicaciones difieren según el equipo. Los revisores jurídicos se preocupan por preservar el contexto relevante. Los equipos de privacidad se preocupan por explicaciones precisas sobre acceso, corrección y eliminación. Los equipos de seguridad se preocupan por si el contexto retenido ayuda a reconstruir un incidente.
Estos objetivos pueden solaparse sin producir decisiones idénticas. Una versión histórica puede ayudar a explicar un comportamiento cuestionado y, al mismo tiempo, conservar información que un usuario cree haber eliminado. El estado visible de la interfaz no resuelve el estado de los registros administrativos retenidos.
El aviso de lanzamiento archivado hace explícita esa tensión al describir la preservación después de ediciones o eliminaciones. La distinción importante está entre retirar una memoria del uso activo y eliminar todas las versiones retenidas. Las organizaciones necesitan un lenguaje que explique claramente la diferencia.
Eso no establece una obligación legal de conservar cada memoria. Tampoco establece que una solicitud de eliminación de un usuario siempre prevalezca sobre la preservación. Estas cuestiones dependen de las circunstancias y los requisitos legales aplicables.
Una retención legal, una medida utilizada para preservar información identificada para litigios, añade otra cuestión de alcance. La guía general sobre buzones describe el efecto de las retenciones sobre la eliminación. Los materiales de memoria revisados no establecen plenamente cada interacción específica de memoria con las retenciones.
Esa incertidumbre debe seguir siendo visible en la cobertura informativa. Un aviso sobre la retención de memoria guardada no basta para afirmar una cobertura universal de retenciones sobre memorias inferidas, instrucciones personalizadas y versiones históricas. Las categorías de producto necesitan sus propias pruebas.
La cuestión de la clasificación también afecta a la interpretación. Encontrar un elemento bajo una clasificación de contactos no lo convierte en una entrada ordinaria de libreta de direcciones. Los revisores necesitan contexto que explique qué representa el elemento y por qué aparece en una recopilación.
De forma similar, una inferencia generada no debería atribuirse automáticamente al empleado como una declaración directa. Puede reflejar la interpretación del sistema. Esa distinción importa cuando los revisores evalúan intención, conocimiento o autorización.
Para los empleados, la preocupación es un control comprensible sobre la información laboral. Para las organizaciones, es la capacidad de hacer declaraciones precisas sobre lo que sigue disponible. Una certeza engañosa genera problemas en ambas direcciones.
La misma distinción se aplica a una gestión del conocimiento personal más amplia. Organizar información para recuperarla en el futuro cumple una finalidad distinta de preservar pruebas sobre comportamientos pasados. Un sistema de memoria útil no proporciona automáticamente un relato histórico completo.
La retención de memoria de Microsoft Copilot acerca más estos objetivos. La presión resultante es tanto organizativa como técnica: alguien debe asumir la responsabilidad de la explicación entre las áreas jurídica, de privacidad, seguridad y TI.
La próxima prueba es una guía coherente y pruebas reproducibles
La primera señal que hay que vigilar es si Microsoft concilia su guía pública. El aviso de retención, la página para administradores y la publicación de seguridad respaldan actualmente conclusiones diferentes, a menos que los lectores separen cuidadosamente sus alcances. Una revisión debería identificar las categorías de memoria afectadas y las superficies de registro pertinentes.
Una documentación coherente reforzaría la confianza, mientras que un comportamiento reproducible establecería en qué pueden confiar realmente las organizaciones.
Una página actualizada reforzaría la hipótesis de que el desacuerdo actual refleja el momento de la documentación. Las contradicciones persistentes dejarían a los compradores dependiendo de interpretaciones de soporte y verificación local. Ningún resultado, por sí solo, demostraría que los registros subyacentes hubieran desaparecido.
La segunda señal son las pruebas realizadas por organizaciones bajo control sobre la retención de memoria de Microsoft Copilot. El propio aviso archivado recomienda validar el comportamiento de retención y descubrimiento con un grupo de prueba limitado. Los resultados útiles distinguirían las memorias actuales, las versiones anteriores, los elementos editados y los elementos eliminados.
Las pruebas más sólidas explicarían conjuntamente la configuración y el resultado observado. Una captura de pantalla de una política demuestra que existe una configuración. Un elemento histórico recuperado muestra un resultado más específico.
Los administradores e investigadores independientes pueden ayudar a aclarar esos límites sin afirmar una cobertura universal. Sus hallazgos necesitan suficiente contexto para ser comparables. De lo contrario, informes aparentemente contradictorios pueden reflejar distintas funciones, permisos o estados de implementación.
La tercera señal es si los proveedores facilitan la conciliación entre la cobertura de eventos y el contenido preservado. Una organización necesita conectar un cambio de memoria relevante con la interacción circundante y el trabajo resultante. Esa relación es más útil que un recuento aislado de eventos registrados.
El progreso reforzaría el argumento de que las plataformas empresariales están cerrando la brecha entre personalización y responsabilidad. Las brechas persistentes respaldarían una interpretación más cautelosa: el contenido existe, pero reconstruir el comportamiento sigue requiriendo una correlación manual incompleta.
Estas señales importan durante los próximos meses porque los compradores están evaluando el comportamiento de los agentes junto con los controles tradicionales de software. Una demostración satisfactoria debe mostrar qué ocurre después de que cambia la información, no simplemente qué aparece durante una conversación inicial limpia.
Para los desarrolladores, esto desplaza la atención hacia los registros que crean sus integraciones y el contexto que esos registros preservan. Para los compradores, aumenta el valor de límites precisos de las pruebas. Para los trabajadores del conocimiento, convierte los controles comprensibles de eliminación y memoria en parte de la confianza en el producto.
Inicie la próxima conversación interna con un flujo de trabajo empresarial real, en lugar de una garantía general de que los datos de IA permanecen dentro de la plataforma. Pregunte qué registros de conversación, memoria, aprobación y actividad explicarían un resultado cuestionado. Establezca quién puede recuperarlos y cómo se interpretaría su significado. Mantenga separado el contenido actual de su historial, y la instrucción del usuario de la inferencia del sistema. La retención de memoria de Microsoft Copilot hace más urgente esa conversación porque el contexto recordado ahora puede tener una vida administrativa más larga. Reúna a los responsables jurídicos, de privacidad, seguridad y TI en la misma revisión, y pídales que demuestren la cadena de pruebas en la que confiarían cuando el flujo de trabajo falle.
