Advertencia de Microsoft Simon: el gusano de Word de Copilot convierte archivos confiables en portadores

Microsoft enfrenta una nueva advertencia sobre Copilot después de que un investigador reprodujera un ataque de prompts autopropagable a través de Word, pese a dos intentos de mitigación. La historia de microsoft simon, destacada por el tecnólogo Simon Willison, trata de algo más que texto blanco oculto que influye en una única respuesta de IA. Las instrucciones pueden trasladarse a un nuevo documento y convertir ese archivo confiable en otro portador.

El científico de datos noruego Håkon Måløy reveló la investigación el 28 de julio de 2026, tras coordinarse con Microsoft durante 144 días. Afirma que el ataque siguió siendo reproducible con todas las mitigaciones actuales implementadas. Microsoft afirma que abordó los hallazgos reportados y continúa reforzando las salvaguardas para esta clase más amplia de riesgo.

El conflicto central está entre la utilidad de Copilot y el modelo de confianza que esa utilidad exige. Word debe permitir que Copilot lea documentos de referencia, interprete su significado y cree material nuevo. Esas mismas capacidades permiten que contenido hostil compita con las instrucciones reales del usuario e ingrese en trabajos por lo demás legítimos.

Esto se parece a la investigación Morris-II sobre prompts autorreplicantes, pero el portador ahora es un documento de oficina común. El ataque reportado no necesita macros ejecutables, credenciales de tenant robadas ni acceso continuo al archivo malicioso original. Depende de que los empleados pidan a un asistente de IA realizar una tarea rutinaria de redacción.

El documento de Word no sigue siendo la amenaza original

El hallazgo clave de Måløy es la propagación: una fuente envenenada puede hacer que un resultado de apariencia limpia lleve adelante las mismas instrucciones ocultas.

El ataque comienza cuando alguien recibe un documento de Word controlado por un atacante. Podría llegar por correo electrónico, Teams, SharePoint u otro canal habitual de intercambio. Más tarde, el usuario incluye ese documento como material fuente para una tarea de redacción o edición con Copilot.

Måløy colocó un prompt malicioso dentro del documento fuente usando texto blanco pequeño sobre fondo blanco. Los usuarios de Word normalmente no verían ese texto al revisar la página. Copilot aún puede recibirlo porque el procesamiento del documento elimina el formato, como el color y el tamaño de fuente, antes de enviar el texto al modelo de lenguaje.

Esa distinción importa. El texto blanco sobre blanco no es un método novedoso de ocultamiento, y la inyección de prompts mediante material oculto ya está bien documentada. El cambio importante es lo que ocurre después de que Copilot lee la carga útil.

Según la divulgación técnica de Måløy, el prompt oculto contenía dos tareas vinculadas. Una indicaba a Copilot modificar el material redactado. La segunda le decía que reprodujera el prompt dentro del documento resultante.

Su prueba de concepto utilizó una empresa ficticia e informes financieros. Según se informa, Copilot redujo a la mitad las cifras financieras al redactar un informe y luego añadió el prompt malicioso en texto blanco de ocho puntos. El resultado parecía ser un documento empresarial creado internamente.

Más tarde, un colega podía usar ese informe como contexto para otra tarea de Copilot. Las instrucciones ocultas volverían a activarse, alterarían el nuevo informe y se copiarían en ese archivo. El documento original controlado por el atacante ya no era necesario durante esta segunda etapa.

Esto es lo que hace útil el término “gusano”, con una salvedad importante. Los gusanos tradicionales ejecutan código y buscan automáticamente nuevas máquinas o servicios. Esta demostración, en cambio, utiliza instrucciones para el modelo, reutilización de documentos y flujos de trabajo humanos normales para continuar la cadena.

Por lo tanto, la propagación es condicional. Alguien o un flujo de trabajo automatizado debe colocar un archivo infectado en el contexto de Copilot. La investigación no demuestra que cada documento de Word infecte autónomamente todos los archivos cercanos.

Esa limitación no elimina el riesgo. Las organizaciones reutilizan constantemente informes, propuestas, políticas, plantillas, resúmenes de reuniones y análisis de mercado. Un portador puede desplazarse porque los empleados confían en su contenido empresarial, no porque lo reconozcan como software ejecutable.

El archivo generado también gana credibilidad institucional. Puede incluir un autor interno, formato aprobado, una identidad visual conocida y una ubicación de almacenamiento plausible. Esas señales fomentan su reutilización, aunque el documento haya heredado instrucciones de una fuente externa.

El resumen de seguridad de Simon Willison identifica claramente esta evolución. La inyección de prompts ya no afecta solo a la respuesta inmediata. El resultado del modelo se convierte en una entrada persistente para otra tarea asistida por modelos.

Ese es el evento detrás de la palabra clave microsoft simon. Willison dio visibilidad al hallazgo, Måløy realizó la investigación y Microsoft es propietaria del entorno de productividad afectado. Mantener esos roles separados es esencial al evaluar la evidencia.

Por qué las búsquedas de Microsoft Simon apuntan a una crisis de integridad

El peligro inmediato no es solo la información robada. Es la corrupción silenciosa de documentos que las personas utilizan para tomar decisiones.

La cobertura sobre inyección de prompts suele centrarse en la confidencialidad. Un atacante oculta instrucciones dentro de contenido externo, un asistente las sigue y la información protegida sale a través de un enlace o una llamada a una herramienta. Esa sigue siendo una amenaza grave, pero la demostración con Word enfatiza la integridad.

La integridad de la información significa que los registros se mantienen precisos, atribuibles y resistentes a cambios no autorizados. El ejemplo de Måløy apunta a las cifras financieras porque una alteración numérica es fácil de ilustrar. Una manipulación similar podría afectar lenguaje contractual, excepciones de políticas, previsiones, requisitos técnicos o resúmenes de investigación.

Un informe modificado puede parecer gramaticalmente pulido y coherente internamente. El documento no necesita contener absurdos evidentes para causar daño. Las modificaciones pequeñas y plausibles pueden ser más peligrosas porque es menos probable que los revisores las cuestionen.

Måløy señaló que algunos cambios experimentales eran difíciles de detectar incluso cuando sabía dónde buscar. A veces instruía a Copilot para que destacara sus modificaciones y así poder seguir el resultado. Un atacante real no tendría motivos para proporcionar esa ayuda.

El atacante también se beneficia de la distancia. Una vez que un resultado contaminado se convierte en la fuente de otro informe, los investigadores deben reconstruir una cadena de referencias. El archivo malicioso original puede estar ausente, eliminado o almacenado fuera del departamento que investiga la discrepancia.

Los controles de seguridad convencionales suelen asignar confianza según la identidad y la ubicación. Un archivo creado por un empleado dentro de un tenant aprobado de Microsoft 365 parece más seguro que un adjunto de un remitente desconocido. La autopropagación debilita esa suposición porque el documento interno puede heredar instrucciones externas.

El ataque también puede cruzar límites organizativos mediante una colaboración ordinaria. Las empresas intercambian propuestas, informes, borradores legales y planes de proyectos con proveedores y clientes. Un archivo interno infectado podría convertirse en la fuente externa de otra organización.

Esto genera presión para los equipos de seguridad, gestores de registros, auditores y responsables de negocio. No pueden tratar el texto generado por IA como si fuera solo una cuestión de calidad de redacción. Necesitan pruebas que muestren qué fuentes ingresaron en un documento y qué cambios realizó el modelo.

La guía actual de Microsoft para Word ya indica a los usuarios que revisen los resultados de IA porque pueden contener errores o inexactitudes. Su guía de Copilot también señala que los usuarios deben editar y verificar el contenido generado antes de confiar en él.

La revisión humana sigue siendo valiosa, pero no es una frontera de seguridad completa. Un revisor puede comprobar el argumento visible sin inspeccionar texto oculto, estructura del documento o procedencia de las fuentes. Los cambios sutiles también pueden sobrevivir porque encajan con la narrativa circundante.

Las organizaciones deberían diferenciar la revisión de calidad de la revisión para detectar manipulación hostil. La revisión de calidad pregunta si el texto es claro y factualmente creíble. La revisión de seguridad pregunta si contenido no confiable influyó en el comportamiento, persistió de forma invisible o cruzó un límite de autorización.

La distinción se vuelve más urgente a medida que los asistentes asumen acciones de edición. Generar un resumen desechable limita la persistencia. Editar un documento compartido puede cambiar un artefacto que posteriormente ingresa en aprobaciones, archivos y sistemas de IA posteriores.

Para los trabajadores del conocimiento, esto cuestiona una suposición conocida sobre la memoria personal e institucional. Los documentos guardados no son pasivos cuando los flujos de trabajo de IA los interpretan repetidamente como contexto. Un artefacto envenenado puede influir en resultados futuros sin modificar el modelo subyacente.

Por ello, los equipos que construyen una base de conocimiento consultable deberían preservar la identidad de las fuentes y el estado de revisión. La comodidad de la recuperación no debe borrar la diferencia entre instrucciones confiables y evidencia no confiable.

Cómo un prompt oculto se convierte en un portador autorreplicante

El mecanismo funciona porque Copilot debe interpretar el contenido del documento antes de poder decidir si ese contenido es relevante, seguro o una instrucción.

Una inyección indirecta de prompts coloca instrucciones hostiles dentro de material que un sistema de IA lee en nombre del usuario. El usuario no escribe el comando malicioso. Lo suministra un documento, correo electrónico, página web, respuesta de una herramienta o memoria recuperada.

Microsoft llama a esta categoría más amplia ataque de inyección entre prompts, o XPIA. El ataque cruza desde contenido externo al proceso de decisión del asistente. Intenta hacer que los datos se comporten como un comando.

La demostración con Word comienza en ese límite. Un usuario pide a Copilot que redacte un informe financiero usando varios archivos adjuntos. Copilot debe leer esos adjuntos para identificar hechos útiles, incluso cuando uno contiene instrucciones ocultas.

El modelo recibe lenguaje confiable y no confiable dentro del mismo contexto computacional. Las reglas del sistema, las solicitudes del usuario, el material de referencia y los mensajes anteriores pueden tener etiquetas o marcadores estructurales. Sin embargo, el modelo sigue interpretándolos todos como tokens al predecir su respuesta.

Måløy compara la detección basada en modelos con pedir a un intérprete que ejecute un programa no confiable para decidir si ese programa es seguro. La analogía es imperfecta, ya que el lenguaje natural no es código ejecutable convencional. Pero captura la dependencia circular en el centro del problema.

El sistema quiere que el modelo comprenda profundamente material de referencia arbitrario. Un filtro más débil puede pasar por alto paráfrasis, ofuscación, formato inusual o instrucciones envueltas en lenguaje empresarial plausible. Un modelo de capacidad similar utilizado como filtro puede enfrentarse a la propia inyección de prompts.

Microsoft describe varias protecciones, incluidos el filtrado de entradas, la separación de instrucciones, los límites de grounding y el filtrado de resultados. Su defensa contra la inyección de prompts también identifica el texto oculto o invisible como una señal de advertencia.

Estas capas pueden reducir el éxito del ataque sin crear una distinción completa entre contenido e intención. Måløy afirma que Microsoft bloqueó la redacción de su prueba de concepto original. Luego cambió la tarea solicitada y la formulación, manteniendo el mecanismo de propagación.

La cronología de la divulgación muestra la competencia repetida. Måløy envió su informe inicial a Microsoft el 6 de marzo, y Microsoft lo reconoció el 9 de marzo. Microsoft confirmó el comportamiento reportado el 31 de marzo.

Una primera mitigación entró en funcionamiento el 3 de abril con la nueva experiencia Edit with Copilot. Para el 9 de abril, la redacción original ya no funcionaba. Måløy informó que reprodujo el comportamiento ese día mediante una nueva tarea de prompt relacionada con manipulación financiera.

Microsoft retrasó posteriormente la divulgación mientras preparaba otra mitigación. Måløy afirma que una actualización del modelo se implementó el 14 de julio. Reprodujo la propagación tipo gusano el 15 de julio usando el modelo más reciente disponible durante sus pruebas, y luego retrasó la publicación dos semanas más.

El 28 de julio, informó que el ataque seguía reproduciéndose. Publicó la clase de vulnerabilidad y ocultó la carga útil exacta. Esta decisión permite a los defensores examinar el riesgo del flujo de trabajo sin proporcionar un prompt de ataque listo para copiar.

El mecanismo de dos etapas se mantuvo coherente a lo largo de esas revisiones. Primero, las instrucciones hostiles influyen en la tarea activa de redacción o edición. Segundo, Copilot copia esas instrucciones en el resultado, creando un portador persistente.

Ese segundo paso distingue la demostración de la mayoría de las inyecciones de una sola sesión. La persistencia no depende de la memoria del modelo ni de una cuenta comprometida. Reside en un archivo normal que las personas pueden almacenar, aprobar y redistribuir.

Las protecciones de Microsoft siguen siendo importantes. Aumentar el esfuerzo necesario para una inyección exitosa puede reducir la exposición y bloquear formulaciones conocidas. La defensa en profundidad también limita el daño cuando falla una capa.

Sin embargo, el bloqueo específico de cargas útiles crea un ciclo de mantenimiento desfavorable. Los atacantes pueden variar la redacción, el contexto del documento y las acciones solicitadas. Los defensores deben cubrir un amplio espacio semántico mientras preservan la capacidad del asistente para seguir instrucciones legítimas.

La promesa de productividad de Copilot se encuentra con su límite de confianza

El mismo acceso a documentos que hace útil a Copilot ofrece al texto controlado por atacantes una vía hacia trabajos de alta confianza.

Microsoft promociona Copilot en Word como una herramienta para redactar, resumir, reescribir e incorporar información de otros documentos en contenido nuevo. Estas funciones requieren un amplio acceso al material de trabajo de la organización.

En abril de 2026, Microsoft presentó capacidades adicionales de Word para profesionales jurídicos, financieros y de cumplimiento. Las funciones incluían la gestión de comentarios y cambios controlados para flujos de trabajo que exigen atención al detalle. Microsoft afirmó que la integridad documental no era negociable para esos usuarios.

La divulgación del gusano enfrenta esa promesa con una realidad difícil. Los profesionales que trabajan con asuntos críticos se benefician más cuando Copilot puede leer muchas fuentes y realizar ediciones significativas. También afrontan mayores consecuencias cuando instrucciones ocultas manipulan esas acciones.

Este es el principal conflicto del artículo: acceso útil al contexto frente a un control fiable de las instrucciones. Eliminar todo el contexto externo limitaría drásticamente el producto. Tratar cada frase significativa como un posible comando también puede perjudicar la redacción normal.

El problema va más allá de Microsoft. La generación aumentada por recuperación, o RAG, proporciona a un modelo información externa seleccionada antes de que responda. Cualquier sistema RAG puede exponer el modelo a material controlado por atacantes, salvo que sus fuentes y acciones estén estrictamente restringidas.

El artículo Morris-II de 2024 demostró prompts adversarios autorreplicantes en entornos de asistentes de correo electrónico con IA generativa. Esos prompts podían propagarse a través de aplicaciones conectadas y facilitar el robo de datos en interacciones repetidas.

El trabajo de Måløy lleva el concepto a flujos de trabajo de Word utilizados por organizaciones convencionales. Sustituye un entorno experimental de correo electrónico por la conocida redacción y edición de documentos. La ruta de ataque también explota la confianza asociada a los archivos internos.

Otros proveedores de IA afrontan la misma tensión arquitectónica. Los asistentes de Google Workspace pueden resumir y crear documentos a partir de contenido compartido. Los productos de Anthropic y OpenAI pueden procesar archivos cargados, registros recuperados y datos de aplicaciones conectadas.

La comparación pertinente no es qué modelo sigue una carga útil concreta. Los ataques mediante prompts son probabilísticos, y el rendimiento cambia según los prompts, las versiones del modelo, el contexto y las salvaguardas. Un único éxito o fracaso no puede establecer una clasificación duradera.

La mejor pregunta se refiere al diseño del sistema. ¿Mantiene el producto la procedencia de las fuentes, restringe las acciones, expone los cambios del modelo y evita que el resultado generado se convierta silenciosamente en una instrucción de confianza? ¿Pueden los administradores investigar la cadena tras un comportamiento sospechoso?

Microsoft afirma que utiliza múltiples salvaguardas para bloquear instrucciones maliciosas y mantener las tareas alineadas con las solicitudes de los usuarios. También aconseja a los clientes instalar actualizaciones, usar protección por capas, desconfiar de contenido desconocido y revisar el resultado generado.

Måløy ofrece una evaluación más acotada. Reconoce a Microsoft por bloquear las cargas útiles reportadas y mitigar vectores anteriores relacionados con memoria y correo electrónico. No obstante, sostiene que ninguna acción del lado del cliente aborda por completo la clase de propagación documental en el momento de la publicación.

Estas declaraciones no son mutuamente excluyentes. Microsoft puede mejorar las defensas mientras persiste una vulnerabilidad más amplia. Los controles de seguridad suelen reducir la probabilidad y el impacto sin eliminar toda una categoría de ataque.

El desacuerdo se refiere a lo que los clientes deberían inferir de ese riesgo residual. El lenguaje de Microsoft enfatiza la defensa continua. El análisis de Måløy sostiene que las organizaciones deben asumir cierto grado de compromiso cada vez que contenido controlado por atacantes llega a un modelo de lenguaje integrado.

Esa afirmación más contundente no se ha probado de forma independiente en todas las configuraciones de Copilot. El informe público documenta una prueba de concepto en condiciones declaradas, no una tasa de infección medida en entornos de producción.

Lo que la historia de microsoft simon todavía no demuestra

La demostración es seria, pero no establece una infección masiva autónoma ni confirma explotación contra organizaciones reales.

El informe de Måløy presenta escenarios controlados de prueba de concepto que utilizan una empresa ficticia. No afirma que los atacantes ya hayan usado este método contra clientes. La divulgación no incluye ningún recuento público de incidentes, total de usuarios afectados ni tasa de éxito medida.

El ataque también requiere un desencadenante en el flujo de trabajo. Un documento malicioso debe entrar en el contexto de Copilot, ya sea mediante un archivo adjunto explícito o a través de recuperación desde OneDrive. Un usuario o proceso automatizado debe aceptar, guardar o reutilizar después el documento resultante.

Copilot no infecta simplemente todos los archivos de Word accesibles para la cuenta. El modelo debe seleccionar o recibir el portador, seguir la instrucción oculta y reproducirla correctamente. Cada etapa introduce incertidumbre.

El investigador demostró tanto el archivo adjunto directo como la selección automática por relevancia en su entorno. En este último caso, Copilot encontró un documento malicioso de análisis de mercado en OneDrive aunque estaba almacenado aparte de los archivos internos relacionados.

Este resultado merece atención porque la recuperación automática reduce la conciencia del usuario sobre la fuente. Sin embargo, no nos dice con qué frecuencia Copilot selecciona un documento introducido por un atacante en distintos tenants, permisos, temas o colecciones documentales.

La carga útil también utilizó texto blanco, una técnica de ocultación detectable. Las herramientas de seguridad pueden inspeccionar el XML de los documentos, marcar formatos ocultos o convertir archivos en texto normalizado para su revisión. Esos controles pueden detectar este ejemplo sin identificar instrucciones disfrazadas semánticamente.

Måløy ocultó deliberadamente el prompt exacto, lo que limita la reproducción independiente. Esa decisión reduce el uso indebido inmediato, pero también implica que los investigadores externos aún no pueden auditar cada detalle. The Register informó que Microsoft confirmó la investigación tras recibir los materiales completos.

El comportamiento del modelo es otra fuente de incertidumbre. Un prompt que tiene éxito en una prueba puede fallar tras una actualización o en otro contexto. Por el contrario, una carga útil bloqueada no demuestra que toda la clase se haya cerrado.

Por tanto, el encuadre de microsoft simon debe seguir siendo preciso. La evidencia respalda una demostración de prompt autorreplicante y transportado por documentos en Copilot para Word. No respalda afirmaciones sobre un brote generalizado ni una epidemia convencional de malware.

Las evaluaciones de riesgo deben considerar la consecuencia junto con la frecuencia. Una tasa de éxito baja puede seguir siendo relevante cuando los artefactos afectados incluyen informes financieros, contratos, presentaciones regulatorias o procedimientos de seguridad. La reutilización repetida asistida por IA puede crear muchas oportunidades de activación.

Las empresas deberían evitar respuestas que hagan a los empleados los únicos responsables de la detección. Decir a los usuarios que inspeccionen cada fuente y resultado traslada un problema técnico de confianza a un proceso de revisión apresurado.

Los controles razonables incluyen limitar el acceso de Copilot a repositorios aprobados, analizar los documentos cargados en busca de material oculto y separar las fuentes externas de las plantillas de confianza. Las organizaciones también pueden exigir aprobación humana antes de que archivos editados por IA entren en flujos de trabajo importantes.

La procedencia documental es igualmente importante. Los sistemas deberían registrar qué fuentes contribuyeron a un resultado y qué cambios propuso Copilot. Los revisores necesitan evidencia visible, no solo un documento final aparentemente limpio.

Los equipos de seguridad deberían probar sus propias configuraciones mediante ejercicios internos seguros. Las pruebas deberían variar las fuentes de archivos adjuntos, el comportamiento de recuperación, los tipos de documento, los permisos y la reutilización posterior. Los resultados de un tenant no deben tratarse como universales.

Los planes de respuesta ante incidentes también necesitan una estrategia de linaje documental. Si se encuentra un portador, los investigadores deben identificar archivos derivados, destinatarios, ubicaciones de almacenamiento y sesiones posteriores de Copilot. Eliminar el archivo conocido más temprano no eliminaría las copias posteriores.

Tres señales mostrarán si el gusano de IA de Word está contenido

La próxima prueba es si Microsoft puede detener la propagación como clase, exponer un linaje fiable y resistir la reproducción independiente.

La primera señal es una mitigación de Microsoft que aborde la propagación en los resultados, en lugar de otra carga útil conocida. Una actualización significativa impediría que Copilot copie silenciosamente instrucciones no confiables en documentos generados. Debería funcionar con paráfrasis y variaciones de tareas.

Ese control reforzaría la confianza si pruebas independientes muestran que la cadena del portador se rompe. Otro bloqueo específico de redacción debilitaría esa conclusión, incluso si detiene el prompt que recibió Microsoft.

La segunda señal es una mejor procedencia dentro de Word y Microsoft 365. Los usuarios necesitan un registro duradero que conecte el texto generado con sus documentos de referencia. También necesitan un seguimiento visible de las ediciones realizadas por el modelo, incluidos los cambios aceptados en un archivo final.

La procedencia no impediría todas las inyecciones. Reduciría la invisibilidad que hace difícil rastrear el gusano demostrado. También podría ayudar a los equipos de seguridad a localizar documentos relacionados después de descubrir un archivo afectado.

La tercera señal son pruebas independientes en las configuraciones actuales de Copilot. Los investigadores deberían examinar archivos adjuntos explícitos, recuperación desde OneDrive, Edit with Copilot y otros flujos de creación de documentos. Deberían informar de las condiciones y tasas de éxito sin publicar prematuramente cargas útiles operativas.

Una reproducción independiente fallida debilitaría las afirmaciones más amplias, pero no eliminaría el problema arquitectónico. Una reproducción fiable tras otra mitigación demostraría que la clase sigue activa más allá del entorno de un investigador.

Por ahora, las organizaciones deberían tratar los archivos de origen externo como datos no confiables siempre que Copilot los procese. Deberían aplicar la misma cautela a los documentos generados internamente cuyo historial de fuentes sea desconocido.

La pregunta práctica ya no es si el texto oculto puede engañar la respuesta de un chatbot. Es si los artefactos creados por IA pueden transportar una intención hostil al siguiente flujo de trabajo de confianza. La historia de microsoft simon indica que pueden hacerlo en las condiciones demostradas, mientras Microsoft afirma que sus salvaguardas por capas siguen mejorando.

Quienes usan Copilot para tareas de importancia deberían plantearse una pregunta inmediata antes de reutilizar cualquier archivo generado: ¿podemos identificar cada fuente, cada cambio realizado por la IA y cada instrucción oculta que contiene? Si la respuesta es no, el documento todavía no es lo bastante fiable como para convertirse en el contexto de otra persona.