Microsoft 365 Copilot, el asistente de productividad integrado a aplicaciones como Word y Outlook, fue identificado recientemente como vulnerable a un ataque que podría permitir la obtención de información confidencial. La vulnerabilidad, denominada EchoLeak, fue revelada por Aim Security en un informe publicado el miércoles.
Características del ataque
El ataque, descrito como inyección indirecta de mensajes, se basa en una vulnerabilidad identificada con la clave CVE-2025-32711. Los atacantes pueden aprovechar esta brecha para recopilar información sensible del usuario sin requerir que éste interactúe directamente con el correo malicioso.
El método de ataque consiste en enviar un mensaje al destinatario, que contiene instrucciones para que Copilot extraiga y comparta datos previamente almacenados. Cuando la víctima solicita información relacionada con el contenido del correo, la IA ejecuta las órdenes incluidas, permitiendo así la exfiltración de datos.
Implementación del parche
Microsoft publicó un aviso sobre la vulnerabilidad el miércoles. La empresa describió el problema como «inyección de comandos de IA en M365 Copilot» y lo clasificó como «crítica». Sin embargo, informó a los clientes que se ha implementado un parche en el servidor y que no se requiere ninguna acción por parte del cliente.
Detalles técnicos
El ataque EchoLeak implica la redacción de correos electrónicos que parecen legítimos, sin incluir referencias directas a Copilot o a otras inteligencias artificiales. Esto permite eludir mecanismos de seguridad como los clasificadores de ataques de inyección cruzada de mensajes (XPIA), diseñados para prevenir la inyección de comandos.
Además, el ataque evita las medidas de redacción de imágenes y enlaces, así como la Política de Seguridad de Contenido (CSP), lo que debería impedir la exfiltración de datos. Sin embargo, el método logra activarse cuando el usuario solicita información específica relacionada con el contenido del correo malicioso.
Ejemplo de escenario
Un atacante puede enviar un mensaje que haga referencia a procesos de incorporación de empleados, guías de RR.HH. o guías de gestión de bajas. Cuando el usuario objetivo pregunta a Copilot sobre alguno de estos temas, la IA encuentra el correo electrónico del atacante y ejecuta las instrucciones que contiene.
Clasificación según OWASP
Aunque la vulnerabilidad puede considerarse una manifestación de tres clases de problemas identificados en el Top 10 de OWASP para Aplicaciones LLM (LLM01, LLM02 y LLM04), su mejor clasificación sería la de Inyección Indirecta de Avisos (LLM01).
Según Aim Security, se trata de un ataque práctico contra una aplicación basada en modelos de lenguaje que puede ser utilizado como arma por adversarios. El ataque permite al atacante exfiltrar los datos más sensibles del contexto LLM actual, y el modelo se utiliza contra sí mismo para garantizar que se filtren los datos.