En junio de 2025, investigadores de la firma de seguridad Aim Security revelaron una falla en el asistente de IA de Microsoft integrado en Word, Excel, Outlook y Teams. Bautizada EchoLeak, permitía robar datos internos de una empresa con un solo correo electrónico: sin que la víctima hiciera clic en nada, sin abrir un adjunto, sin escribir ningún comando.
El mecanismo es más simple, y más inquietante, que un virus tradicional. El correo no llevaba ningún programa malicioso. Llevaba un texto escrito para parecer una instrucción legítima, que el asistente leía junto con el resto del contenido, y obedecía como si viniera de la propia empresa.
Este tipo de ataque tiene un nombre técnico: inyección indirecta de instrucciones. Y, según la agencia de ciberseguridad del gobierno británico, es un problema estructural que las empresas van a tener que administrar durante mucho tiempo, no un error aislado que alguien va a corregir de una vez por todas.
La diferencia con una falla de seguridad común es sutil, pero importa. Un virus explota un error de programación que, una vez encontrado, puede corregirse y cerrarse. Un texto oculto dentro de un mensaje explota la propia forma en que funciona un asistente de IA: lee todo lo que recibe (correo, página, documento, hoja de cálculo) como una secuencia continua de palabras, sin una frontera clara entre "esto es información" y "esto es una orden". Cerrar esa brecha de raíz exigiría cambiar esa característica de fondo, no solo aplicar una corrección puntual.
El caso que expuso el riesgo
La falla recibió el identificador CVE-2025-32711 y una calificación de gravedad casi máxima en prácticamente todas las escalas que usa la industria. El ataque explotaba una característica del asistente de Microsoft: buscaba automáticamente información relevante dentro de los documentos y conversaciones de la empresa para responder con más precisión.
El problema es que ese mismo mecanismo no sabía distinguir un documento legítimo de un texto plantado por un extraño. Bastaba con que un correo llegara a la bandeja de entrada, sin ser abierto, para que el contenido malicioso entrara en el conjunto que el asistente consultaba y se convirtiera, en la práctica, en una orden interna.
Según Aim Security, la falla permitiría extraer automáticamente la información más sensible del entorno corporativo del asistente, sin ninguna interacción de la víctima. El alcance potencial incluía historial de conversaciones, archivos almacenados en la nube de la empresa, contenido de páginas internas de colaboración y mensajes de equipo: todo lo que el asistente ya tenía permiso de consultar en nombre de un usuario legítimo.
Microsoft confirmó el problema, aplicó la corrección del lado del servidor y afirmó no haber encontrado evidencia de explotación real antes de la reparación. Pero la alerta quedó: un texto puede disfrazarse de comando, y el asistente no tiene forma de notar la diferencia por sí solo. Lo que salvó la situación esta vez no fue que el asistente detectara el engaño, sino que un investigador encontró la brecha antes que un atacante real.
Por qué filtrar frases sospechosas no resuelve
La reacción más común ante un caso como EchoLeak es intentar bloquear palabras o patrones de texto peligrosos antes de que lleguen al asistente. La agencia de ciberseguridad del Reino Unido explica por qué ese enfoque tiene un límite: por debajo del capó, un asistente de IA no separa "esto es una instrucción" de "esto es solo contenido para leer": procesa todo junto, en la misma secuencia. Ningún filtro de palabras cubre las infinitas formas de reescribir la misma orden disfrazada.
Investigadores de Brave mostraron hasta dónde llega esto en asistentes que navegan solos por internet. Escondieron instrucciones dentro de imágenes y en texto blanco sobre fondo blanco: invisible para una persona, perfectamente legible para el asistente. En las pruebas, esas instrucciones ocultas hicieron que el agente abriera el correo de la víctima, extrajera el asunto de los mensajes y enviara esa información a una dirección controlada por el atacante.
Otros investigadores citados por The Register lograron manipular asistentes de navegación para que ignoraran el contenido real de un documento y respondieran con un texto predeterminado, o para que cambiaran el modo de visualización de la página sin que el usuario lo pidiera. El propio responsable de seguridad de una de las mayores empresas de IA del mundo admitió públicamente que este tipo de ataque sigue siendo, en sus palabras, "un problema de frontera, todavía sin solución".
Lo que tiene que existir en la práctica
Si filtrar texto no resuelve el problema, la defensa tiene que venir de otro lugar: de limitar lo que un agente puede hacer solo, incluso después de haber sido engañado.
Permiso mínimo por función. Un agente que solo responde preguntas sobre política interna no necesita acceso para enviar correos, mover dinero o modificar registros. Cuanto menor sea el radio de acción de cada agente, menor el daño posible de una instrucción oculta que termine obedeciendo.
Pausa obligatoria antes de una acción sensible. Enviar un documento fuera de la empresa, aprobar un pago, cambiar un permiso: nada de eso debería ocurrir solo porque un texto cualquiera lo pidió. Debería detenerse y esperar la confirmación de una persona, dentro de la misma conversación.
Credencial personal por herramienta. Cuando el agente usa la misma contraseña compartida por todo el equipo para acceder a un sistema, una instrucción oculta hereda ese mismo acceso genérico y sin dueño. Con credencial personal, lo que el agente puede hacer en nombre de alguien queda limitado a lo que esa persona específica puede hacer.
Registro de todo lo que el agente intentó hacer. Incluso cuando la defensa funciona y la acción sensible se bloquea, alguien tiene que poder revisar después y responder qué intentó hacer ese agente, cuándo y por causa de qué contenido. Sin ese registro, un intento de ataque desaparece sin dejar rastro, incluso cuando no tuvo éxito.
Así fue diseñada la plataforma Skyller: aprobación humana antes de acciones sensibles, acceso conforme al papel de cada persona y credencial personal por herramienta, en lugar de una clave genérica compartida por todos.
Lo que cambia para quien la usa a diario
Para quien trabaja con el asistente todos los días, estos mecanismos no aparecen como burocracia extra: aparecen como una pausa puntual en una acción específica, no como aprobación de cada mensaje intercambiado. La gran mayoría de las preguntas y respuestas del día a día sigue fluyendo sin interrupción; solo cuando el agente está por hacer algo que sale del propio entorno de la conversación (enviar un correo, tocar un sistema, mover un archivo) es que entra en juego la confirmación.
Para el equipo de seguridad, la ganancia es otra: en lugar de intentar adivinar cada frase disfrazada que un atacante pueda inventar, tarea imposible según la propia agencia de ciberseguridad británica, el equipo pasa a controlar lo que realmente importa, que es el alcance de cada agente. Un agente con acceso limitado y acciones sensibles bajo aprobación sigue siendo seguro incluso el día en que alguien, en algún lugar, intenta pasarle una orden oculta dentro de un documento.
Ese cambio de enfoque también transforma la conversación entre TI y el liderazgo del negocio. En lugar de preguntar "cómo evitamos que alguien escriba una instrucción maliciosa" (pregunta sin respuesta definitiva, como muestran tanto el caso de Copilot como las pruebas en asistentes de navegación), la pregunta que sí se puede responder con seguridad es "qué puede hacer cada agente, incluso si lo engañan". Es una pregunta mucho más concreta, y mucho más fácil de auditar.
Preguntas para llevar a la próxima reunión de seguridad
Antes de asumir que "esto no pasa aquí", vale la pena confrontar al equipo técnico con preguntas concretas:
- ¿Nuestros agentes de IA tienen acceso a más sistemas de los que su tarea exige? Si la respuesta es sí, cada sistema adicional es una puerta más para que una instrucción oculta la explote.
- ¿Existe alguna acción que el agente ejecuta solo, sin pausar para confirmación humana, y que sería grave si se hiciera por error? Enviar datos hacia fuera, aprobar algo, cambiar un permiso: cualquiera de estas merece una pausa obligatoria.
- Si un agente intentara hoy una acción sospechosa, ¿existe un registro para investigarla después? Sin un rastro de auditoría, ni siquiera un intento bloqueado con éxito deja aprendizaje.
- ¿Alguna herramienta usada por los agentes funciona con un inicio de sesión compartido por el equipo? Si es así, es momento de cambiarla por una credencial personal antes de que se convierta en el próximo caso citado en un informe de seguridad.
