El investigador de seguridad Håkon Måløy reveló una inyección de prompt entre dominios en Microsoft Copilot for Word el 29 de julio, bajo el título Context Collapse, Part 3 — AI Worming through Word. El mecanismo es poco vistoso y ahí reside el problema: un documento contiene instrucciones ocultas, Copilot las lee al generar un nuevo documento y las copia en la salida.

Cómo se oculta

El payload está en lenguaje natural, oculto con texto blanco sobre fondo blanco y un tamaño de fuente muy pequeño. Una persona que revise el archivo no ve nada. Copilot, que lee el documento en lugar de mirarlo, sí ve las instrucciones.

Por qué se propaga

Como el documento generado hereda el payload, se convierte en un portador por sí mismo. Si ese archivo se introduce en otro flujo de trabajo asistido por Copilot, las instrucciones se activan de nuevo y se propagan más allá — sin que el documento original del atacante esté presente en ningún punto de la cadena. Los documentos circulan dentro de las organizaciones por diseño; el exploit simplemente se aprovecha de ese flujo normal.

144 días

Måløy informó del problema al Microsoft Security Response Centre el 6 de marzo de 2026. Microsoft desplegó múltiples mitigaciones, incluida una experiencia revisada de "Edit with Copilot" y una actualización subyacente del modelo. Måløy afirma que los payloads modificados siguieron reproduciendo la clase más amplia de autorreplicación hasta el 28 de julio, el final de una ventana de divulgación coordinada de 144 días en la que se corrigieron los fallos concretos, pero no la categoría.

Por qué la categoría resiste el parcheo

La inyección de prompt no es un fallo de seguridad de memoria con un límite que hacer cumplir. El modelo no puede distinguir de forma fiable entre las instrucciones que debe seguir y el texto que solo debe procesar, porque ambos llegan como lenguaje en el mismo contexto. Måløy lo califica como "una de las primeras demostraciones públicas de autorreplicación de un AI-worm transportado en documentos a través de flujos de trabajo normales en una suite de productividad comercial generalizada."