Microsoft Copilot, el asistente de IA de Microsoft, vuelve a quedar bajo la lupa después de una investigación de seguridad que afirma que puede dejar al descubierto fragmentos de sus instrucciones internas. Los expertos que firman el análisis sostienen que basta con someter a Microsoft Copilot a una cadena insistente de preguntas sobre cómo funciona, qué reglas sigue y de qué manera está configurado para que termine mostrando parte de esas directrices ocultas.
La técnica, siempre según esa investigación, no recurre a malware ni a una intrusión tradicional.
Lo que hace, explican los investigadores, es aprovechar una conversación guiada con mucho cuidado para empujar al sistema a revelar trozos de esas directrices ocultas, conocidas como instrucciones del sistema. Por eso el hallazgo se considera especialmente sensible dentro del ámbito de la ciberseguridad.
En concreto, el informe habla de preguntas repetidas y cada vez más afinadas sobre la identidad de Microsoft Copilot, sus normas internas y las restricciones que sigue al responder. Si se insiste lo suficiente, señalan, el asistente puede acabar enseñando partes de esa capa que intenta bloquear respuestas peligrosas, proteger información sensible y frenar conductas no deseadas.
A primera vista podría parecer un problema menor. No lo es. Si un atacante llega a conocer esas instrucciones, dicen los especialistas, le resulta mucho más sencillo preparar nuevas peticiones con las que saltarse barreras o provocar comportamientos inesperados.
Los especialistas remarcan que extraer esas instrucciones no equivale, por sí solo, a obtener acceso total a datos de clientes o a cuentas corporativas. Aun así, sí aporta una pista valiosa sobre cómo está construido el servicio y qué atajos podrían servir para empujarlo más allá de los límites previstos. El caso, además, vuelve a poner sobre la mesa una idea incómoda para la industria: esconder las reglas internas de un asistente no basta para mantenerlo seguro.
Si esas reglas pueden reconstruirse a base de diálogo, advierten, un atacante con paciencia puede convertir una conversación aparentemente inocente en una herramienta de reconocimiento.
Y eso pesa todavía más en productos como Microsoft Copilot, que en muchos entornos está conectado a documentos, correos , calendarios y otros recursos de la empresa. Aunque Microsoft aplica controles adicionales para separar permisos y evitar accesos indebidos, cualquier técnica que ayude a esquivar restricciones merece atención inmediata.
También suele aparecer un efecto dominó en cuanto se publica un método que funciona, ya que otros investigadores y actores maliciosos intentan reproducirlo, pulirlo o adaptarlo a otras plataformas parecidas.
Para el usuario medio, este hallazgo no significa necesariamente que su cuenta haya quedado expuesta, pero sí sirve de recordatorio: estas herramientas no deberían tratarse como cajas negras infalibles. En entornos corporativos conviene revisar qué información puede consultar Microsoft Copilot, aplicar el principio de mínimo privilegio y mantener activos los controles de auditoría.
Microsoft suele introducir ajustes y medidas de mitigación cuando se reportan fallos de este tipo, así que cabe esperar refuerzos frente a las preguntas autorreferenciales y una protección mayor de sus instrucciones internas. La idea de fondo es bastante simple: a veces no hace falta romper un sistema desde fuera; basta con hacerle las preguntas adecuadas , una y otra vez. Como suele ocurrir con Microsoft, por ahora no se sabe cuándo se aplicarán nuevas medidas de mitigación en Microsoft Copilot.
