Herramientas 2026-08-19

Los investigadores preguntaron a Copilot por qué no se le podía hacer ejecutar órdenes automáticamente. Se lo explicó — y luego les dio el nombre del interruptor oculto.

Varonis Threat Labs publicó los detalles de CoSnitch el 18 de agosto, el mismo día en que Microsoft lanzó por fin el parche completo. Los investigadores no aplicaron ingeniería inversa a nada. Preguntaron a Copilot Personal, una y otra vez y desde ángulos distintos, por qué era imposible la ejecución automática de instrucciones; cada negativa cortés explicaba un poco más de la arquitectura que había detrás, hasta que el asistente ofreció por su cuenta el nombre de un parámetro de URL no documentado. Combinado con el parámetro ya conocido que transporta una instrucción, bastaba un solo enlace para que las órdenes del atacante se ejecutaran al cargar la página, sin nada que pulsar ni confirmar. A partir de ahí Copilot podía leer las cuentas que la víctima tuviera conectadas — Gmail, Drive, Calendario, OneDrive — empaquetar lo hallado en una dirección web y solicitar esa dirección, entregando el contenido a un servidor del atacante. Una tercera debilidad permitía que instrucciones escondidas en una página web corriente se escribieran en la memoria a largo plazo de Copilot, donde sobrevivían a cambios de contraseña, sesiones revocadas y dispositivos reinscritos. Varonis lo comunicó en diciembre de 2025; Microsoft bloqueó parte de la cadena en febrero y cerró el resto el 18 de agosto. No parece que nadie lo haya usado en la práctica.

Por qué importaEl fallo está corregido. El método no. Cada negativa de seguridad que da un asistente es también una pequeña revelación: tiene que decir algo sobre por qué no hará esa cosa, y suficientes 'algos' acaban formando un mapa. Es una categoría de vulnerabilidad que no existía antes de que empezáramos a distribuir sistemas que se explican en lenguaje natural, y parchear parámetros sueltos no la resuelve. Vale la pena señalar también lo corriente que era el botín: el ataque no rompió los servidores de Microsoft, solo usó los permisos que usted ya había concedido, que es exactamente lo que significa conectar un asistente a su buzón.

#Agentes IA

✓ Verificado · 4 fuentes

Léelo en la app — gratis, en 9 idiomas

Noticias relacionadas

Apple Music dirá cuándo una canción la hizo una máquina — pero quien la sube decide si lo declara
2026-08-21 El caballo de batalla barato de DeepSeek ya ve — y en tareas de agente que exigen ojos dice acercarse a lo mejor de Anthropic
2026-08-21 Stripe acaba de pagar 7.500 millones por un enrutador de modelos. Días después Ramp construyó uno y lo regala hasta enero.
2026-08-21 El asistente de Meta es ya una app de Mac que lee tu pantalla y escribe en cualquier ventana — y lo que ve puede entrenar el modelo
2026-08-21 Un clic en un medio le dice ahora a Google que te enseñe más de él — y tú no te mueves de la página que estabas leyendo
2026-08-21