Vulnerabilidad de Microsoft Copilot: Nueva advertencia sobre el riesgo de fuga de datos de IA

Una grave falla de seguridad en Microsoft Copilot permite el robo de datos de los usuarios sin que se tome ninguna medida. El incidente plantea una gran pregunta: ¿La inteligencia artificial nos ayuda o nos pone en riesgo?

EchoLeak y los riesgos potenciales de la inteligencia artificial

A medida que la inteligencia artificial (IA) se integra en todo, desde la redacción de informes y la respuesta a correos electrónicos hasta el análisis de datos, parece que vivimos en una era de comodidad sin precedentes. Pero las desventajas de la comodidad también empiezan a hacerse evidentes, especialmente en lo que respecta a la seguridad.

Una reciente vulnerabilidad de seguridad denominada EchoLeak ha dejado a los usuarios del servicio Microsoft Copilot en riesgo de que sus datos confidenciales se filtren sin que tomen ninguna medida.

Cuando la IA se convierte en una vulnerabilidad de seguridad

Según la investigación de Tuoi Tre Online , EchoLeak es una vulnerabilidad de seguridad recientemente registrada con el código CVE-2025-32711, que los expertos han calificado como peligrosa con un 9,3/10 según la escala del NIST.

Lo que preocupa a los expertos en seguridad es que se trata de un ataque de "cero clic" : los atacantes pueden explotar datos de Copilot sin que el usuario tenga que hacer clic, abrir un archivo o incluso saber que algo está sucediendo.

No se trata de un error sencillo. El equipo de investigación de Aim Labs, que descubrió la falla, cree que EchoLeak refleja un fallo de diseño común en los sistemas de IA basados ​​en agentes y RAG. Dado que Copilot forma parte del conjunto de aplicaciones de Microsoft 365, que almacena los correos electrónicos, documentos, hojas de cálculo y agendas de reuniones de millones de usuarios, la posibilidad de fuga de datos es especialmente grave.

El problema no radica solo en el código específico, sino en el funcionamiento de los grandes modelos de lenguaje (LLM). Las IA necesitan mucho contexto para responder con precisión, por lo que tienen acceso a una gran cantidad de datos de fondo. Sin controles claros sobre la entrada y la salida, las IA pueden ser manipuladas de maneras que los usuarios desconocen. Esto crea un nuevo tipo de "puerta trasera" que no se debe a un fallo en el código, sino a que las IA se comportan fuera del entendimiento humano.

Microsoft lanzó rápidamente un parche y, hasta el momento, no se han reportado daños reales. Pero la lección de EchoLeak es clara: cuando la IA está profundamente integrada en los sistemas operativos, incluso pequeños errores en su comprensión del contexto pueden tener graves consecuencias para la seguridad.

Cuanto más conveniente se vuelve la IA, más frágiles se vuelven los datos personales

El incidente de EchoLeak plantea una pregunta inquietante: ¿Confían tanto las personas en la IA que no se dan cuenta de que pueden ser rastreadas o que su información personal puede verse expuesta con solo un mensaje de texto? Una vulnerabilidad recién descubierta que permite a los hackers extraer datos silenciosamente sin que los usuarios tengan que pulsar ningún botón es algo que antes solo se veía en películas de ciencia ficción, pero que ahora es una realidad.

Si bien las aplicaciones de IA son cada vez más populares, desde asistentes virtuales como Copilot, chatbots en banca y educación , hasta plataformas de IA que escriben contenido y procesan correos electrónicos, la mayoría de las personas no están advertidas sobre cómo se procesan y almacenan sus datos.

“Chatear” con un sistema de IA ya no se trata solo de hacer algunas preguntas por conveniencia, sino que también puede revelar inadvertidamente su ubicación, hábitos, emociones o incluso información de su cuenta.

En Vietnam, muchas personas están familiarizadas con el uso de IA en teléfonos y computadoras sin conocimientos básicos de seguridad digital . Muchas comparten información privada con la IA porque creen que es solo una máquina. Pero, en realidad, detrás de ella hay un sistema que puede registrar, aprender y transmitir datos a otros lugares, especialmente cuando la plataforma de IA proviene de un tercero y no ha sido probada exhaustivamente en términos de seguridad.

Para limitar los riesgos, los usuarios no necesariamente tienen que renunciar a la tecnología, pero deben ser más conscientes: deben verificar cuidadosamente si la aplicación de IA que están usando tiene una fuente confiable, si los datos están encriptados y, especialmente, no compartir información confidencial como números de identificación, cuentas bancarias, información de salud... con ningún sistema de IA sin ser claramente advertidos.

Al igual que cuando nació Internet, la IA también necesita tiempo para perfeccionarse y, durante ese tiempo, los usuarios deben ser los primeros en protegerse de forma proactiva.

¿Alguna vez compartes demasiado con la IA?

Al escribir un comando como "reescribir este informe de forma más intuitiva" o "resumir la reunión de ayer", muchas personas no creen que toda la información que introducen, incluyendo detalles internos, sentimientos personales y hábitos de trabajo, pueda ser registrada por la IA. Nos hemos acostumbrado tanto a chatear con herramientas inteligentes que olvidamos la línea entre comodidad y privacidad.

Volver al tema

TUAN VI

Fuente: https://tuoitre.vn/lo-hong-bao-mat-trong-microsoft-copilot-canh-bao-moi-ve-nguy-co-ro-ri-du-lieu-tu-ai-20250620103045262.htm