Recientemente se ha descubierto una vulnerabilidad de seguridad crítica denominada EchoLeak en Microsoft 365 Copilot, el asistente de IA integrado en aplicaciones de Office como Word, Excel, Outlook y Teams. Revelada por la startup Aim Security, esta vulnerabilidad marca un punto de inflexión en la ciberseguridad: se trata del primer ataque «cero clics» conocido dirigido contra un agente de IA.

EchoLeak (CVE-2025-32711, puntuación CVSS de 9,3) permitía a un atacante remoto acceder a datos confidenciales de una organización sin que la víctima tuviera que realizar ninguna acción. Bastaba con enviar un correo electrónico que contuviera una instrucción oculta (en formato Markdown, por ejemplo), que Copilot procesaba automáticamente a través de su motor de recuperación de contenido (RAG). A continuación, Copilot combinaba datos internos confidenciales (OneDrive, SharePoint, Outlook, Teams…) con entradas no fiables, lo que provocaba una fuga de datos hacia el atacante.

El ataque se basaba en una violación del perímetro de la IA (LLM Scope Violation), un fallo de diseño en el que un modelo procesa instrucciones externas como si fueran internas y de confianza. Esto permitió que la IA se convirtiera en su propio vector de ataque, filtrando por sí misma los datos que se suponía que debía proteger.

La empresa de Redmond, alertada por Aim Security ya en enero de 202B, tardó… cinco meses en corregir totalmente la vulnerabilidad. En un comunicado, la empresa afirma que el problema se ha solucionado y que no es necesaria ninguna acción por parte de los usuarios. Se han añadido medidas de seguridad adicionales («defensa en profundidad») para prevenir este tipo de ataques. 

Un enfoque de defensa en profundidad que se basa en la superposición de varios mecanismos de seguridad a distintos niveles (red, aplicación, datos, comportamiento de los modelos de IA, etc.). El objetivo es que, si una capa se ve comprometida, las demás sigan protegiendo el sistema. Esto incluye, por ejemplo, la validación de entradas, el aislamiento de los contextos de datos, la supervisión de comportamientos anómalos y el registro de las consultas sensibles.

Aunque EchoLeak se ha controlado, las implicaciones de esta vulnerabilidad son alarmantes. 

Pone de manifiesto un problema fundamental en la arquitectura de los agentes de IA modernos: la falta de una separación clara entre los datos de confianza y los datos potencialmente hostiles. Los agentes de IA como Copilot mezclan contenido interno, mensajes externos y consultas de los usuarios en un mismo flujo de procesamiento, lo cual es vulnerable por naturaleza.

Como ha señalado Adir Gruss, director técnico de Aim Security: «Es el regreso de las vulnerabilidades de los años 90, pero esta vez en la IA. » El riesgo es que este tipo de ataque pueda reproducirse en otras plataformas conectadas a asistentes de IA como Anthropic, Salesforce Agentforce o cualquier solución que incorpore el Model Context Protocol (MCP).

EchoLeak pone de manifiesto el peligro de una confianza excesiva (por no decir ciega) en sistemas aún inmaduros y complejos. Las IA generativas actuales carecen por completo de «conciencia» sobre los límites entre una instrucción maliciosa y los datos neutros. 

Están programadas para obedecer, no para razonar en materia de seguridad. Esta «obediencia» ciega las convierte en blancos fáciles, o incluso en cómplices involuntarios.

El paralelismo con los inicios de Internet es sorprendente: los primeros navegadores o sistemas operativos eran vulnerables porque daban por sentado que todo código era fiable. Hoy en día, nos enfrentamos a agentes autónomos que interactúan con sistemas críticos sin que sus mecanismos de defensa hayan alcanzado la madurez suficiente.

Según Aim Security, es urgente replantearse la forma en que se construyen los agentes de IA. Parece esencial la integración de mecanismos de separación entre instrucciones y datos, de medidas de seguridad contextuales y de una gestión minuciosa de los permisos.

Mientras esto no se haga, las empresas se mostrarán reacias a adoptar de forma masiva estas nuevas tecnologías. 

EchoLeak es mucho más que una simple falla técnica. Es una señal de alarma sobre la inmadurez de los agentes de IA en el ámbito profesional. 

Si la IA se convierte en el nuevo sistema operativo del siglo XXI, es imprescindible aplicarle el mismo nivel de rigor, auditabilidad y resiliencia que al software crítico. Mientras tanto, las empresas deben avanzar con cautela, conscientes de los riesgos… y exigentes con los proveedores de IA.