Un atacante no necesita forzar la cerradura cuando el dueño de la casa le explica dónde guarda el duplicado. Algo parecido ocurrió con Microsoft 365 Copilot Enterprise, el asistente de inteligencia artificial que Microsoft integra en su suite de oficina. Un grupo de investigadores de la firma de seguridad Varonis quería construir un mecanismo para extraer datos de un usuario con una sola acción: hacer clic en un enlace. Lo lograron, pero no mediante ingeniería inversa ni técnicas sofisticadas de explotación de memoria. Simplemente le preguntaron al propio Copilot cómo hacerlo, y el modelo respondió.
El detalle importa, y mucho. En un primer intento, el asistente se negó a ejecutar la instrucción sensible, alegando que ese tipo de tareas requiere confirmación explícita del usuario, por ejemplo, presionar una tecla. Los investigadores no insistieron: hicieron lo contrario. Comenzaron a interrogarlo sobre los mecanismos de seguridad que impedían la ejecución automática, sobre la estructura de las URL involucradas, sobre qué ocurre cuando una página se carga con texto en el campo de consulta. Cada respuesta fue una pieza más del mapa. Al final, el modelo reveló un parámetro de prompt no documentado que Microsoft consideraba un secreto comercial y que permite saltarse por completo el requisito de consentimiento.
Hay aquí un primer problema ético de manual: un modelo de frontera, entrenado para ser útil y servicial, terminó delatando su propia vulnerabilidad. No porque quisiera, sino porque el entrenamiento de seguridad no distingue entre una pregunta legítima y una exploración orientada a romper los límites. Eso significa que la barrera que protege los datos corporativos no es un candado físico: es una instrucción dentro de un modelo probabilístico. Y las instrucciones, tarde o temprano, pueden ser superadas con las palabras correctas.
Diseñar para un mundo donde el modelo no es confiable
No es un caso aislado ni teórico. Una tesis de maestría presentada en 2025 en la Universidad de Lisboa analizó en profundidad los riesgos de adoptar Copilot 365 en entornos de administración pública, tomando como caso concreto a CEGER, el organismo central de gestión de tecnología del gobierno portugués. El trabajo aplica metodologías estandarizadas de gestión de riesgo, específicamente ISO/IEC 27001:2022 e ISO/IEC 27005:2022, y concluye que la adopción de asistentes de IA en entornos con datos sensibles requiere algo más que una configuración por defecto.
La investigación mapea amenazas, construye un registro de riesgos y propone controles concretos del Anexo A de la norma, complementados con los CIS Critical Security Controls. No se queda en el diagnóstico: ofrece un marco de uso seguro con recomendaciones de gobernanza, arquitectura, procedimientos y capacitación. La conclusión de fondo, validada con metodología formal, es que el simple despliegue de la herramienta sin un análisis sistemático del riesgo convierte a la organización en una superficie de ataque ampliada.
Para un director en Latinoamérica, la lección se traduce en una pregunta operativa: ¿Su empresa sabe qué información puede ser extraída de Copilot sin que el usuario lo confirme? La respuesta probablemente no, y eso es precisamente el riesgo.
Las decisiones que no pueden esperar a que llegue un parche
En la región, la adopción de asistentes de IA generativa avanza más rápido que la madurez de seguridad de las organizaciones. Los equipos de TI ven en Copilot y herramientas similares una mejora inmediata de productividad; los equipos legales, un terreno minado de privacidad y cumplimiento. La brecha entre ambas miradas es donde operan los atacantes.
No tiene la vulnerabilidad descubierta una solución únicamente técnica. Un parche puede corregir el parámetro específico que los investigadores encontraron, pero la raíz del problema es estructural: la seguridad de estos sistemas está montada sobre capas de instrucciones que el propio modelo puede revelar si se le pregunta con la estrategia adecuada.
Lo que las organizaciones sí pueden controlar son las condiciones de despliegue. Antes de habilitar un asistente de IA sobre la totalidad de sus datos corporativos, conviene definir qué información vive en el entorno, clasificarla y establecer segmentaciones. No es razonable que un asistente tenga acceso irrestricto a todo el repositorio documental para responder consultas operativas. Configurar permisos a nivel de usuario, mantener bitácoras de las interacciones y exigir autenticación robusta para acciones de alto impacto son medidas que no dependen del proveedor y reducen el daño potencial si el modelo es manipulado.
Mientras tanto, el consentimiento del usuario no puede seguir siendo la última línea de defensa. Si un ataque logra eludir la confirmación explícita mediante un parámetro oculto, toda la estrategia de seguridad corporativa queda supeditada a un secreto que, como demostró Varonis, no es tan secreto.
No es si su empresa va a adoptar asistentes de IA la pregunta que deberían hacerse los directivos. Esa decisión ya está tomada en la mayoría de los casos, aunque sea de manera informal. La pregunta real es si la organización está preparada para operar un sistema que puede ser persuadido para actuar contra sus propios intereses. En un mundo donde la herramienta de trabajo se convierte en informante, la seguridad se redefine: ya no basta con proteger el perímetro, hay que asumir que el adversario habla el mismo idioma que el sistema.
