Siga ZDNET: Agréganos como fuente preferida en Google.

Conclusiones esencia de ZDNET

• Apodado “Reprompt”, el ataque utilizó un parámetro de URL para robar datos del usufructuario.
• Un solo clic fue suficiente para desencadenar toda la condena de ataque.
• Los atacantes podrían extraer datos confidenciales de Copilot, incluso a posteriori de que se cerró la ventana.

Los investigadores han revelado un nuevo ataque que requirió solo un clic para ejecutarse, eludiendo los controles de seguridad de Microsoft Copilot y permitiendo el robo de datos del usufructuario.

Incluso: Cómo eliminar Copilot AI de Windows 11 hoy

Reencontrarse con el aviso

El miércoles, Varonis Threat Labs publicó nueva investigación documentando Reprompt, un nuevo método de ataque que afectó al asistente Copilot AI de Microsoft.

Reprompt afectó a Microsoft Copilot Personal y, según el equipo, dio a “los actores de amenazas un punto de entrada invisible para realizar una condena de exfiltración de datos que elude por completo los controles de seguridad empresarial y accede a datos confidenciales sin detección, todo con un solo clic”.

Incluso: Las PC con IA no se venden y los socios de PC de Microsoft están luchando

No se requirió interacción del usufructuario con Copilot o complementos para que se desencadenara este ataque. En cambio, las víctimas tenían que hacer clic en un enlace.

Luego de este único clic, Reprompt podría eludir los controles de seguridad al pasarse del parámetro de URL ‘q’ para remitir un mensaje y acciones maliciosas a Copilot, lo que potencialmente permitiría a un atacante solicitar datos previamente enviados por el usufructuario, incluida información de identificación personal (PII).

“El atacante mantiene el control incluso cuando el chat de Copilot está cerrado, lo que permite que la sesión de la víctima sea exfiltrada silenciosamente sin interacción más allá del primer clic”, dijeron los investigadores.

¿Cómo funcionó Reprompt?

Reprompt encadenó tres técnicas:

• Solicitud de parámetro 2 (inyección P2P): Al explotar el parámetro de URL ‘q’, un atacante podría completar un mensaje desde una URL e inyectar instrucciones maliciosas diseñadas que obligaran a Copilot a realizar acciones, incluida la filtración de datos.
• Doble solicitud: Si proporcionadamente Copilot tenía medidas de seguridad que evitaban la filtración o filtración directa de datos, el equipo descubrió que repetir dos veces una solicitud de una batalla obligaría a realizarla.
• solicitud en condena: Una vez que se ejecutó el mensaje auténtico (trillado dos veces), el servidor de la condena de ataque Reprompt emitió instrucciones y solicitudes de seguimiento, como solicitudes de información adicional.

Según Varonis, este método era difícil de detectar porque las herramientas de monitoreo del flanco del usufructuario y del cliente no podían verlo y eludía los mecanismos de seguridad integrados mientras ocultaba los datos que se estaban exfiltrando.

“Copilot filtra los datos poco a poco, permitiendo que la amenaza utilice cada respuesta para producir la futuro instrucción maliciosa”, añadió el equipo.

Se muestra una demostración en vídeo de prueba de concepto (PoC). habitable.

La respuesta de Microsoft

Reprompt se reveló silenciosamente a Microsoft el 31 de agosto de 2025. Microsoft parchó la vulnerabilidad ayer de la divulgación pública y confirmó que los usuarios empresariales de Microsoft 365 Copilot no se vieron afectados.

Incluso: ¿Quieres Microsoft 365? Simplemente no elijas Premium: he aquí por qué

“Agradecemos a Varonis Threat Labs por informar responsablemente este problema”, dijo un portavoz de Microsoft a ZDNET. “Hemos implementado protecciones que abordan el tablas descrito y estamos implementando medidas adicionales para proteger las salvaguardas contra técnicas similares como parte de nuestro enfoque de defensa en profundidad”.

Cómo mantenerse seguro

Los asistentes de IA (y los navegadores) son tecnologías relativamente nuevas, por lo que tan pronto como pasaba una semana sin que se descubriera un problema de seguridad, un resolución de diseño o una vulnerabilidad.

El phishing es uno de los vectores más comunes de ataques cibernéticos y este ataque en particular requería que el usufructuario hiciera clic en un enlace malvado. Por lo tanto, su primera cuerda de defensa fue ser cauteloso cuando se tráfico de enlaces, especialmente si no confía en la fuente.

Incluso: Géminis vs. Copiloto: comparé las herramientas de IA en 7 tareas cotidianas y hay un claro vencedor

Como ocurre con cualquier servicio digital, debe tener cuidado al compartir información personal o confidencial. Para los asistentes de IA como Copilot, igualmente debe realizar si hay comportamientos inusuales, como solicitudes de datos sospechosos o mensajes extraños que puedan aparecer.

Varonis recomendó que los proveedores y usuarios de IA recuerden que se puede explotar la confianza en las nuevas tecnologías y dijo que “Reprompt representa una clase más amplia de vulnerabilidades críticas del asistente de IA impulsadas por aportes externos”.

Como tal, el equipo sugirió que la URL y las entradas externas deberían tratarse como no confiables y, por lo tanto, deberían implementarse controles de subsistencia y seguridad a lo prolongado de toda la condena del proceso. Encima, se deben imponer salvaguardias que reduzcan el aventura de encadenamiento de avisos y acciones repetidas, y esto no debe amoldarse sólo al aviso auténtico.