Durante cuatro semanas a partir del 21 de enero, Copilot de Microsoft leyó y resumió correos electrónicos confidenciales a pesar de que todas las etiquetas de confidencialidad y las políticas de DLP le indicaban que no lo hiciera. Los puntos de cumplimiento se rompieron en el interior del propio proceso de Microsoft y ninguna utensilio de seguridad en la pila lo detectó. Entre las organizaciones afectadas se encontraba el Servicio Doméstico de Vitalidad del Reino Unido, que lo registró como INC46740412 – una señal de hasta qué punto el fracaso llegó a los entornos sanitarios regulados. Microsoft lo rastreó como CW1226324.

El aviso, reportado por primera vez por BleepingComputer el 18 de febrero, marca la segunda vez en ocho meses que el proceso de recuperación de Copilot violó su propio periferia de confianza: una error en la que un sistema de inteligencia químico accede o transmite datos que no podía tocar explícitamente. El primero fue peor.

En junio de 2025, Microsoft parchó CVE-2025-32711una vulnerabilidad crítica sin clic que los investigadores de Aim Security denominaron “EchoLeak”. Un correo electrónico zorro pasó por detención el clasificador de inyección rápida de Copilot, su redacción de enlaces, su política de seguridad de contenido y sus menciones de remisión para exfiltrar silenciosamente datos empresariales. No se requirieron clics ni ninguna obra del heredero. Microsoft le asignó un Puntuación CVSS de 9,3.

Dos causas fundamentales diferentes; Un punto ciego: un error de código y una sofisticada esclavitud de exploits produjeron un resultado idéntico. Copilot procesó datos que estaba explícitamente prohibido tocar y la pila de seguridad no vio ausencia.

Por qué EDR y WAF siguen siendo arquitectónicamente ciegos frente a esto

La detección y respuesta de endpoints (EDR) monitorea el comportamiento de archivos y procesos. Los firewalls de aplicaciones web (WAF) inspeccionan las cargas aperos HTTP. Siquiera tiene una categoría de detección para “su asistente de IA acaba de violar su propio periferia de confianza”. Esa brecha existe porque los canales de recuperación de LLM se encuentran detrás de una capa de cumplimiento que las herramientas de seguridad tradicionales nunca fueron diseñadas para observar.

Copilot ingirió un correo electrónico etiquetado que le dijeron que omitiera y toda la obra ocurrió en el interior de la infraestructura de Microsoft. Entre el índice de recuperación y el maniquí de vivientes. No se depositó ausencia en el disco, ningún tráfico raro cruzó el perímetro y no se generó ningún proceso que un agente de punto final pudiera marcar. La pila de seguridad informó que todo estaba desinteresado porque nunca vio la capa donde ocurrió la infracción.

El error CW1226324 funcionó porque un error en la ruta del código permitió que los mensajes en Medios enviados y Borradores ingresaran al conjunto de recuperación de Copilot a pesar de las etiquetas de confidencialidad y las reglas DLP que deberían haberlos bloqueado, según el aviso de Microsoft. EchoLeak funcionó porque los investigadores de Aim Security demostraron que un correo electrónico zorro, redactado para que pareciera una correspondencia comercial ordinaria, podría manipular el canal de vivientes de recuperación aumentada de Copilot para obtener y transmitir datos internos a un servidor controlado por un atacante.

Los investigadores de Aim Security lo caracterizaron como un defecto de diseño fundamental: los agentes procesan datos confiables y no confiables en el mismo proceso de pensamiento, lo que los hace estructuralmente vulnerables a la manipulación. Ese defecto de diseño no desapareció cuando Microsoft parchó EchoLeak. CW1226324 demuestra que la capa de cumplimiento que la rodea puede fracasar de forma independiente.

La auditoría de cinco puntos que se relaciona con los dos modos de error

Ningún de los fallos provocó una sola alerta. Entreambos fueron descubiertos a través de canales de asesoramiento de proveedores, no a través de SIEM, ni de EDR, ni de WAF.

CW1226324 se hizo divulgado el 18 de febrero. Los inquilinos afectados habían estado expuestos desde el 21 de enero. Microsoft no ha revelado cuántas organizaciones se vieron afectadas ni a qué datos se accedió durante ese período. Para los líderes de seguridad, esa brecha es la historia: una exposición de cuatro semanas en el interior del proceso de inferencia de un proveedor, invisible para todas las herramientas de la pila, descubierta sólo porque Microsoft decidió editar un aviso.

1. Pruebe la aplicación de DLP directamente contra Copilot. CW1226324 existió durante cuatro semanas porque nadie probó si Copilot en realidad respetaba las etiquetas de confidencialidad en los fundamentos enviados y los borradores. Cree mensajes de prueba etiquetados en carpetas controladas, consulte a Copilot y confirme que no puede mostrarlos. Ejecute esta prueba mensualmente. La configuración no es aplicación; la única prueba es un intento fallido de recuperación.

2. Bloquee el contenido forastero para que no llegue a la ventana contextual de Copilot. EchoLeak tuvo éxito porque un correo electrónico zorro ingresó al conjunto de recuperación de Copilot y las instrucciones inyectadas se ejecutaron como si fueran la consulta del heredero. El ataque pasó por detención cuatro capas de defensa distintas: el clasificador de inyección cruzada de Microsoft, la redacción de enlaces externos, los controles de política de seguridad de contenido y las salvaguardias de mención de referencias, según la divulgación de Aim Security. Deshabilite el contexto de correo electrónico forastero en la configuración de Copilot y restrinja la representación de Markdown en las futuro de IA. Esto detecta la clase de error de inyección rápida al eliminar por completo la superficie de ataque.

3. Auditar los registros de Purview para detectar interacciones anómalas del Copilot durante el período de exposición de enero a febrero. Busque consultas de Copilot Chat que devolvieron contenido de mensajes etiquetados entre el 21 de enero y mediados de febrero de 2026. Ninguna clase de error produjo alertas a través de EDR o WAF existentes, por lo que la detección retrospectiva depende de la telemetría de Purview. Si su inquilino no puede reparar a qué accedió Copilot durante el período de exposición, documente esa brecha formalmente. Es importante para el cumplimiento. Para cualquier ordenamiento sujeta a un examen regulatorio, una brecha de camino a datos de IA no documentada durante una ventana de vulnerabilidad conocida es un hallazgo de auditoría a punto de suceder.

4. Active la detección de contenido restringido para sitios de SharePoint con datos confidenciales. RCD elimina por completo los sitios del proceso de recuperación de Copilot. Funciona independientemente de si la violación de confianza proviene de un error de código o de un mensaje inyectado, porque, en primer superficie, los datos nunca ingresan a la ventana contextual. Esta es la capa de contención que no depende del punto de cumplimiento que se rompió. Para organizaciones que manejan datos confidenciales o reguladosel RCD no es opcional.

5. Cree un manual de respuesta a incidentes para fallas de inferencia alojadas por el proveedor. Los manuales de respuesta a incidentes (IR) necesitan una nueva categoría: violaciones de límites de confianza en el interior del proceso de inferencia del proveedor. Delimitar rutas de subida. Asignar propiedad. Establezca una cadencia de monitoreo para los avisos de estado de los servicios de los proveedores que afectan el procesamiento de la IA. Su SIEM siquiera captará el sucesivo.

El patrón que se traslada más allá de Copilot

A Pesquisa 2026 realizada por Cybersecurity Insiders descubrió que el 47% de los CISO y líderes senior de seguridad ya han observado que los agentes de IA exhiben un comportamiento no intencionado o no calificado. Las organizaciones están implementando asistentes de IA en producción más rápido de lo que pueden construir una gobernanza a su aproximadamente.

Esa trayectoria es importante porque este entorno no es específico de Copilot. Cualquier asistente basado en RAG que extraiga datos empresariales sigue el mismo patrón: una capa de recuperación selecciona el contenido, una capa de aplicación controla lo que el maniquí puede ver y una capa de vivientes produce resultados. Si la capa de cumplimiento error, la capa de recuperación alimenta datos restringidos al maniquí y la pila de seguridad nunca los ve. Copilot, Gemini for Workspace y cualquier utensilio con camino de recuperación de documentos internos conlleva el mismo peligro estructural.

Realice la auditoría de cinco puntos antaño de su próxima reunión de la acoplamiento directiva. Comience con mensajes de prueba etiquetados en una carpeta controlada. Si Copilot los saco a la luz, todas las políticas subyacentes son un teatro.

La acoplamiento respondió: “Nuestras políticas se configuraron correctamente. La aplicación falló en el interior del proceso de inferencia del proveedor. Estos son los cinco controles que estamos probando, restringiendo y exigiendo antaño de retornar a habilitar el camino completo para cargas de trabajo confidenciales”.

El próximo decisión no enviará una alerta.