El gigante tecnológico Microsoft ha mitigado un fallo de seguridad en su asistente de IA Copilot después de que un equipo de investigadores lograra que el propio asistente les explicara, paso a paso, cómo saltarse sus barreras de protección.
La compañía recibió el aviso en diciembre de 2025 y tenía previsto formalizar el CVE hace solo unos días, la misma fecha en que se hizo pública la investigación. El equipo bautizó el fallo como CoSnitch, y el proceso para descubrirlo resulta curioso. En lugar de buscar el agujero de seguridad por su cuenta, los investigadores consiguieron que fuera la propia inteligencia artificial la que, al defenderse de sus preguntas, terminara revelando los parámetros exactos que hacían posible el ataque.
A esta técnica la llaman meta-hacking, una ingeniería social aplicada directamente al motor de razonamiento del modelo.
Cómo forzaron a Copilot a confesar su propio fallo
Todo arrancó con un parámetro de la interfaz web de Copilot, ?q=, que hasta hace poco permitía precargar texto en el cuadro de chat sin que el usuario tuviera que escribir nada. Microsoft había desactivado esta opción de forma silenciosa para blindar el asistente frente a los ataques de inyección de instrucciones, así que los investigadores le preguntaron directamente cómo conseguir una URL que abriera el chat con una consulta ya rellenada, de manera que solo hiciera falta pulsar Intro para ejecutarla.
Copilot respondió que la ejecución automática era imposible sin que el usuario interviniera. Como podéis imaginar, los investigadores no se conformaron con esa respuesta y siguieron preguntando, una y otra vez, por qué eso no podía funcionar. El asistente terminó detallando los parámetros desactivados y las protecciones implicadas, y de paso mencionó uno que nadie conocía hasta entonces: autorun=1.
Según explicó la propia IA, bajo determinadas condiciones de sesión ese parámetro permite que una consulta introducida mediante ?q= se ejecute sola en cuanto se carga la página, sin ninguna acción visible ni confirmación en pantalla. Cuando el equipo de Varonis probó el parámetro tal y como la IA de Copilot lo había descrito, el mismo que la IA aseguraba inutilizado, funcionó sin problemas.
La URL maliciosa que abre la puerta a robar correos y credenciales
Con esa información, Varonis combinó ambos parámetros en una sola dirección, la consulta maliciosa introducida mediante ?q= junto con el parámetro oculto autorun=1, apuntando al propio dominio de Copilot. Basta con que caigamos en la trampa y pulsemos en ese enlace, recibido por SMS, correo electrónico o a través de un código QR, para que el navegador cargue Copilot dentro de nuestra propia sesión activa y autenticada.
Los dos parámetros combinados disparan la ejecución automática de la instrucción inyectada, sin que aparezca ningún aviso ni haga falta ninguna acción adicional por nuestra parte.