La cadena de vulnerabilidades SearchLeak de Copilot demuestra cómo cualquier asistente de IA puede evolucionar de una función de productividad a una nueva vía de acceso a datos que hereda el alcance del usuario. ¿Qué lecciones pueden aprender los responsables de seguridad y cumplimiento normativo?

En junio, investigadores de Varonis Threat Labs dio a conocer una cadena de vulnerabilidades críticas en Microsoft 365 Copilot Enterprise denominada “SearchLeak”. Rastreado como CVE-2026-42824Los atacantes podrían aprovechar esta vulnerabilidad para robar datos confidenciales, como correos electrónicos, códigos de autenticación multifactor (MFA) y archivos indexados, con un solo clic.

Microsoft solucionó rápidamente la vulnerabilidad SearchLeak antes de que pudiera ser explotada en ataques reales. Sin embargo, el problema con Copilot ha demostrado cómo cualquier asistente de IA puede evolucionar de una función de productividad a una nueva vía de acceso a datos que hereda el alcance del usuario.

¿Qué lecciones pueden aprender los responsables de seguridad y cumplimiento normativo?

Un clic, sin malware.

La vulnerabilidad SearchLeak demuestra que cualquier asistente de IA conectado solo está protegido por los permisos de la persona que lo ejecuta. Cuando se vulnera, puede acceder a cualquier información a la que tenga acceso el usuario y filtrarla.

SearchLeak combina una clase relativamente nueva de vulnerabilidad específica de IA conocida como parámetro-a-inyección inmediata con dos errores clásicos de seguridad web: un fallo de condición de carrera por inyección HTML y un falsificación de solicitud del lado del servidor problema.

“Individualmente, cada vulnerabilidad puede parecer manejable”, escribió el investigador de seguridad Dolev Taler en un artículo. blog“Encadenadas entre sí, permiten a un atacante extraer silenciosamente correos electrónicos, códigos de seguridad y otro contenido confidencial del buzón de correo, el calendario, SharePoint y OneDrive de la víctima, todo ello con un solo clic en un enlace aparentemente inofensivo.”

Según los expertos, el problema de SearchLeak era preocupante por su simplicidad. «Un solo clic, sin malware, sin credenciales robadas», comenta Tim Freestone, director de estrategia de Kiteworks. «Copilot interpretaba la URL como una instrucción, encontraba los correos electrónicos o los códigos MFA y los enviaba a través de una etiqueta de imagen que se mostraba en Bing incluso antes de que la respuesta terminara de cargarse».

Riesgos de la gobernanza de datos

SearchLeak pone de relieve los riesgos de gobernanza de datos que plantea la IA. Muchas organizaciones aún carecen de una comprensión integral de quién puede acceder a información confidencial, con qué amplitud se comparte esa información o cómo se combinan los permisos en los diferentes sistemas empresariales.

El problema ni siquiera radicaba en permisos demasiado amplios: Copilot solo accedía a aquello a lo que el usuario ya tenía acceso, explica Tristan Shortland, director de tecnología de Infinity Group. «La cuestión es cómo se puede activar y automatizar ese acceso. Incluso los permisos bien definidos pueden ser vulnerados si las capas de control de la IA son débiles».

AI Hace que los permisos fragmentados “se comporten como un modelo de permisos único”, dice Jared Atkinson, director de tecnología de SpecterOps. IOUn usuario puede tener acceso aparentemente inofensivo a Outlook, Teams, SharePoint, GitHub, Salesforce, ServiceNow y plataformas en la nube de forma individual. Una vez que un asistente de IA pueda razonar en todas ellas, la combinación podría revelar mucha más información que cualquier aplicación por separado.

Según Atkinson, a medida que las organizaciones adoptan la IA, la gobernanza de datos deja de centrarse en dónde se almacena la información y se centra más en comprender las identidades y las relaciones de permisos que permiten combinarla.

La IA elimina la «seguridad por ocultación» en la que muchas organizaciones confían inadvertidamente, afirma Dray Agha, gerente sénior de operaciones de seguridad en Huntress. «Sin una gobernanza de datos estricta, las herramientas de IA facilitan enormemente que los empleados —o las cuentas comprometidas— encuentren y resuman instantáneamente información confidencial que antes permanecía oculta entre el ruido y el volumen de las redes corporativas».

Superficie de ataque creciente

A medida que los agentes se integran en más aplicaciones, la superficie de ataque aumenta debido a la creciente cantidad de fuentes de datos, acciones y cadenas complejas. En este sentido, Shortland, de Infinity Group, predice que en el futuro habrá menos vulnerabilidades individuales de gran magnitud y más exploits de varios pasos que abarquen IA, identidad y API.

Los asistentes de IA actuales recuperan información. La próxima generación de agentes de IA "ejecutará tareas en múltiples aplicaciones empresariales, coordinando acciones en correo electrónico, repositorios de código fuente, plataformas en la nube, sistemas de gestión de incidencias, plataformas CRM, proveedores de identidad y otros servicios empresariales", afirma Atkinson de SpecterOps.

Esta autonomía propiciará un uso más amplio de la autoridad delegada, afirma. «Los agentes recibirán credenciales delegadas, identidades de servicio o permisos específicos de la aplicación que les permitirán realizar acciones que el usuario no podría realizar directamente. Esto generará nuevas oportunidades para la exposición involuntaria de datos, la escalada de privilegios o el abuso, si los permisos delegados no se gestionan con rigor».

recuperar el control

A medida que los agentes de IA continúan suponiendo riesgos para las empresas, los responsables de seguridad y cumplimiento normativo pueden tomar algunas medidas sencillas para recuperar el control y limitar el alcance de los daños si surgen problemas similares a los de SearchLeak.

Es importante tener en cuenta que simplemente bloquear el acceso no funcionará. "La prohibición solo redirige el uso a cuentas no corporativas, donde se tiene aún menos visibilidad", afirma Freestone, de Kiteworks.

En lugar de dar marcha atrás en la IA, Shortland, de Infinity Group, aconseja tratar la tecnología "como una capa de abstracción con altos privilegios".

“En la práctica, esto significa limitar estrictamente lo que Copilot puede indexar y recuperar: no solo los permisos de usuario, sino también el alcance de la recuperación mediante IA.”

Shortland también recomienda segmentar las fuentes de datos confidenciales. «No des por sentado que todo debe poder descubrirse a través de Graph».

Mientras tanto, las empresas pueden monitorear patrones de recuperación inusuales y reducir la confianza implícita en dominios internos, aconseja. «SearchLeak funcionó porque el enlace parecía legítimo. En resumen: hay que asumir que la IA será engañada en algún momento y diseñar teniendo esto en cuenta».

Gobernanza del acceso a la IA

Como demuestra el caso SearchLeak, es imposible crear un asistente de IA completamente inmune a los engaños, por lo que el control más importante consiste en limitar su alcance. La visibilidad es un paso fundamental.

Según Atkinson, de SpecterOps, los responsables de seguridad deben inventariar dónde se implementan los agentes de IA, comprender con qué identidades operan e identificar las credenciales delegadas o las identidades de servicio que reciben. «Los usuarios humanos, las cuentas de servicio, las identidades de las aplicaciones y los agentes de IA deben evaluarse como parte del mismo ecosistema de identidad».

Aunque ISO 27001, No fue escrito para IA, sus controles “se corresponden directamente con la cadena de ataque de SearchLeak”, según Freestone de Kiteworks. Por ejemplo, Anexo A.9 Control de acceso Habría evaluado el alcance de Copilot.A.12.4 Registro y monitoreo “Habría hecho visible el intento de exfiltración en tiempo real”, señala. “Y A.8.2 Clasificación de la información Esto habría impedido que el contenido regulado traspasara una frontera controlada.

El estándar proporciona los controles, pero carece del marco para decidir qué se les permite hacer a los sistemas de IA en primer lugar, explica. Ahí es donde ISO 42001,, el estándar internacional para sistemas de gestión de IA, entra en juego.

Esto requiere evaluaciones de impacto antes de la implementación, mecanismos de supervisión humana y un tratamiento explícito de los riesgos específicos de la IA, incluida la manipulación inmediata y el comportamiento no deseado del modelo.

«Esta es precisamente la clase de amenaza que representa SearchLeak», afirma Freestone. «La norma ISO 27001 abarca los controles de seguridad y la evidencia de auditoría. La norma ISO 42001 abarca las decisiones de gobernanza que preceden a esos controles. Los reguladores están empezando a exigir ambas».

Amplíe su conocimiento

Guía: Asegurando la superficie de ataque de la IA

Blog: La suspensión de Anthropic es una llamada de atención sobre el riesgo de los proveedores de IA.

Blog: La gestión del riesgo cibernético está fragmentada: aquí te mostramos cómo solucionarlo.