EchoLeak: qué cambió CVE-2025-32711 en Microsoft 365 Copilot
Aim Security reportó un fallo de revelación sin clic en Microsoft 365 Copilot. Microsoft asignó CVE-2025-32711, lo puntuó con 9,3 y dijo que la corrección en el servicio no pedía un paquete al cliente.
El 11 de junio de 2025 Microsoft publicó CVE-2025-32711: una 'inyección de comandos de IA en M365 Copilot' que permite a un atacante no autorizado revelar información por la red. NVD registra la puntuación de Microsoft como 9,3. Aim Security llama a la cadena EchoLeak y dice que reportó el problema en enero de 2025.
Microsoft dijo a la prensa que el producto se actualizó antes de la divulgación pública, que los clientes no tenían que instalar un parche y que no tenía evidencia de uso en la naturaleza. La lección de arquitectura sobrevivió al fallo concreto.
Qué dice el aviso que ocurrió
Copilot recupera correo y archivos para responder una pregunta. EchoLeak escondía instrucciones en contenido que la recuperación iba a traer después. Esas instrucciones pedían al asistente colocar contexto sensible donde un tercero pudiera recibirlo. En la cadena que describe Aim, la víctima no tenía que abrir el mensaje ni pulsar un enlace.
Este artículo no repite el marcado que llevaba las instrucciones. Basta el registro del CVE para nombrar la clase: texto no confiable se trató como algo que el asistente debía obedecer, al lado de datos que el usuario sí podía ver.
Qué podía salir del inquilino
El texto de Aim, y la cobertura que siguió, nombra el contexto de Copilot: chats previos, y el correo, los archivos y las conversaciones que el asistente puede recuperar. Un fallo de revelación en ese sitio es una copia de lo que el inquilino ya había confiado al asistente.
Microsoft dijo que no había evidencia de uso antes de la corrección. Que no se conozca una campaña no es motivo para dejar el alcance del asistente como estaba. La misma forma — recuperar texto no confiable y luego actuar — es como fallan los asistentes que vinieron después.
Qué cambió ya Microsoft
El aviso del fabricante dice que la corrección es del lado del servicio. No hay un número de build de Copilot que el cliente instale para CVE-2025-32711. Si tu inquilino tenía Microsoft 365 Copilot en mayo de 2025, el hueco concreto descrito ese junio se cerró del lado de Microsoft.
Microsoft también señaló controles que ya estaban en el producto: etiquetas de confidencialidad y la opción de impedir que Copilot procese correo externo. Son controles de alcance. No dependen de que este CVE siga cerrado.
Qué revisar aunque el CVE esté parcheado
Lista qué puede recuperar Copilot, o cualquier asistente que operes. El correo externo, los buzones compartidos y los sitios amplios de SharePoint son la concesión de más habitual. Activa las restricciones de etiquetas y de correo externo que el centro de administración ya documenta.
En un asistente que alojes tú, mantén los documentos no confiables fuera del mismo índice que los secretos, y no dejes que el modelo invente una petición a un host externo desde ese contexto. Los agentes de Bentho deben negarse ante una herramienta que la política no nombró. Eso es un límite de producto, no la afirmación de que un modelo sea inmune a instrucciones escondidas en un archivo.
La ficha de NVD de CVE-2025-32711, publicada el 11 de junio de 2025, y la guía de actualización de Microsoft.
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-32711
Preguntas frecuentes
¿Instalo un parche para EchoLeak?
Microsoft dijo que CVE-2025-32711 no pedía acción del cliente. La corrección salió en el servicio en mayo de 2025, antes del aviso del 11 de junio. Revisa igual el acceso de Copilot.
¿Se robaron datos de clientes?
Microsoft dijo a la prensa que no tenía evidencia de uso antes de la corrección. El CVE es un fallo de revelación de información, puntuado 9,3 por Microsoft, no una intrusión confirmada de un inquilino con nombre.
¿Afecta a Copilot fuera de Microsoft 365?
El registro del CVE nombra Microsoft 365 Copilot. Otros asistentes fallan con la misma forma cuando recuperan texto no confiable junto a datos privados. Ese alcance se revisa aparte.