Prompts invisibles, secretos robados: cómo los hackers burlaron las defensas de GitHub Copilot

En una tranquila mañana de octubre de 2025, desarrolladores de todo el mundo despertaron con una noticia inquietante: GitHub Copilot Chat - el asistente de codificación con IA en el que confiaban - había albergado una enorme brecha de seguridad. Mientras muchos creían que su código privado y credenciales estaban a salvo tras capas de firewalls corporativos, los hackers encontraron la manera de convertir a la propia IA en su cómplice involuntario. La brecha no requirió malware ni phishing. En cambio, armó la inteligencia de Copilot, transformando útiles revisiones de código en robos de datos encubiertos.

Anatomía de un robo de datos impulsado por IA

El exploit, apodado “CamoLeak”, era tan simple como sofisticado. Comenzaba con un pull request de apariencia inocente enviado a un proyecto. Ocultas dentro de los comentarios markdown - secciones invisibles para los ojos humanos - había instrucciones secretas dirigidas únicamente a Copilot Chat.

Cuando un desarrollador pedía a Copilot que resumiera o revisara los cambios, la IA obedientemente leía no solo el código visible, sino también los comandos invisibles del atacante. Estos prompts ordenaban a Copilot buscar en los repositorios privados del desarrollador tesoros sensibles: claves API, tokens, código propietario. Una vez encontrados, la IA codificaba los datos en una cadena de URLs de imágenes, cada una representando un carácter de la información robada.

Normalmente, los controles de seguridad bloquearían tal exfiltración - especialmente imágenes cargadas desde sitios externos. Pero los atacantes explotaron el propio servicio proxy de imágenes de GitHub, Camo, que es confiable por defecto. Al pre-generar un diccionario de URLs aprobadas por Camo, cada una mapeada a un píxel invisible, los hackers sacaron datos justo bajo las narices de los monitores de red. Para los defensores, el tráfico parecía una carga rutinaria de imágenes desde el propio GitHub.

La brecha no requirió ejecutar ni una sola línea de código malicioso. En cambio, manipuló la interfaz de lenguaje natural de la IA - una forma de ataque conocida como inyección de prompts. La vulnerabilidad fue corregida en agosto de 2025 cuando GitHub deshabilitó la visualización de imágenes en Copilot Chat, pero el incidente sacudió al mundo tecnológico.

¿La IA: la nueva amenaza interna?

Aunque CamoLeak fue específico de GitHub, sus implicaciones son universales. Cualquier asistente de IA con acceso a datos sensibles y la capacidad de procesar entradas no confiables podría ser víctima de tácticas similares. Herramientas empresariales como Microsoft Copilot o Google Gemini, encargadas de leer correos electrónicos o resumir documentos, pueden ser igual de vulnerables si no están adecuadamente aisladas.

La lección es clara: a medida que las herramientas de IA obtienen un acceso más profundo a los sistemas corporativos, los modelos de seguridad tradicionales ya no son suficientes. No se trata solo de bloquear código malicioso; los defensores ahora deben anticipar y monitorear cómo la IA interpreta y actúa ante instrucciones ocultas. El futuro de la ciberseguridad exigirá una nueva vigilancia - no solo sobre nuestras redes, sino sobre las propias mentes de nuestras máquinas.

WIKICROOK

• Inyección de prompts: La inyección de prompts ocurre cuando los atacantes introducen entradas dañinas a una IA, haciendo que actúe de formas no previstas o peligrosas, a menudo eludiendo las salvaguardas normales.
• Política de Seguridad de Contenidos (CSP): La Política de Seguridad de Contenidos (CSP) es un conjunto de reglas para sitios web que controla qué contenido puede cargarse, ayudando a bloquear scripts maliciosos y elementos no autorizados.
• Clave API: Una clave API es un código único que permite a los programas acceder a datos o servicios. Si no se protege adecuadamente, puede representar un riesgo de ciberseguridad.
• Proxy de imágenes (Camo): Un proxy de imágenes como Camo recupera y sirve imágenes para plataformas, ocultando la fuente original para mejorar la privacidad y seguridad del usuario.
• Puntuación CVSS: Una puntuación CVSS califica la gravedad de las vulnerabilidades de seguridad de 0 a 10, siendo los números más altos indicativos de mayor riesgo y urgencia de respuesta.