Lo m\u00e1s importante en resumen<\/p>\n
- \n
- Cowork act\u00faa, ya no solo responde.<\/strong> El modo Wave 3 ejecuta tareas de varios pasos de forma aut\u00f3noma en segundo plano y realiza acciones reales con los permisos del usuario correspondiente.<\/li>\n
- La inyecci\u00f3n de prompt se convierte en una cadena de acciones.<\/strong> Un correo electr\u00f3nico manipulado o un documento preparado que el agente lee en medio de la tarea puede desviar los siguientes pasos.<\/li>\n
- La puerta de parada es opcional.<\/strong> Cowork se puede verificar, dirigir y detener. Sin un umbral de aprobaci\u00f3n establecido, el ser humano ve la acci\u00f3n con consecuencias solo despu\u00e9s.<\/li>\n
- La pista de auditor\u00eda no est\u00e1 disponible autom\u00e1ticamente.<\/strong> Los eventos de Cowork se pueden registrar, pero el registro de Purview debe configurarse espec\u00edficamente para ello. Sin este paso, el SOC no tiene telemetr\u00eda.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/span>Autoreplicaci\u00f3n: agentes de IA del 6 al 81 por ciento<\/a> \/<\/span> Phishing con IA: los filtros de correo se vuelven ciegos<\/a><\/p>\n
\u00bfQu\u00e9 es Copilot Cowork?<\/strong> Cowork es el nuevo modo central de la Wave 3 de Copilot de Microsoft, presentado el 9 de marzo de 2026 y desarrollado en colaboraci\u00f3n con Anthropic. A diferencia del Copilot basado en di\u00e1logo, Cowork ejecuta tareas de larga duraci\u00f3n y varios pasos, y realiza acciones reales: planifica citas, env\u00eda correos electr\u00f3nicos, edita documentos. La tarea se ejecuta en segundo plano mientras el usuario trabaja en otra cosa. Cowork comienza como Research Preview con clientes seleccionados y se ejecuta a trav\u00e9s del programa Frontier.<\/p>\n
De asistente a actor<\/h2>\n
La ruptura relevante para la seguridad no radica en la IA en s\u00ed, sino en la transici\u00f3n de la sugerencia a la acci\u00f3n. Un Copilot basado en di\u00e1logo formula un borrador de correo electr\u00f3nico que un ser humano lee, verifica y env\u00eda. Cowork env\u00eda el correo electr\u00f3nico por s\u00ed mismo porque el env\u00edo es parte de la tarea encomendada. Entre la intenci\u00f3n y el efecto ya no hay un clic humano.<\/p>\n
Microsoft describe Cowork conscientemente con vocabulario de control. El trabajo es observable, las acciones son transparentes, el progreso se puede verificar, dirigir y detener. Todo se ejecuta dentro del marco de seguridad, identidad y gobernanza de Microsoft 365. Esto es cierto. Sin embargo, es solo la mitad de la afirmaci\u00f3n. Observable no significa observado. Detenible no significa detenido. Las capacidades existen, su efectividad depende de la configuraci\u00f3n y el proceso.<\/p>\n
Para un equipo de seguridad, esta es la distinci\u00f3n crucial. Cowork act\u00faa con la identidad y los permisos del usuario que inici\u00f3 la tarea. Un agente que se ejecuta para un ejecutivo de ventas puede acceder a su bandeja de entrada, sus documentos y sus contactos. Si este agente se desv\u00eda en una direcci\u00f3n incorrecta, no act\u00faa como un script an\u00f3nimo, sino como ese ejecutivo.<\/p>\n
La inyecci\u00f3n de prompt se convierte en una cadena de acciones<\/h2>\n
La inyecci\u00f3n de prompt es un patr\u00f3n de ataque conocido. Lo nuevo es el efecto de palanca cuando el objetivo no es una ventana de chat, sino una cadena de acciones en curso. Un ejemplo desde la perspectiva del incidente: Cowork recibe la tarea de revisar los correos electr\u00f3nicos de los proveedores entrantes y responder a las preguntas. En uno de estos correos electr\u00f3nicos, hay una instrucci\u00f3n para el agente, invisible en el texto o en letra blanca. Le pide que establezca una regla de reenv\u00edo o que env\u00ede un archivo espec\u00edfico a una direcci\u00f3n externa.<\/p>\n
El agente distingue entre datos e instrucciones peor que un ser humano. Si lee el correo electr\u00f3nico manipulado en medio de una tarea de varios pasos, el comando insertado puede modificar los siguientes pasos. El usuario ha encargado una tarea inocua. Al final, el agente ejecuta una adicional que nunca fue autorizada. Debido a que ambos suceden en la misma sesi\u00f3n y bajo la misma identidad, en el registro parece una acci\u00f3n coherente y deseada.<\/p>\n
Esta es la diferencia con la inyecci\u00f3n cl\u00e1sica. Antes, el ataque terminaba con una respuesta incorrecta en el chat. Ahora termina con una acci\u00f3n ejecutada con un efecto real, incrustada en una cadena de pasos leg\u00edtimos. La cadena es la camuflaje.<\/p>\n
![\"Representaci\u00f3n](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/post-iav0-hero-9.jpg\")
Los comandos ocultos en los correos electr\u00f3nicos pueden llevar a los sistemas de IA a realizar acciones no deseadas.<\/figcaption><\/figure>\n Donde falta la puerta de control humano<\/h2>\n
Microsoft ha previsto los puntos de control. Cowork se puede verificar, dirigir y detener. La pregunta abierta es en qu\u00e9 momento el ser humano debe intervenir obligatoriamente antes de que se ejecute una acci\u00f3n con consecuencias. Precisamente aqu\u00ed, la configuraci\u00f3n decide sobre el riesgo.<\/p>\n
Sin un umbral de aprobaci\u00f3n definido, se aplica la l\u00f3gica est\u00e1ndar: el agente trabaja sin interrupci\u00f3n, el ser humano puede observar. Quien no observa, ve el resultado. Para una tarea como resumir notas internas, esto es aceptable. Para una tarea que en un paso env\u00eda un correo electr\u00f3nico al exterior o modifica un documento aprobado, no lo es. Estas acciones deben estar detr\u00e1s de una puerta que exija una confirmaci\u00f3n humana.<\/p>\n
Los equipos de seguridad no deber\u00edan permitir o prohibir las tareas de Cowork de manera general, sino clasificarlas seg\u00fan su efecto. Las acciones sin efecto externo se ejecutan sin interrupci\u00f3n. Las acciones con efecto externo o con acceso de escritura a contenidos compartidos necesitan un paso de confirmaci\u00f3n. Esta clasificaci\u00f3n es trabajo manual. Es la palanca individual m\u00e1s efectiva que una empresa puede accionar antes del lanzamiento.<\/p>\n
La brecha de detecci\u00f3n en el SOC<\/h2>\n
El punto m\u00e1s peligroso es el m\u00e1s discreto. Microsoft afirma que cada acci\u00f3n de Cowork es auditables. En el mismo aliento, establece la condici\u00f3n: las organizaciones deben configurar el registro de auditor\u00eda de Purview espec\u00edficamente para eventos de Cowork para mantener la conformidad. Auditable y auditado son dos estados diferentes.<\/p>\n
\n\nLo que queda abierto<\/p>\n
- \n
- Los eventos de Cowork sin registro de Purview configurado no generan telemetr\u00eda SOC<\/li>\n
- Las acciones de los agentes se ejecutan bajo la identidad del usuario y no se destacan en los registros est\u00e1ndar<\/li>\n
- No hay puerta antes de acciones con consecuencias si no se establece un umbral de aprobaci\u00f3n<\/li>\n
- Inyecci\u00f3n de Prompt en cadenas de acciones deja una secuencia de pasos aparentemente leg\u00edtima<\/li>\n<\/ul>\n<\/div>\n\n
Lo que aporta antes del despliegue<\/p>\n
- \n
- Activar expl\u00edcitamente el registro de auditor\u00eda de Purview para eventos de Cowork<\/li>\n
- Clasificar tareas de Cowork seg\u00fan su impacto externo y establecer puertas<\/li>\n
- Complementar reglas de detecci\u00f3n para acciones an\u00f3malas de agentes en el SOC<\/li>\n
- Limitar permisos de Cowork a un c\u00edrculo piloto, no liberarlos ampliamente<\/li>\n<\/ul>\n<\/div>\n<\/div>\n
Una empresa que libera Cowork sin activar el registro correspondiente tiene un actor aut\u00f3nomo en la red cuyas acciones no aparecen en la ruta de auditor\u00eda est\u00e1ndar. En caso de incidente, falta precisamente la pista que muestra qu\u00e9 hizo el agente y cu\u00e1ndo. La investigaci\u00f3n forense comienza entonces no en los registros, sino en una brecha.<\/p>\n
Adem\u00e1s, est\u00e1 el problema de identidad. Debido a que Cowork act\u00faa bajo la identidad del usuario que lo solicita, sus acciones no generan anomal\u00edas obvias en SIEM y EDR. Un correo electr\u00f3nico enviado por una cuenta de usuario es, al principio, normal. Que detr\u00e1s de \u00e9l haya un agente que fue desviado por una entrada manipulada no se refleja en ninguna alerta est\u00e1ndar. La detecci\u00f3n de actividad de agentes es una tarea propia, no un subproducto de reglas existentes.<\/p>\n
Qu\u00e9 deben hacer ahora los equipos de seguridad<\/h2>\n
Cowork est\u00e1 en marcha a trav\u00e9s del programa Frontier y como Research Preview. Este es el momento adecuado para establecer controles antes de que llegue el despliegue amplio. Cuatro pasos deben adelantarse.<\/p>\n
Primero, el registro.<\/strong> Activar el registro de auditor\u00eda de Purview para eventos de Cowork antes de que se ejecute el primer agente productivo. Sin este paso, cualquier otra medida es ciega.<\/p>\n
Segundo, la clasificaci\u00f3n.<\/strong> Clasificar tareas de Cowork seg\u00fan su impacto externo. Las acciones que env\u00edan hacia afuera o modifican contenido compartido obtienen una confirmaci\u00f3n humana forzada. Las acciones sin impacto externo pueden continuar.<\/p>\n
Tercero, la detecci\u00f3n.<\/strong> El SOC necesita reglas para comportamientos an\u00f3malos de agentes: reglas de reenv\u00edo inusuales, accesos masivos a archivos en un corto per\u00edodo, comunicaci\u00f3n externa fuera del patr\u00f3n habitual. Estas reglas no surgen por s\u00ed solas.<\/p>\n
Cuarto, el c\u00edrculo piloto.<\/strong> Cowork comienza con un grupo limitado de usuarios, no con toda la plantilla. El piloto proporciona los patrones de acci\u00f3n reales contra los que se pueden calibrar las reglas de detecci\u00f3n.<\/p>\n
La evaluaci\u00f3n es sobria. Cowork no es un riesgo incontrolable. Microsoft ha proporcionado las herramientas para el control. El error ser\u00eda considerar las herramientas como el control en s\u00ed mismo. Un agente que act\u00faa de manera aut\u00f3noma es tan seguro como las puertas y registros que un equipo de seguridad establece antes del despliegue. Despu\u00e9s, es trabajo de limpieza.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n
\n\u00bfQu\u00e9 es Copilot Cowork?<\/strong><\/summary>\n
Cowork es el nuevo modo aut\u00f3nomo de la ola 3 de Copilot de Microsoft, presentado el 9 de marzo de 2026. Realiza tareas largas y de varias etapas en segundo plano y lleva a cabo acciones reales, como programar citas, enviar correos electr\u00f3nicos y editar documentos. Cowork se desarroll\u00f3 en colaboraci\u00f3n con Anthropic y comienza como Research Preview a trav\u00e9s del programa Frontier.<\/p>\n<\/details>\n
\n\u00bfPor qu\u00e9 Cowork es un tema de seguridad?<\/strong><\/summary>\n
Porque Cowork no solo sugiere texto, sino que ejecuta acciones con la identidad y los permisos del usuario que lo solicita. Entre la intenci\u00f3n y el efecto ya no hay un clic humano. Si el agente se desv\u00eda mediante una entrada manipulada, act\u00faa como ese usuario sin que se note en el protocolo est\u00e1ndar.<\/p>\n<\/details>\n
\n\u00bfC\u00f3mo funciona la inyecci\u00f3n de Prompt en un agente aut\u00f3nomo?<\/strong><\/summary>\n
El agente lee contenidos como correos electr\u00f3nicos o documentos durante una tarea. Si dicho contenido contiene una instrucci\u00f3n oculta, el agente puede tratarla como una orden en lugar de como datos. En una tarea de varias etapas, esto desv\u00eda los siguientes pasos. El resultado es una acci\u00f3n ejecutada y no autorizada, incrustada en una secuencia de pasos leg\u00edtima.<\/p>\n<\/details>\n
\n\u00bfSe pueden rastrear las acciones de Cowork?<\/strong><\/summary>\n
Son auditables, pero no se registran autom\u00e1ticamente. Las organizaciones deben configurar el registro de auditor\u00eda de Purview espec\u00edficamente para los eventos de Cowork. Sin este paso, las acciones no generan telemetr\u00eda SOC. En caso de incidente, falta la pista de qu\u00e9 hizo el agente y cu\u00e1ndo.<\/p>\n<\/details>\n
\n\u00bfQu\u00e9 deben hacer los equipos de seguridad antes del despliegue?<\/strong><\/summary>\n
Cuatro cosas: activar el registro de auditor\u00eda de Purview para Cowork, clasificar las tareas de Cowork seg\u00fan su impacto externo y establecer puertas de aprobaci\u00f3n, complementar las reglas de detecci\u00f3n para acciones an\u00f3malas de agentes en el SOC y limitar inicialmente Cowork a un c\u00edrculo piloto en lugar de liberarlo ampliamente.<\/p>\n<\/details>\n
<\/p>\n
Selecci\u00f3n de la redacci\u00f3n<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/nis2-audit-lieferketten-vendor-liste-evidenz-2026-cover-hero-3-250x143.png\")
<\/span>Recomendado<\/span>Auditor\u00eda NIS2: Cuando la lista de proveedores se desmorona en dos horas<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/adaptive-mfa-nis2-bsi-zero-trust-mittelstand-fido2-2026-hero-250x167.jpg\")
<\/span>Recomendado<\/span>MFA adaptativo: La presi\u00f3n del NIS2 como palanca de Zero Trust en la PYME<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/detection-engineering-wazuh-sigma-shuffle-open-source-soc-2026-cover-hero-3-250x167.jpg\")
<\/span>Recomendado<\/span>Ingenier\u00eda de detecci\u00f3n sin bloqueo de proveedor: pila Wazuh 2026<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-copilot-studio-agenten-leitstelle-11121796.jpg\")
<\/span>cloudmagazin<\/span>Copilot Studio se convierte en la central de agentes<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-microsoft-365-e7-bundle-mittelstand-tco-6520872-250x167.jpg\")
<\/span>MyBusinessFuture<\/span>\u00bfVale la pena el paquete de IA de Microsoft por $99?<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-agent-365-ki-agenten-governance-haftung-89132355-250x141.jpg\")
<\/span>Digital Chiefs<\/span>Agente 365 ordena los agentes de inteligencia artificial, la responsabilidad sigue abierta<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Copilot Cowork ejecuta acciones de forma aut\u00f3noma. Qu\u00e9 superficie de ataque abre esto y por qu\u00e9 el SOC permanece ciego sin un registro configurado.","protected":false},"author":10,"featured_media":14912,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"","_yoast_wpseo_title":"Copilot Coworker act\u00faa solo, el Centro de Operaciones de Seguridad no lo detecta","_yoast_wpseo_metadesc":"Copilot Cowork act\u00faa de forma aut\u00f3noma: correos electr\u00f3nicos, documentos, citas.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/copilot-cowork-autonome-agenten-soc-angriffsflaeche-cover-hero.png","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/copilot-cowork-autonome-agenten-soc-angriffsflaeche-cover-hero.png","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[257],"tags":[],"class_list":["post-14771","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es"],"evm_reading_time_minutes":11,"wpml_language":"es","wpml_translation_of":14744,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/14771","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=14771"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/14771\/revisions"}],"predecessor-version":[{"id":21338,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/14771\/revisions\/21338"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/14912"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=14771"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=14771"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=14771"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- La inyecci\u00f3n de prompt se convierte en una cadena de acciones.<\/strong> Un correo electr\u00f3nico manipulado o un documento preparado que el agente lee en medio de la tarea puede desviar los siguientes pasos.<\/li>\n