Descripción de la Vulnerabilidad
Una grave vulnerabilidad de seguridad ha sido descubierta en GitHub Copilot y Visual Studio Code, que permite la ejecución remota de código mediante técnicas de inyección de comandos en los prompts. Esta vulnerabilidad, identificada como CVE-2025-53773, representa un riesgo significativo para equipos de desarrollo que utilizan estas populares herramientas de programación asistida por IA.
Detalles Técnicos del Exploit
La vulnerabilidad se basa en dos componentes principales:
- Explotación del llamado ‘modo YOLO‘ que permite a Copilot operar sin confirmaciones del usuario
- Manipulación de archivos de configuración del proyecto para ejecutar comandos arbitrarios
El ataque se inicia mediante la inyección de prompts maliciosos que pueden ocultarse en:
- Código fuente
- Archivos README.md
- Issues de GitHub
- Páginas web referenciadas
Impacto en el Ecosistema de Desarrollo
La vulnerabilidad ha recibido una calificación CVSS v3.1 de 7.8, considerada de alta severidad, y afecta a:
- Microsoft Visual Studio (versiones 17.14.0 hasta 17.14.12)
- Integraciones de GitHub Copilot
- Sistemas Windows, macOS y Linux
Riesgos para Startups y Equipos de Desarrollo
Esta vulnerabilidad representa varios riesgos críticos:
- Compromiso de la seguridad del entorno de desarrollo
- Posible propagación de malware en la cadena de suministro de software
- Exposición de datos sensibles del proyecto
- Potencial para ataques automatizados a gran escala
Medidas de Mitigación
Se recomiendan las siguientes acciones inmediatas:
- Actualizar inmediatamente Visual Studio y GitHub Copilot a las últimas versiones
- Desactivar características experimentales como ‘chat.tools.autoApprove’
- Implementar validación estricta de inputs en entornos colaborativos
- Monitorear los archivos de configuración críticos
Conclusión
Esta vulnerabilidad destaca la importancia de mantener un equilibrio entre la innovación en IA y la seguridad en el desarrollo de software. Para las startups que dependen de herramientas de IA como GitHub Copilot, es crucial mantenerse al día con las actualizaciones de seguridad y adoptar prácticas de desarrollo seguro.
¿Preocupado por la seguridad en el desarrollo con IA? Únete a nuestra comunidad de founders tech y comparte experiencias sobre ciberseguridad en startups
Fuentes
- https://embracethered.com/blog/posts/2025/github-copilot-remote-code-execution-via-prompt-injection/ (fuente original)
- https://www.wiz.io/vulnerability-database/cve/cve-2025-53773
- https://www.persistent-security.net/post/part-iii-vscode-copilot-wormable-command-execution-via-prompt-injection
- https://nvd.nist.gov/vuln/detail/CVE-2025-53773
Artículos relacionados:
Ignite Copilot: IA en educación, inspiración para startups latinoamericanas
GitHub prioriza migración a Azure sobre nuevas funcionalidades
Ignite Copilot busca expandirse en Latinoamérica con nueva ronda
GitHub: Interrupción Masiva Afecta Servicios Principales – Octubre 2025
La IA revoluciona la educación con IGNITE Copilot
