El lado peligroso de los agentes de IA: advierten que pueden ser manipulados para acceder a tus correos, archivos y cuentas

Desde el año pasado, gran parte del marketing de empresas de inteligencia artificial como OpenAI, Anthropic y Google impulsa el uso de agentes: herramientas capaces de reservar vuelos, navegar sitios web, abrir archivos, consultar correos, completar formularios y agendar citas, entre otras funciones. Aunque son muy útiles, su correcto funcionamiento depende de que el usuario les otorgue permisos, lo que puede implicar riesgos significativos.

Conectar una inteligencia artificial para realizar tareas resulta sumamente cómodo. Por ejemplo, en Outlook o Gmail es posible pedirle que busque un correo o resuma mensajes pendientes; al otorgar acceso a Google Drive, puede localizar y analizar documentos, y autorizando el calendario se facilita la organización de reuniones. Incluso se puede permitir que el agente acceda al sistema operativo para administrar archivos. Sin embargo, esta comodidad puede conllevar altos costos en términos de seguridad.

Dos investigaciones presentadas en Black Hat USA 2026 —una de las conferencias de ciberseguridad más importantes a nivel mundial— expusieron los peligros de la manipulación de estas capacidades. En un estudio, expertos de Zenity lograron ocultar instrucciones maliciosas en contenidos cotidianos —desde un comentario en una red social hasta una invitación de calendario— para desviar a navegadores con agentes de IA y hacerlos actuar en contra de sus propios usuarios.

Por otro lado, un equipo de Palo Alto Networks encontró una vulnerabilidad distinta: mediante una planilla manipulada pudieron tomar control del entorno protegido donde ChatGPT procesa archivos y, desde allí, modificar la tarea en curso. Si la víctima había conectado sus correos, Google Drive, calendario u otros servicios, el atacante podía intentar acceder a esa información usando los permisos ya otorgados a ChatGPT.

Aunque partieron de técnicas diferentes, ambos estudios concluyen en un problema común: a mayor autonomía de un agente para actuar en nombre de una persona, mayor es el daño potencial si alguien logra manipularlo.

Esta temática fue central en Black Hat y DEF CON —las dos principales conferencias que conforman el llamado Hacker Summer Camp en Las Vegas— donde la inteligencia artificial fue abordada tanto como herramienta para detectar vulnerabilidades como nueva superficie susceptible de ataques.

### Un comentario basta para desviar a un agente

“En el modelo tradicional, un ataque requería que la víctima hiciera algo riesgoso: hacer clic en un enlace malicioso, descargar un archivo, ingresar su contraseña en una página falsa o aprobar permisos sospechosos. En contraste, el ataque sin clics elimina esa necesidad”, explicó a Clarín Stav Cohen, investigador del equipo de seguridad en IA de Zenity.

Su investigación, titulada *Pwning Agentic Browsers with PleaseFix: A New Vulnerability Class for 0-Click Takeover*, analizó una nueva generación de navegadores que incorporan agentes capaces de ejecutar tareas de forma autónoma. OpenAI lanzó uno similar el año pasado, que finalmente fue discontinuado.

A diferencia de un navegador tradicional como Chrome, Edge o Safari, donde el usuario decide qué páginas abrir y qué acciones realizar, un navegador “agéntico” recibe un objetivo (por ejemplo, reservar un vuelo) y ejecuta los pasos necesarios por sí mismo. Para hacerlo, el agente debe leer el contenido que encuentra, lo que permite a un atacante introducir instrucciones ocultas dentro de páginas, correos o documentos, técnica conocida como *indirect prompt injection*.

“Los atacantes esconden instrucciones dentro del contenido que lee el agente, y éste no puede distinguir confiablemente entre el contenido legítimo y las instrucciones maliciosas ocultas”, agregó Cohen.

Los investigadores denominaron “PleaseFix” a esta clase de ataque y desarrollaron la técnica Intent Collision, que mezcla la tarea legítima solicitada por el usuario con la intención maliciosa introducida por el atacante.

En una demostración, ocultaron instrucciones dentro de un comentario en X (antes Twitter), bajo una publicación sobre una newsletter. Cuando la víctima solicitaba al navegador suscribirse, el agente procesaba también el comentario y terminaba desviando la acción: abandonaba la tarea original, ingresaba a Amazon, modificaba la dirección de entrega y realizaba compras enviadas a la dirección del atacante. En otro caso, el agente abría WhatsApp y enviaba mensajes a los contactos de la víctima.

“La solicitud del usuario fue simple y razonable, pero el agente la ejecutó de forma desviada debido a nuestras instrucciones ocultas”, señalaron los expertos.

De manera similar, en un ataque con una invitación de calendario aparentemente inocua, el agente era instruido para buscar archivos almacenados en la computadora y enviarlos al atacante una vez que la víctima aceptaba la reunión y solicitaba ayuda para prepararse.

El alcance se amplía porque estos navegadores utilizan las sesiones activas del usuario. En sus pruebas, Zenity logró controlar cuentas de Slack, X, 1Password —un gestor de contraseñas— y Claude, acceder a información de Gmail y Google Drive, usar WhatsApp para enviar mensajes y Amazon para realizar compras.

Uno de los casos más delicados involucró a 1Password, donde los investigadores consiguieron que el agente usara la extensión de la víctima para entregar al atacante toda la bóveda de contraseñas y bloquear al usuario legítimo. Además, iniciaron un procedimiento de recuperación de contraseña, hicieron que el agente encontrara el correo de recuperación y completaran el cambio automáticamente, todo sin intervención humana, aprovechando la autonomía del agente.

“Un navegador tradicional es un visor: muestra páginas y el usuario decide qué abrir o enviar. Toda la seguridad web se fundamenta en esa suposición: que un humano toma las decisiones”, detallaron a este diario. “Un navegador agéntico reemplaza al humano por un agente de IA, que actúa en su nombre en todos los sitios con sesiones iniciadas y puede operar en varios simultáneamente”.

Para Cohen,