Manus, el asistente obediente: un correo tramposo lo mandó a ejecutar código sin chistar

Volvés del supermercado, abrís el celular y le pedís al asistente de IA que te resuma los mails del día. Suena a vida resuelta. Hasta que un día, sin saberlo, le acabás de dar a un desconocido la llave de tu casilla, tu calendario y hasta la nube donde guardás las fotos del asado del domingo. Bienvenido al nuevo... perdón, al nuevo riesgo: los agentes que actúan sobre servicios conectados ya no leen, ejecutan.

La advertencia la largó Salt Labs, el equipo de investigación de la empresa de seguridad Proofpoint, después de hincarle el diente a Manus, un agente de inteligencia artificial que se conecta con Gmail, entre otros servicios. Lo que encontraron fue de manual: un correo electrónico manipulado fue suficiente para que el asistente ejecutara código malicioso. Y acá viene lo más jugoso: el sistema recién le avisó al usuario después de haber obedecido.

Un PDF, un email y una orden disfrazada

La trampa se conoce como inyección de instrucciones o, si te copás el nombre inglés, prompt injection. La idea es simple y a la vez terrorífica: el atacante esconde una orden dentro de algo que parece inofensivo, un mail, un PDF, un archivo cualquiera. El agente, en vez de tratar ese contenido como material para analizar, lo lee como si fuera un pedido directo del dueño de la cuenta y actúa en consecuencia.

La falla fue reportada a través del programa de recompensas por errores de Meta, ya está corregida y la secuencia exacta que usaron los investigadores dejó de funcionar. Igual, el experimento sirve para entender qué hay en juego cuando delegás tareas sobre el correo, que es como pedirle a alguien que te abra la correspondencia y, de paso, le das un poder firmado para hacer trámites a tu nombre.

Lo que inicialmente protegía a Manus detectó el intento y frenó la ejecución. Los investigadores probaron distintas formas de esquivar ese filtro hasta que dieron con una técnica bastante bizarra: JSFuck, un método que escribe código JavaScript usando apenas seis caracteres. Sí, leíste bien: un programa completo hecho con signos que parecen un insulto en un chat. Con ese truco, el filtro se comió la curva y el agente ejecutó el código dentro de su propio entorno.

Cuánta gente ya le dio acceso a todo

• El 36% de los consumidores le dio acceso a su correo electrónico a un agente de IA.
• El 31% le abrió la puerta a sus aplicaciones de mensajería.
• El 29% le habilitó el almacenamiento en la nube.
• El 27% le conectó el calendario con sus reuniones y compromisos.

Los números salen del informe '2026: The State of Consumer AI', de Menlo Ventures, y pintan un cuadro bastante elocuente: ya somos casi cuatro de cada diez entregándole la casilla a un bot. O sea, no es un caso teórico ni de película: el blanco está ahí, laxo y servido.

El alcance del daño, eso sí, depende de qué tan generoso hayas sido con los permisos. Un ejemplo que el propio informe describe: una instrucción escondida podría pedirle al agente que busque correos con la palabra 'contraseña' y los reenvíe a una dirección externa. No es un robo real que se haya producido en este estudio, ojo, pero la mecánica está a la vista: el asistente tiene la capacidad técnica, solo le falta un empujón tramposo.

Qué hacer hoy, sin volverse paranoico

Lo admito: yo también le di acceso a mi Gmail a un agente para probar. La promesa de volver y tener todo resuelto es irresistible. Pero después de leer este caso, la volví a desconectar. No porque sea un inútil el asistente, sino porque todavía no le tengo la confianza suficiente como para dejarlo actuar solo sobre cosas tan sensibles como el correo, donde anidan claves, recibos y conversaciones que no querría ver filtradas.

Si usás uno de estos agentes, revisá qué servicios le conectaste y sacale todo lo que no sea imprescindible. Tratá a cada permiso nuevo como si fuera una copia de la llave de tu casa: no la prestás por las dudas, la prestás cuando hace falta y a quien conocés. Y si el proveedor publica que parcheó una falla como esta, no te confíes: la próxima inyección de prompt ya está siendo escrita en algún sótano de internet. Mantenete informado, revisá los permisos cada tanto y, sobre todo, no subestimes a un mail cualquiera. A veces el peligro viene disfrazado de un PDF de la AFIP.