Basta un correo electrónico para engañar a un agente de IA, según investigadores

Un equipo de ciberseguridad de Salt Labs encontró una forma de evadir las protecciones de Manus, un agente de inteligencia artificial, para lograr que ejecutara código malicioso a partir de un correo electrónico manipulado

La técnica, que explota una debilidad conocida como inyección de instrucciones (prompt injection), permitió que el sistema interpretara el contenido de un email como órdenes ejecutables en lugar de tratarlo como simple información para analizar. El fallo ya fue corregido, pero los investigadores advierten que existen probablemente otras variantes igual de efectivas.

El problema de fondo: la IA no distingue entre datos y órdenes

Los ataques de inyección de instrucciones no son nuevos: existen desde los primeros agentes de inteligencia artificial. Su lógica es simple. Un sistema de IA no puede diferenciar entre un comando del usuario y un dato que debe procesar. Si una persona le pide al agente que resuma un correo recibido, y ese correo contiene una instrucción oculta, la IA puede ejecutar ambas cosas a la vez.

El riesgo se vuelve crítico cuando esa segunda instrucción es maliciosa, por ejemplo, una orden para reunir todos los correos que contengan la palabra “contraseña” y reenviarlos a una dirección externa. Este tipo de ataque solo funciona si el agente de IA está conectado a servicios externos, como el correo electrónico, el calendario o redes sociales, una práctica que crece de forma sostenida.

Según el informe “2026: The State of Consumer AI”, publicado por Menlo hace menos de un mes, los usuarios ya otorgan a estos agentes acceso a información sensible.

El 36% de los consumidores ha dado a sus agentes acceso al correo electrónico, el 33% a los navegadores web, el 31% a aplicaciones de mensajería, el 29% a almacenamiento en la nube y el 27% a los calendarios, señala el documento. El acceso a aplicaciones de salud (23%) y cuentas financieras (20%) resulta todavía menos frecuente.

Cómo Manus detectaba las amenazas, y por qué eso no bastaba

Los desarrolladores de sistemas de IA son conscientes de este tipo de vulnerabilidades y han introducido mecanismos de defensa. Manus, en particular, cuenta con la capacidad de detectar cuándo una instrucción se oculta dentro de un conjunto de datos que debe analizar. Sin embargo, el sistema no descarta esas instrucciones por completo: se limita a notificar al propietario cuando identifica una de carácter malicioso.

Al probar la integración de Manus con Gmail, los investigadores de Salt Labs enviaron un correo con una instrucción encubierta, que el agente identificó como maliciosa y señaló en su respuesta.

“Manus interpretó el contenido del correo como instrucciones ejecutables. No lo trataba como datos pasivos, intentaba seguir las órdenes incluidas en él”, explicaron los investigadores. “La ejecución solo se interrumpió porque un mecanismo de seguridad reconoció la acción como potencialmente peligrosa.” Esa distinción resultó determinante para el resto de la investigación.

La pregunta que llevó al hallazgo: qué pasa si la IA no reconoce la amenaza

A partir de esa observación, el equipo de Salt Labs se planteó una pregunta central, si el agente no llegaba a identificar una instrucción como maliciosa, mantendría la notificación al usuario o la ejecutaría sin dejar rastro. Para responderla, probaron distintos métodos de evasión, entre ellos la codificación de instrucciones en Base64, que el agente decodificaba y ejecutaba mediante Python.

El método que finalmente funcionó fue JSFuck, un procedimiento de ofuscación de código JavaScript que utiliza un conjunto muy reducido de caracteres y que, según los propios investigadores, “rara vez se usa en entornos modernos”. Prepararon una instrucción sencilla codificada en JSFuck, diseñada para ejecutar una línea básica de JavaScript, y la incluyeron en el cuerpo de un correo.

“La intención parecía ser la decodificación y renderización de contenido. Sin embargo, esto ejecutó de forma efectiva código JavaScript arbitrario en un entorno del lado del servidor”, relataron los investigadores. “La carga se ejecutó con éxito y observamos el resultado esperado.”

El experimento confirmó una violación clara del límite de seguridad, contenido de correo no confiable se transformó en código ejecutable y corrió dentro del entorno operativo del propio agente.

Notificación tardía

De manera paradójica, Manus sí alertó al propietario de la cuenta sobre la ejecución del código malicioso, pero lo hizo después de que la acción ya se había completado. Para los investigadores, esa secuencia resume el problema de fondo: el aviso se produjo cuando el daño ya estaba hecho.

Salt Labs informó sobre su hallazgo a través del programa de recompensas por errores de Meta, y confirmó que la vulnerabilidad “desde entonces fue resuelta y ya no es explotable”. No obstante, el informe deja una advertencia de fondo, si un equipo de investigadores logró sortear las defensas de Manus, es razonable suponer que actores con intenciones maliciosas podrían hacer lo mismo, aunque no necesariamente mediante JSFuck.

“Esta es la lección central para cualquier empresa que despliegue agentes de IA, las barreras que inspeccionan instrucciones y comportamiento del modelo son necesarias, pero no suficientes. La seguridad tiene que extenderse a lo que un agente realmente hace a través de las herramientas, las API y los sistemas a los que puede acceder”, concluyó Salt Labs.