El día que un email le dio una orden al asistente de IA y este obedeció

A todos nos pasó: abrís el mail pensando que es una boleta, una promo o un pedido del jefe, y resulta que alguien metió instrucciones escondidas adentro. Ahora imaginá eso mismo pero con un asistente de IA conectado a tu Gmail, leyendo y actuando por vos. No es ciencia ficción: pasó, lo testeó Salt Labs sobre Manus, el agente de Meta, y la respuesta fue incómoda. El asistente ejecutó código malicioso que venía dentro de un correo y recién después le avisó al usuario lo que había hecho.

La falla se reportó por el programa de recompensas de errores de Meta y, según los investigadores, ya quedó corregida. Lo interesante no es solo el agujero en sí, sino lo que deja a la vista: cuando le pedís a una IA que revise tu casilla, le estás abriendo la puerta a instrucciones redactadas por terceros. Y si esas instrucciones son maliciosas, el asistente puede tomarlas como una orden legítima y ejecutarlas contra los sistemas a los que tiene acceso.

La diferencia entre leer y obedecer

Acá está el quilombo de fondo. Si yo le pido a un agente que me resuma un mail, lo razonable es que lo lea como contenido, no como una lista de tareas. El problema tiene nombre técnico y nombre de película: prompt injection, o inyección de instrucciones. En criollo: el mensaje que llega trae una orden escondida y el sistema la interpreta como si se la hubiera dado el dueño de la cuenta.

El alcance del daño depende de a qué tenga acceso el asistente. Un ejemplo del riesgo que describen los investigadores, y que aclaro no es un robo efectivo reportado en esta prueba: una instrucción podría pedirle que busque mails con la palabra "contraseña" y los reenvíe a una dirección ajena. Suena a golpe de suerte para el atacante, pero con permisos sobre el correo el margen existe.

• El 36% de los consumidores ya le dio acceso a su correo electrónico a un agente de IA, según el informe "2026: The State of Consumer AI" de Menlo.
• El 31% autorizó el acceso a aplicaciones de mensajería.
• El 29% habilitó el ingreso al almacenamiento de archivos en la nube.
• El 27% conectó el calendario personal.

En las pruebas con Manus y Gmail, las defensas del sistema detectaron primero la instrucción peligrosa y la frenaron. Los investigadores insistieron y probaron distintas formas de camuflarla. La que sorteó el control se llama JSFuck, una técnica que parece un acertijo: representa código JavaScript usando apenas unos pocos símbolos, los justos para que un antivirus distraído mire para otro lado. El asistente procesó esa maraña y ejecutó el código dentro de su propio entorno. Recién cuando terminó la ejecución, saltó la advertencia.

“Para Salt Labs, el resultado muestra que revisar las instrucciones antes de ejecutarlas sigue siendo un punto flojo en estos agentes, sobre todo cuando el contenido llega por canales ya conectados a servicios sensibles.”Salt Labs

Voy a ser honesto y reírme de mí mismo: yo, que escribo sobre tecnología, también le di permiso a un asistente para que revise mi casilla. Es cómodo, ahorra tiempo y, hasta que aparece un caso como este, parece inofensivo. La moralea, con todas las letras: revisá qué permisos le diste a cada agente de IA, sacale el acceso a lo que no uses y, si podés, limitá su capacidad de ejecutar acciones sobre tus cuentas. Menos libertad automática, más tranquilidad tuya.