El lado peligroso de los agentes de IA: advierten que pueden ser manipulados para acceder a tus correos, archivos y cuentas

Desde el año pasado, gran parte del marketing de las empresas de inteligencia artificial como OpenAI, Anthropic y Google empuja el uso de los agentes: herramientas que pueden reservar vuelos, navegar sitios web, abrir archivos, consultar correos, completar formularios y agendar citas, entre otras funciones. Aunque son muy útiles, para funcionar necesitan que el usuario les de permisos. Esos accesos también pueden resultar bastante peligrosos.

Vale decir: conectar una inteligencia artificial para que realice tareas es muy cómodo. Para dar algunos ejemplos, en Outlook o Gmail permite pedirle que busque un correo o resuma los mensajes pendientes. Darle acceso a Google Drive sirve para encontrar y analizar documentos y habilitar un calendario permite organizar reuniones. De hecho, también se le puede dar acceso al sistema operativo para que administre archivos. Pero como siempre, la comodidad puede tener un costo muy grande.

Esto demostraron dos investigaciones durante Black Hat USA 2026, una de las conferencias de ciberseguridad más importantes del mundo, donde se puso sobre la mesa qué puede ocurrir cuando esas capacidades son manipuladas. En una de ellas, investigadores de Zenity lograron esconder instrucciones en contenido cotidiano (desde un comentario en una red social hasta una invitación de calendario) para desviar a navegadores con agentes de IA y hacerlos actuar contra sus propios usuarios.

La otra, presentada por Palo Alto Networks, encontró una vía distinta. Una planilla manipulada permitía tomar el control del entorno protegido donde ChatGPT procesa archivos y, desde allí, modificar la tarea que estaba realizando el sistema. Si la víctima había conectado su correo, Drive, Calendar u otro servicio, los investigadores podían intentar consultar esa información utilizando los permisos que el propio usuario ya le había otorgado a ChatGPT.

Los dos trabajos parten de técnicas diferentes, pero terminan frente a un mismo problema: cuanto más puede hacer un agente en nombre de una persona, más daño puede provocar si alguien consigue manipularlo.

La discusión atravesó buena parte de Black Hat y también DEF CON, las dos grandes conferencias que forman parte del denominado Hacker Summer Camp de Las Vegas, donde la inteligencia artificial volvió a aparecer tanto como herramienta para encontrar vulnerabilidades como una nueva superficie que los investigadores intentan atacar.

“En el mundo anterior, un ataque normalmente necesitaba que hicieras algo riesgoso: hacer clic en un enlace malicioso, descargar un archivo, escribir tu contraseña en una página falsa o aprobar un permiso inquietante. ‘Sin clics’ significa que ese paso desaparece”, explicó a Clarín Stav Cohen, investigador del equipo de seguridad en IA de Zenity.

La investigación, titulada Pwning Agentic Browsers with PleaseFix: A New Vulnerability Class for 0-Click Takeover, estudió una nueva generación de navegadores que incorporan agentes capaces de realizar tareas de manera autónoma. OpenAI lanzó uno propio el año pasado, que terminó por ser discontinuado.

En un navegador tradicional como Chrome, Edge o Safari, el usuario decide qué página abrir, dónde hacer clic, qué formulario completar o qué mensaje enviar. Un navegador “agéntico” puede recibir un objetivo (por ejemplo, reservar un vuelo, buscar información o suscribirse a un servicio) y ejecutar por sí mismo los pasos necesarios.

El problema aparece porque, para hacerlo, el agente también tiene que leer el contenido que encuentra. Es ahí donde un atacante puede introducir allí instrucciones destinadas a la inteligencia artificial, una técnica conocida como indirect prompt injection: la orden maliciosa no llega directamente desde el usuario, sino escondida dentro de una página, un mail, un documento o cualquier otro contenido que el agente procesa. “Prompt injection” es eso: inyectar una instrucción sin el consentimiento del usuario original.

“Los atacantes esconden instrucciones dentro del contenido que lee el agente, y éste no puede distinguir de manera confiable entre ‘contenido que me pidieron mirar’ e ‘instrucciones escondidas dentro de ese contenido’”, complementó Cohen.

Los investigadores bautizaron “PleaseFix” a la clase de ataque y desarrollaron una técnica denominada Intent Collision, que busca mezclar la tarea legítima solicitada por el usuario con la intención introducida por el atacante.

Una de las demostraciones partía de una situación trivial. Los investigadores dejaron instrucciones ocultas dentro de un comentario de X (Twitter) debajo de una publicación sobre una newsletter. Cuando la víctima le pedía a su navegador que la suscribiera, el agente leía también el comentario.

A partir de allí, consiguieron que la inteligencia artificial abandonara la tarea original, entrara a Amazon, modificara la dirección de entrega y realizara compras para enviarlas a la dirección del atacante. En otra versión, el agente abría WhatsApp y enviaba mensajes a los contactos de la víctima.

“En todos los casos, el usuario hizo una solicitud simple y razonable, y el agente la llevó adelante de una manera desviada por lo que nosotros habíamos plantado”, explicaron.

La misma lógica puede utilizarse para ataques dirigidos contra un usuario. En otra prueba, el contenido malicioso estaba incluido dentro de una invitación de calendario aparentemente normal. La víctima le pedía al agente que aceptara la reunión y la ayudara a prepararse. Las instrucciones escondidas conseguían entonces que buscara archivos almacenados en la computadora y los enviara al atacante.

El alcance aumenta porque estos navegadores pueden utilizar las sesiones que la persona ya tiene abiertas. En sus pruebas, Zenity consiguió tomar control de cuentas de Slack, X, 1Password (gestor de contraseñas) y Claude, acceder a información de Gmail y Google Drive, utilizar WhatsApp para enviar mensajes y Amazon para realizar compras.

Uno de los ejemplos más sensibles involucró a 1Password, que puede tener consecuencias muy graves porque administra passwords. Los investigadores lograron hacer que el agente utilizara la extensión de la aplicación de la propia víctima para entregar al atacante su bóveda (así se llama el lugar donde se guardan todas las claves) y luego bloquear al usuario legítimo.

También pudieron iniciar un procedimiento de recuperación de contraseña en un servicio, hacer que el agente buscara automáticamente el correo de recuperación y completar el cambio desde la misma sesión. Todo de manera automatizada, porque eso es lo que distingue a un agente de un simple chatbot con IA.

“Un navegador tradicional es un visor. Muestra las páginas y vos decidís qué abrir, qué comprar o qué enviar. Toda la seguridad de la web fue construida alrededor de esa suposición: que un humano es quien toma las decisiones”, explicaron a este medio.

“Un navegador agéntico reemplaza a ese humano con un agente de inteligencia artificial. El agente toma esas mismas decisiones por vos, como si fuera vos, en todos los sitios donde tenés una sesión iniciada, y puede trabajar en varios de ellos al mismo tiempo”, agregó el especialista.

Para Cohen, esa diferencia obliga a revisar también las defensas. Durante las pruebas, los mecanismos que más dificultaron los ataques fueron límites impuestos mediante código, fuera de la capacidad de decisión del modelo.

“La única defensa que funcionó fue aquella sobre la que el modelo no tenía poder de decisión”, resumieron los investigadores. Su recomendación es establecer límites explícitos sobre los recursos que puede alcanzar un agente y exigir intervención humana para determinadas acciones sensibles, en lugar de depender únicamente del entrenamiento de seguridad del modelo o de advertencias que la propia inteligencia artificial debe interpretar.

La otra investigación, de Palo Alto Networks, partió de un escenario diferente: qué sucede detrás de escena cuando un usuario sube un archivo a ChatGPT y le pide que lo analice. Algo que se volvió muy común, en tanto ya es normal que un paciente cargue estudios médicos o le pida análisis de archivos contables, por poner algunos ejemplos.

El trabajo fue presentado en Black Hat por Simcha Kosman, investigador de Palo Alto Networks. Luego de la charla, Clarín consultó sobre el alcance del ataque a Sherrod DeGrippo, vicepresidenta de Inteligencia de Amenazas de Unit 42, el equipo de investigación de la compañía.

Cuando ChatGPT tiene que analizar una planilla, realizar cálculos o modificar determinados documentos, utiliza un espacio temporal aislado conocido como sandbox. Puede pensarse como una habitación cerrada donde el sistema realiza el trabajo sin que lo que ocurra allí afecte al resto de la infraestructura.

“Cada sandbox debe estar aislado, como una habitación cerrada separada”, explicó DeGrippo.

Los investigadores prepararon una planilla de Excel especialmente manipulada que les permitió tomar el control de ese entorno. Una vez adentro, encontraron la forma de modificar las instrucciones que recibía ChatGPT durante la ejecución de la tarea y hacer que el sistema buscara información que la persona nunca había solicitado.

Ahí volvía a aparecer el problema de los permisos. “Si el usuario había conectado su correo electrónico, su almacenamiento en la nube u otro servicio a ChatGPT, el atacante podía potencialmente solicitar información de ese servicio, dentro de los límites de los permisos que el usuario hubiera concedido”, explicó DeGrippo.

El ataque no equivalía a robar la contraseña de ChatGPT ni permitía abrir automáticamente todas las conversaciones de una cuenta. Lo que hacía era aprovechar capacidades que el sistema ya tenía disponibles.

“ChatGPT está diseñado para que una conversación de un usuario no pueda leer el texto de otra conversación del mismo usuario. Nuestro ataque no exponía automáticamente todos los chats, pero una vez comprometido el entorno de una conversación, el atacante podía utilizar las capacidades a nivel de cuenta que el usuario ya le había otorgado a ChatGPT”, explicó DeGrippo.

Todavía quedaba un obstáculo: aunque los investigadores consiguieran acceder a información, el sandbox estaba diseñado para impedir que pudiera enviarse libremente hacia internet.

El equipo encontró entonces un mecanismo interno compartido por distintos entornos y logró utilizarlo como un canal rudimentario para transmitir datos. DeGrippo lo comparó con enviar un mensaje en “código Morse”: mediante una sucesión de estados que podían representar unos y ceros, un sandbox perteneciente a una víctima podía enviar información hacia otro bajo control del atacante.

Palo Alto Networks reportó la vulnerabilidad a OpenAI antes de presentarla públicamente. Según DeGrippo, la compañía eliminó el mecanismo compartido que permitía esa comunicación y la técnica específica ya no puede utilizarse de esa manera.

El hallazgo dejó, sin embargo, una advertencia que coincide con la investigación sobre navegadores agénticos: un sistema capaz de abrir archivos, consultar el correo, buscar documentos y utilizar otras aplicaciones concentra una cantidad creciente de permisos. Y eso es un problema.

DeGrippo recomendó tratar esas conexiones como los permisos de cualquier otra aplicación poderosa: habilitar solamente aquellas que sean necesarias, otorgar el menor nivel de acceso posible y revisar periódicamente qué servicios permanecen conectados. “El hecho de que esta ruta particular haya sido cerrada no garantiza que investigadores o atacantes nunca vayan a descubrir otra”, advirtió.

Los agentes de inteligencia artificial prometen reducir pasos: buscar, decidir y ejecutar tareas para alivianar el trabajo pesado (y molesto). Las dos investigaciones de Black Hat mostraron la contracara de esa comodidad: cuanto más acceso se le da a los agentes, más grande el riesgo que se puede correr.

La comodidad siempre tiene un precio y la era de la IA usada para todo está empezando a mostrar los riesgos.