Manus, el asistente que obedeció lo que encontró en un mail

Pedirle a un agente de inteligencia artificial que revise la bandeja de entrada es, en los hechos, entregarle una caja con cartas que pueden traer instrucciones adentro. Una investigación de Salt Labs sobre Manus, el asistente que conecta con servicios como Gmail, mostró exactamente ese problema: el sistema ejecutó código malicioso escondido en un correo y recién después le avisó al dueño de la cuenta que algo raro había pasado.

La vulnerabilidad se reportó a través del programa de recompensas por errores de Meta, que es la empresa detrás de Manus. Desde Salt Labs me confirmaron que el agujero ya quedó parchado y que la maniobra detectada dejó de funcionar. Aun arreglado, el caso sirve para entender qué se pone en juego cuando uno le abre la puerta de su correo a un asistente.

La línea entre leer y obedecer

La diferencia, para el usuario de a pie, está en una palabra: obedecer. Si yo le pido al agente que me resuma un mail, lo que diga el remitente debería quedar como contenido a analizar, no como una orden a cumplir. En un ataque de inyección de instrucciones, lo que los técnicos llaman prompt injection, ese límite se corre: el asistente toma lo que leyó como una indicación para actuar, y empieza a mover piezas.

El daño posible depende de a qué otros servicios tenga acceso el agente. Un ejemplo simple, del manual de estos ataques: que el sistema busque mensajes con la palabra contraseña y los reenvíe a una dirección desconocida. Es un escenario de riesgo, no algo que los investigadores hayan visto pasar en esta prueba, pero pinta de cuerpo entero el problema.

Cifras de exposición

• 36% de los consumidores ya le dio acceso a su correo a un agente de IA.
• 31% le abrió las aplicaciones de mensajería.
• 29% le dio entrada al almacenamiento en la nube.
• 27% le conectó el calendario.

Los datos surgen del informe 2026: The State of Consumer AI, de Menlo, que releva cómo la gente está usando estos asistentes en la vida cotidiana. No es un dato menor: cuando uno de cada tres usuarios le pasa la llave del mail, cualquier falla de este tipo deja de ser un experimento de laboratorio.

Cómo se escondió la orden

En las pruebas con Manus, las defensas del sistema detectaron al principio que había una instrucción sospechosa y frenaron la ejecución. El equipo de Salt Labs fue cambiando la forma de camuflarla hasta dar con una que pasó el filtro: JSFuck, una técnica que escribe código JavaScript usando apenas seis símbolos. Piensen en esconder un mensaje entero con solo paréntesis, corchetes y signos de suma. El agente procesó eso, ejecutó el código dentro de su propio entorno y la advertencia llegó tarde, cuando la acción ya se había completado.

“Para el laboratorio, el resultado muestra que revisar las instrucciones de un correo sin ejecutarlas sigue siendo un problema sin resolver del todo en estos sistemas.”Salt Labs

Le consulté a Camila Báez, becaria de ciberseguridad en la facultad, cómo se traduce esto al usuario común: 'Es como si vos le pidieras a alguien que te lea una carta y, sin querer, esa persona firmara un contrato que estaba escondido en la página cuatro'. La imagen ayuda a entender por qué el riesgo escala cuando el asistente no solo lee, sino que además puede borrar, reenviar o mover archivos.

¿Y eso para qué sirve? Para volver a poner sobre la mesa una pregunta que muchos ya se hicieron: qué tan serio es darle a un sistema automatizado las llaves de servicios tan sensibles como el correo. La respuesta corta es que, mientras estos modelos sigan confundiendo instrucciones con contenido, la prudencia manda. Conviene reservarle al agente las tareas de lectura y resumen, y mantener en otra mano las acciones que toquen datos sensibles, al menos hasta que estas defensas maduren.