Manus, el agente de IA que ejecutó código oculto en un correo y recién después avisó al usuario

Pedirle a un agente de inteligencia artificial que revise el correo electrónico implica, en la práctica, entregarle la llave de una caja donde otros pueden meter instrucciones. Una investigación de Salt Labs, el equipo de seguridad de la firma Salt, sobre el vínculo entre Manus, un agente de inteligencia artificial, y Gmail, el servicio de correo de Google, mostró exactamente eso: un mensaje manipulado logró que el asistente ejecutara código escondido y solo después de hacerlo le advirtió al dueño de la cuenta lo que había ocurrido. La falla ya fue corregida y comunicada a Meta, la empresa detrás del proyecto, a través de su programa de recompensas por reportar errores de seguridad.

Para entender por qué esto importa conviene separar dos verbos que suelen confundirse: analizar y obedecer. Un usuario que le pide a un agente que resuma su correo espera que el sistema examine el contenido y devuelva un resumen. No espera, en cambio, que ese contenido le dé órdenes. La frontera entre una cosa y la otra se rompe en lo que los especialistas llaman inyección de instrucciones, un ataque en el que el mensaje recibido incluye un texto redactado como si fuera una orden para el sistema, y el asistente lo ejecuta como si viniera de su dueño.

Cómo funciona el engaño

En las pruebas de Salt Labs, las defensas del agente detectaron primero el intento y lo bloquearon. Los investigadores probaron entonces distintas formas de esconder la orden maliciosa dentro del correo. La que terminó sorteando el control fue JSFuck, una técnica que consiste en escribir código JavaScript, el lenguaje que se usa para programar páginas y aplicaciones web, usando apenas seis caracteres: corchetes, paréntesis, el signo más y el signo de exclamación. Para una persona es un galimatías ilegible, pero para el intérprete de JavaScript es un programa perfectamente válido. El agente procesó ese texto, lo ejecutó dentro de su propio entorno, es decir, el espacio aislado donde corren los programas del asistente, y solo cuando la ejecución terminó mostró una advertencia al usuario.

• Un usuario le pide al agente que revise el correo, por ejemplo resumir mensajes.
• Un atacante envía un correo que incluye instrucciones redactadas como si fueran órdenes para el sistema.
• El contenido del correo contiene código escrito con caracteres especiales para esquivar filtros.
• El agente ejecuta ese código dentro de su propio entorno.
• Recién después de hacerlo, el sistema muestra una advertencia al dueño de la cuenta.

Qué hay en juego cuando el correo está conectado

El riesgo concreto depende de a qué otros servicios tenga permiso el agente. Si tiene acceso al calendario, podría crear reuniones; si tiene acceso al almacenamiento en la nube, podría mover o copiar archivos; si tiene acceso a la mensajería, podría enviar mensajes. Un escenario posible, descripto por los investigadores para ilustrar el problema, es que una instrucción maliciosa pida al asistente buscar correos con la palabra contraseña y reenviarlos a una dirección externa. En la prueba con Manus no se reportó un robo de correos de esa manera, pero el ejemplo sirve para mostrar qué tipo de daño es viable cuando el límite entre leer y obedecer se rompe.

La práctica de darle acceso al correo a estos asistentes ya es habitual. Según el informe 2026: The State of Consumer AI, publicado por Menlo, una consultora que releva tendencias en tecnología para consumidores, el 36 por ciento de los usuarios argentinos consultados le dio acceso a su correo a un agente de IA, el 31 por ciento a aplicaciones de mensajería, el 29 por ciento al almacenamiento en la nube y el 27 por ciento al calendario. Son cifras que vuelven menos teórico el escenario: millones de personas le están abriendo la puerta de servicios sensibles a sistemas que todavía están aprendiendo a distinguir entre un mensaje y una orden.

Qué falta para que llegue a la gente con seguridad

Aunque la vulnerabilidad puntual ya fue parchead, es decir, ya se aplicó una actualización que corrige el fallo, el caso deja varias tareas pendientes. Faltan estándares de la industria, es decir, reglas comunes que todos los desarrolladores respeten, para separar de manera fiable el texto que el agente debe analizar de las instrucciones que debe ejecutar. Faltan mecanismos de permisos, o sea listas de qué puede y qué no puede hacer el agente sobre cada servicio conectado, más granulares que un simple sí o no, de modo que un asistente pueda leer correos sin por eso poder reenviarlos sin confirmación. Falta también que los proveedores de servicios, como Gmail, Outlook o iCloud, expongan versiones limitadas de sus APIs, las puertas de programación por donde el agente se conecta, para que entregar el correo no implique entregar la cuenta entera. Y falta, sobre todo, educación al usuario: hoy muchos creen que conectar el agente es como pedirle un favor a un asistente humano, cuando en tecnología es más parecido a prestarle el celular a alguien que promete devolverlo sin mirar las notificaciones. La corrección del caso Manus es una buena noticia; la pregunta de fondo, cuánto se puede delegar en estos sistemas sin perder el control, sigue abierta.