Manus, el asistente obediente: le ordenaron por mail y ejecutó el código sin chistar

¿Le pediste al asistente que revise tu correo o que le haga caso a cualquiera que te escriba? La diferencia parece sutil y no lo es. Una investigación de Salt Labs, el brazo de seguridad de la empresa de autenticación Auth0, mostró que Manus, un agente de inteligencia artificial, podía ser engañado con un mail manipulado para ejecutar código malicioso y, peor todavía, avisar después de hacerlo.

En criollo: si conectás tu casilla con un agente de IA, le estás abriendo la puerta a que trate como orden cualquier cosa que llegue. No es teoría. La prueba se hizo sobre la integración de Manus con Gmail, el servicio de correo de Google, y funcionó. El hallazgo se reportó a Meta, la dueña de Manus, a través de su programa de recompensas por encontrar errores, y la compañía lo parchó.

¿Qué es un prompt injection y por qué debería importarte?

La técnica se llama inyección de instrucciones, o prompt injection en inglés, que es el nombre con el que circula en el mundillo tech. Es un ataque donde el que manda el mensaje esconde órdenes dentro de un texto que parece inofensivo. La idea es sencilla: si el agente toma lo que lee como una indicación para actuar, el atacante le escribe lo que quiere que haga.

El límite lógico sería este: vos le pedís que resuma un mail, el mail es contenido a resumir, no una orden. Pero ese límite se rompe cuando el sistema confunde el mensaje con la instrucción. Y en el caso de Manus, las defensas iniciales detectaron el truco y lo frenaron. El problema fue la segunda vuelta.

JSFuck: el truco que pasó el filtro

Salt Labs aclara que el código se ejecutó dentro del entorno controlado del propio agente, o sea el espacio aislado donde corre el asistente, y no sobre la cuenta de Gmail del usuario. No hubo robo de correos en esta prueba, aunque la investigación advierte que el riesgo existe si el atacante encuentra la manera de combinar la inyección con un sistema que tenga permisos para reenviar mensajes o leer archivos.

¿Cuánta gente ya le dio acceso a su correo a un agente de IA?

El informe "2026: The State of Consumer AI", de la consultora Menlo Ventures, releva que el 36 por ciento de los consumidores ya le dio acceso a su correo electrónico a un asistente de IA. Un 31 por ciento le abrió la mensajería, un 29 por ciento el almacenamiento en la nube (el lugar donde guardás fotos y documentos, como Google Drive o Dropbox) y un 27 por ciento el calendario. Son datos de Estados Unidos, pero el patrón se replica en otros mercados.

La moraleja, para el usuario común, es directa. Si le das a un agente permiso para leer y actuar sobre tu correo, estás confiando en que no se va a dejar engañar por un mail con malas intenciones. La vulnerabilidad de Manus ya está resuelta, pero el agujero de diseño, el de cualquier asistente que confunde contenido con instrucción, sigue siendo el mismo. Mientras tanto, la señal sigue sin llegar.