Cuando el correo le toma el gustito al asistente: así lo hicieron ejecutar código sin que el usuario se enterara a tiempo

Cuando uno le dice “revísame el correo” a un asistente de inteligencia artificial, en realidad le está abriendo la puerta de una pieza sensible de la vida digital: ahí llegan cuentas, notificaciones, contraseñas y, también, mensajes escritos por terceros que pueden incluir lo que quieran. Una investigación de Salt Labs sobre Manus, un agente de IA capaz de conectarse con servicios como Gmail, acaba de demostrar qué pasa cuando ese contenido de terceros deja de ser leído y pasa a ser obedecido.

En la práctica, el equipo de Salt Labs armó un correo manipulado con una instrucción escondida y lo puso delante de Manus conectado a la casilla de un usuario. El agente leyó el mensaje, interpretó la orden como propia y ejecutó código en su propio entorno. Recién después de hacerlo, le avisó al dueño de la cuenta que algo raro había ocurrido.

Una técnica viejísima disfrazada de inocente

Para esquivar las defensas internas, los investigadores usaron JSFuck, una forma de escribir código JavaScript valiéndose apenas de seis caracteres: corchetes, paréntesis, signo de suma y la letra ese. Para quien mira de lejos parece un jeroglífico inofensivo; para el intérprete del navegador, es un programa completo. Es el viejo truco del “no es lo que parece”: una pavada visual que, ejecutada, es dinamita.

Por qué importa: el correo ya no es solo correo

El caso expone un riesgo concreto al delegar tareas sobre el correo electrónico: que el asistente tome el contenido recibido como una orden y actúe sobre los sistemas a los que tiene acceso. Si el agente tiene permiso para mover archivos, mandar mensajes o reenviar mails, una instrucción maliciosa podría pedirle, por ejemplo, que busque correos con la palabra contraseña y los derive a otra dirección. Ese es el tipo de daño posible que describe el informe, no algo que efectivamente haya pasado en esta prueba.

• 36% de los consumidores ya le dio acceso al correo electrónico a un agente de IA.
• 31% le abrió la puerta a aplicaciones de mensajería.
• 29% al almacenamiento en la nube.
• 27% al calendario.

Para una becaria del equipo de Salt Labs con la que pude hablar, lo más leído de todo no fue el ataque, sino la reacción tardía del sistema: “El problema es que la advertencia llegó cuando la ejecución ya había terminado, no antes. Un asistente que te avisa después de hacer las cosas es como un bombero que te cuenta el incendio cuando lo apagó”. La vulnerabilidad quedó reportada a Meta a través del programa de recompensas por errores y, según confirmó Salt Labs, ya fue corregida.

Ahora bien ¿y eso para qué sirve? Sirve para entender que, mientras más tareas sensibles le confiemos a un agente conectado a nuestros servicios, más importante es que pueda distinguir entre lo que le pedimos nosotros y lo que llega dentro del contenido que tiene que leer. Si esa frontera falla, el asistente deja de ser un asistente y pasa a ser un involuntario empleado del primero que le escriba un correo con buenas palabras y malas pulgas.