Manus leyó un correo sospechoso y apretó «enter» sin avisar: el experimento que enciende la alarma

Les cuento de entrada qué fue lo que pasó, porque me parece importante ponerlo en primer lugar antes de meternos en el fondo de la cuestión. Un equipo de investigadores de Salt Labs, la división de seguridad de la empresa de autenticación Twilio, le envió al agente de inteligencia artificial Manus, desarrollado por la firma china Butterfly Effect, un correo electrónico con trampa. El mensaje, conectado a través de Gmail, contenía instrucciones maliciosas camufladas. Manus, en vez de tratarlo como texto a analizar, lo leyó como una orden, ejecutó el código que llevaba adentro y, recién cuando la acción ya había terminado, le advirtió a quien administraba la cuenta lo que acababa de hacer en su propio equipo.

Un ataque de los de toda la vida, pero con un actor nuevo

La técnica usada por los investigadores se llama inyección de instrucciones, o prompt injection en la jerga del rubro, y no es nueva: existe desde que empezaron a popularizarse los chatbots. Lo que cambia acá es el nivel de permiso. Cuando uno le pide a un asistente que revise el correo, en realidad le está entregando la llave para que abra mensajes escritos por terceros, muchos de ellos perfectos desconocidos. Si el sistema no distingue entre «lo que mi usuario me pide» y «lo que dice el mail que acabo de abrir», cualquier atacante puede esconderse dentro de un email y dar órdenes en nombre del dueño sin que este se entere.

El dato de color que rescato del informe, y que me parece de los más alarmantes, es este: el 36 por ciento de los consumidores ya le dio acceso a su correo electrónico a algún agente de inteligencia artificial. No estoy hablando de empresas ni de usuarios técnicos: estoy hablando de gente común, la misma que usa el celular para pagar cuentas y mandar currículums. Le siguen, según el reporte «2026: The State of Consumer AI» de la consultora Menlo, las aplicaciones de mensajería con el 31 por ciento, el almacenamiento en la nube con el 29 y el calendario con el 27. Es decir, casi toda la vida digital de una persona promedio ya está, en algún punto, al alcance de un bot.

Cómo lo hicieron y por qué funcionó

Quiero detenerme acá porque el mecanismo es lo que más me llamó la atención. En las primeras pruebas, las propias defensas de Manus detectaron las instrucciones peligrosas y las frenaron antes de que hicieran daño. Los investigadores no se rindieron y probaron distintas formas de disfrazar el código. La que terminó sorteando los controles se llama JSFuck, una técnica que consiste en escribir JavaScript válido usando apenas seis caracteres: los corchetes, los paréntesis, el signo más y el signo de exclamación de cierre. Para cualquier filtro automático, aquello parece un galimatías inofensivo; para un intérprete, es un programa completo.

Manus procesó ese contenido como si fuera un dato más del mensaje y ejecutó el código dentro de su propio entorno. Recién después, cuando la acción ya estaba consumada, mostró la advertencia en pantalla. Para Salt Labs, la moraleja es clara: que un sistema «avise» no es lo mismo que un sistema «prevenga». El daño se había hecho antes del aviso.

¿Qué podría haber pasado en el peor de los casos?

• Buscar todos los correos que contengan la palabra «contraseña» y reenviarlos a una dirección elegida por el atacante.
• Borrar mensajes completos del buzón para borrar huellas de un robo previo.
• Redactar respuestas automáticas en nombre del usuario y enviarlas a contactos de la agenda.
• Mover archivos sensibles del almacenamiento en la nube conectado a la misma cuenta.
• Crear reglas de reenvío permanentes que sigan funcionando aun después de cerrar la sesión del agente.

Insisto con algo que me parece clave: estos son ejemplos del tipo de daño que la vulnerabilidad habilita, no acciones que los investigadores hayan comprobado que ocurrieron durante el experimento. La prueba de Salt Labs fue controlada y no se robaron correos reales, pero la puerta quedó abierta el tiempo suficiente como para que la comunidad de seguridad se enterara y Meta, que tiene a Manus dentro de su programa de recompensas por reportar errores, lo parcheara.

Qué cambia para el usuario de a pie

Voy a ser muy directa con esto porque creo que es lo que más le importa a quien me lee. Si vos le diste a un agente de inteligencia artificial permiso para leer tu correo, tenés que asumir hoy que ese permiso es equivalente a haberle dado a un tercero la posibilidad de redactar mails en tu nombre, mover archivos en tu nube y, en algunos casos, ejecutar programas en tu computadora. No alcanza con que el bot sea «bueno» o con que la empresa detrás prometa que cuida tu privacidad: el problema no es la intención del sistema, es la arquitectura que le permite a un mensaje anónimo convertirse en una orden.

La recomendación que repiten los especialistas, y que comparto, es bastante terrenal: conectar el agente solo a lo que necesite, revisar periódicamente qué servicios tiene habilitados y, sobre todo, no tratar a la inteligencia artificial como si fuera una persona de confianza. Es una herramienta potentísima, sí, pero una herramienta que todavía no aprendió a distinguir entre lo que vos le pedís y lo que un mail cualquiera le susurra al oído.

El trasfondo: a quién le hablamos cuando hablamos con un agente

Y acá viene la reflexión que a mí, como periodista, más me inquieta. Llevamos décadas educando a la gente para que no abra archivos adjuntos sospechosos, para que no cliquee links de remitentes desconocidos, para que desconfíe del phishing. De pronto, instalamos en la misma bandeja de entrada un software al que leamos, con un click y sin leer los permisos, la capacidad de actuar sobre lo que llegue. Le estamos pidiendo a un loro que distinga al amigo del estafador, y el loro, con la mejor voluntad del mundo, no puede.

La buena noticia es que Meta ya recibió el reporte, la falla está parchada y el caso sirve para que otros desarrolladores refuercen sus defensas. La mala es que, mientras la industria debate qué estándar de seguridad exigirle a estos agentes, los seguimos inviting a nuestra vida digital como si fueran inofensivos. Y no lo son. No todavía.