Manus, el mayordomo digital que abrió la puerta sin pedir permiso: qué le pasó con un correo tramposo

¿Qué pasa si un mail le da una orden a la inteligencia artificial en vez de contarte algo? La respuesta la obtuvieron los investigadores de Salt Labs, y no es tranquilizadora: el agente Manus, conectado a una cuenta de Gmail, ejecutó código malicioso escondido dentro de un correo y solo después avisó al usuario. La falla ya fue corregida, pero el caso sirve para entender qué estamos arriesgando cada vez que le abrimos la puerta de nuestros servicios a un asistente autónomo.

Un mail con ordenes escondidas

Para graficarlo con algo cotidiano: imaginen que llaman al delivery y, en vez de pedirles la pizza, el repartidor aprovecha que está adentro de la casa para revisar los cajones. Con un agente de IA conectado al correo pasa algo parecido. Uno le pide que revise los mensajes y, si el mail trae instrucciones ocultas, el asistente puede interpretarlas como una orden directa y actuar sobre los sistemas a los que tiene permiso de entrar.

Esta maniobra tiene nombre técnico: inyección de instrucciones, o prompt injection en inglés. La diferencia entre leer y obedecer parece chica, pero es enorme. Si yo te pido que me resumas un mail, lo que está adentro del mail son datos, no consignes. El problema aparece cuando el sistema empieza a confundir el contenido con las órdenes y empieza a ejecutar lo que un tercero escribió.

Qué se prueba y qué se encuentra

La vulnerabilidad fue reportada a través del programa de recompensas por errores de Meta, y desde Salt Labs, el equipo de investigación dedicado a la seguridad en aplicaciones, confirmaron que la falla quedó parchada y que el procedimiento que habían detectado dejó de funcionar. La investigación, eso sí, dejó al descubierto el riesgo de fondo: cuanto más servicios conectamos a estos asistentes, más superficie queda expuesta si algo sale mal.

• El 36% de los consumidores ya le dio acceso a su correo electrónico a un agente de IA.
• El 31% autorizó el ingreso a aplicaciones de mensajería.
• El 29% habilitó la conexión con servicios de almacenamiento en la nube.
• El 27% lo vinculó a su calendario.
• Los datos surgen del informe 2026: The State of Consumer AI, elaborado por Menlo.

Jugar al escondite con el código

En la primera prueba, las defensas del agente detectaron la instrucción peligrosa y la frenaron. Los investigadores de Salt Labs probaron entonces distintas formas de disfrazarla, y la que les abrió la puerta fue una técnica llamada JSFuck, que permite escribir código JavaScript usando apenas un puñado de caracteres. Es como esconder una receta entera escrita solo con las letras de la palabra sal: parece inofensiva, pero termina dando las instrucciones para cocinar un plato completo.

El agente procesó ese mensaje tramposo, ejecutó el código dentro de su propio entorno y, recién cuando la ejecución había terminado, le avisó al usuario. Para Salt Labs, el hallazgo muestra que la frontera entre revisar y actuar sigue siendo permeable y que los sistemas de protección necesitan anticiparse a las formas cada vez más creativas de esconder instrucciones maliciosas.

Qué se viene en la próxima campaña

La pregunta que queda flotando es cómo van a evolucionar estos controles antes de que más gente le entregue las llaves de su vida digital a un asistente. En la próxima campaña electoral argentina, como en cada proceso donde crece el uso de mailings masivos y mensajería automatizada, conviene mirar con atención qué se conecta, qué se autoriza y qué se delega. La tecnología cambia a velocidad de vértigo, y este caso de Manus con Gmail es apenas una advertencia de lo que puede venir si no se pone un límite claro entre leer un mensaje y obedecerlo.