Un mail tramposo y un agente obediente: el caso que prende luces sobre la IA conectada al correo

¿Qué pasa cuando un asistente de IA obedece un mail en lugar de leerlo? Exacto: un quilombo. Eso fue lo que demostró la gente de Salt Labs con Manus, el agente de Meta que se conecta con Gmail.

Le mandaron un correo con código malicioso escondido. Manus lo procesó, lo ejecutó adentro de su propio entorno y recién después le dijo al usuario: che, pasó algo. La trampa se reportó por el programa de recompensas por errores de Meta, que confirmó que la falla quedó arreglada.

¿Y cómo lo hicieron?

Los investigadores probaron varias formas de esconder la orden. Las primeras defensas las frenaron. La que pasó el control fue JSFuck: una técnica que escribe código JavaScript usando apenas seis caracteres. Parece ruido, pero es código. El agente lo entendió como una instrucción válida y actuó.

El truco se llama inyección de instrucciones o, en inglés, prompt injection. La diferencia entre un asistente y un mayordomo obediente está en ese punto: vos le pedís que revise un mail, y el contenido de ese mail le termina dando una orden al propio asistente. Si tiene acceso a tu casilla, alguien podría pedirle que reenvíe mensajes con la palabra "contraseña" a otra dirección, por ejemplo.

¿Cuánta gente ya le dio acceso a su correo?

Bastante, según el informe "2026: The State of Consumer AI" de Menlo. El 36% de los consumidores le dio acceso a su mail a un agente de IA. El 31%, a apps de mensajería. El 29%, a almacenamiento en la nube. Y el 27%, al calendario. Es decir: cada vez le abrimos más puertas al mismo asistente.

La lección es incómoda pero clara. Estos sistemas todavía no distinguen con certeza entre un dato y una orden. Y cuando los permisos son amplios, el error se paga con plata o con privacidad. Lo de Manus ya está parcheado. Lo de todos los demás, veremos.