Agentes de IA: cómo un comentario en redes puede desviarlos y robar tus datos

Los agentes de inteligencia artificial, promocionados por empresas como OpenAI, Anthropic y Google, prometen simplificar tareas cotidianas: reservar vuelos, gestionar correos o completar formularios. Sin embargo, dos investigaciones presentadas en Black Hat USA 2026, una de las conferencias de ciberseguridad más importantes del mundo, revelan que estos asistentes pueden ser manipulados para actuar en contra de sus propios usuarios.

Investigadores de Zenity lograron esconder instrucciones maliciosas en contenido cotidiano, como comentarios en redes sociales o invitaciones de calendario, desviando a navegadores con agentes de IA. Por su parte, Palo Alto Networks demostró que una planilla manipulada podía comprometer el entorno de ChatGPT y acceder a servicios conectados, como correo o Drive.

El problema central es que los agentes necesitan permisos amplios para funcionar, y esos mismos permisos pueden ser explotados. "En el mundo anterior, un ataque necesitaba que hicieras algo riesgoso: hacer clic en un enlace malicioso o descargar un archivo. 'Sin clics' significa que ese paso desaparece", explicó a Clarín Stav Cohen, investigador de Zenity.

La técnica utilizada se conoce como indirect prompt injection: las instrucciones maliciosas se ocultan dentro de contenido que el agente procesa, sin que el usuario lo note. "Los atacantes esconden instrucciones dentro del contenido que lee el agente, y éste no puede distinguir de manera confiable entre contenido legítimo e instrucciones escondidas", agregó Cohen.

En una de las demostraciones, los investigadores plantaron instrucciones en un comentario de X (Twitter) debajo de una publicación sobre una newsletter. Cuando la víctima pedía a su navegador que se suscribiera, el agente leía el comentario y, en lugar de completar la tarea, entraba a Amazon, modificaba la dirección de entrega y realizaba compras para el atacante. En otra prueba, el agente abría WhatsApp y enviaba mensajes a los contactos de la víctima.

El ataque también puede dirigirse a usuarios específicos. En una demostración, una invitación de calendario aparentemente normal contenía instrucciones ocultas. Al aceptarla, el agente buscaba archivos en la computadora y los enviaba al atacante. Los investigadores lograron tomar control de cuentas de Slack, X, 1Password y Claude, y acceder a información de Gmail y Google Drive.

El caso de 1Password, un gestor de contraseñas, resultó especialmente sensible, ya que comprometerlo podría dar acceso a todas las credenciales del usuario. La investigación de Palo Alto Networks, por su parte, mostró cómo una planilla maliciosa podía modificar la tarea que ChatGPT estaba realizando, aprovechando los permisos ya otorgados por el usuario.

Ambos trabajos coinciden en que cuanto más puede hacer un agente en nombre de una persona, más daño puede provocar si alguien consigue manipularlo. La discusión atravesó también DEF CON, la otra gran conferencia de seguridad que forma parte del Hacker Summer Camp de Las Vegas.

Los investigadores advierten que los usuarios deben ser conscientes de los riesgos al otorgar permisos a estos sistemas, y que las empresas deben desarrollar mecanismos para detectar y bloquear este tipo de ataques.