Manus, Gmail y el día que un correo pudo más que un agente de inteligencia artificial

¿Le darías a alguien la llave de tu casilla de mail sin explicarle qué puede tocar y qué no? Eso, en criollo, es lo que muchos ya hicieron con los agentes de inteligencia artificial. Un estudio de Salt Labs sobre Manus, un agente de IA que se conecta con servicios como Gmail, demostró que un correo manipulado podía inducirlo a ejecutar código malicioso. Y lo más inquietante: el aviso al usuario llegó después de que la acción ya se había completado.

Qué pasó exactamente

Los investigadores armaron un email con instrucciones escondidas dentro de texto aparentemente normal. El agente las leyó como si fueran órdenes del dueño de la cuenta y las ejecutó dentro de su propio entorno. Recién al finalizó avisó que había hecho algo. La vulnerabilidad se reportó por el programa de recompensas de Meta y la empresa detrás de Manus la corrigió. Lo que dejó al descubierto es un riesgo que se vuelve cotidiano a medida que más gente le abre la puerta de sus servicios a estos asistentes.

La trampa usó una técnica llamada JSFuck, que esconde código de JavaScript en una cadena de apenas seis caracteres: corchetes, paréntesis, signo de más y de exclamación. Una maraña que para el ojo desprevenido parece basura textual, pero que el intérprete entiende como un programa. Las defensas de Manus detectaron los intentos más obvios; esta versión enredada fue la que las pasó por alto.

No es un caso aislado: la inyección de instrucciones

Este tipo de ataque tiene nombre: inyección de instrucciones, o prompt injection. La idea es simple y a la vez jodida: el atacante escribe algo que parece contenido para vos, pero que el sistema lo lee como una orden. Es la diferencia entre que el agente analice un mail y que obedezca un mail.

• El atacante mete la instrucción dentro de un texto que parece normal: un mail, un documento, una página web.
• El agente lo procesa sin distinguir entre lo que vos le pediste y lo que vino de afuera.
• Si tiene acceso a otros servicios, puede ejecutar acciones reales: reenviar mensajes, mover archivos, modificar calendarios.

El alcance del daño depende de qué permisos tenga el agente. Un informe de Menlo Ventures llamado "2026: The State of Consumer AI" relevó que el 36 por ciento de los consumidores ya le dio acceso a su correo a estos asistentes; el 31 por ciento, a apps de mensajería; el 29 por ciento, a la nube, y el 27 por ciento, al calendario. Son números de Estados Unidos, pero el fenómeno se replica en la región. Cada permiso extra es una puerta más que un atacante puede intentar abrir.

Qué te queda como usuario

La conclusión no es dejar de usar estos agentes, sino tratar el acceso con la misma lógica con la que cuidás una tarjeta de crédito: solo lo que hace falta, solo lo que entendés. Si le vas a dar el mail, que sea para resumir o buscar, no para actuar en automático. Y si el asistente te avisa después de hacer algo raro, no lo tomes a la ligera: es señal de que algo se movió antes de que vos lo autorizaras. La tecnología avanza más rápido que los manuales de uso, y en el medio queda el usuario haciendo equilibrio. Si te sirve, probalo: revisá qué permisos le diste a tu agente, y pensá si los que tiene hoy son los que realmente necesita mañana.