Manus ejecutó código oculto dentro de un correo y recién después avisó al usuario

Pedirle a un agente de inteligencia artificial que revise el correo implica, en la práctica, darle acceso a mensajes que pueden contener instrucciones de terceros. Una investigación de Salt Labs, el equipo de seguridad de la empresa Salt Security, sobre el agente Manus mostró hasta dónde puede llegar ese permiso: el asistente ejecutó código escondido en un email y solo después de hacerlo avisó al dueño de la cuenta.

Para el usuario, la diferencia es sutil pero decisiva. Si el agente recibe el pedido de resumir un correo, las órdenes incluidas dentro de ese texto deberían permanecer como contenido a examinar, no como instrucciones a cumplir. En un ataque de inyección de instrucciones, también conocido como prompt injection, ese límite se rompe: el asistente termina interpretando lo que lee como una indicación para actuar.

Que un email se convierta en una orden

El alcance del problema depende de los servicios a los que el agente tenga acceso. Una instrucción maliciosa podría, por ejemplo, pedirle que busque mensajes con la palabra contraseña y los reenvíe a una dirección externa. Ese es un esquema posible del riesgo descripto, no un robo de correos que los investigadores hayan documentado en esta prueba.

La conexión con información sensible ya aparece en los usos cotidianos relevados por el informe 2026: The State of Consumer AI, de la consultora Menlo. El documento señala que el 36 por ciento de los consumidores dio acceso a su correo electrónico a asistentes de inteligencia artificial; el 31 por ciento, a aplicaciones de mensajería; el 29 por ciento, al almacenamiento en la nube, y el 27 por ciento, al calendario.

Cómo funciona el engaño que aprovecharon los investigadores

• El agente recibió un correo conectado a Gmail con la orden de resumirlo, como cualquier tarea habitual.
• En su interior, el mensaje llevaba una instrucción maliciosa escondida, una orden que el programa debería haber tratado como texto y no como un pedido.
• Las defensas del agente detectaron inicialmente la intención y bloquearon la acción.
• Los investigadores probaron distintas formas de camuflar el código y la que sorteó el control fue JSFuck, una técnica que representa código JavaScript únicamente con seis caracteres: los símbolos de paréntesis, corchetes, signo más y signo menos.
• El agente procesó ese contenido, lo interpretó como una instrucción válida y ejecutó el código dentro de su propio espacio de trabajo.
• La advertencia al usuario llegó cuando la ejecución ya había terminado.

La comparación doméstica ayuda a entenderlo: es como si uno pidiera a un asistente que abriera la correspondencia y le contara qué dice, y dentro de una carta hubiera una nota que dijera tirá estos documentos a la calle. Si el asistente obedece la nota en lugar de limitarse a leerla, el correo dejó de ser información y se volvió una orden.

Qué falta para que sea seguro delegar el correo

La vulnerabilidad fue comunicada a través del programa de recompensas por errores de Meta, el llamado bug bounty, un sistema mediante el cual la empresa paga a investigadores externos que encuentran fallas en sus productos. Salt Labs confirmó que la falla fue corregida y que el procedimiento detectado dejó de funcionar.

El caso, aun así, deja una pregunta abierta sobre la mayoría de los asistentes disponibles hoy. Para que un usuario medio pueda conectar su correo sin sobresaltos, los agentes necesitarían, al menos, tres condiciones: confirmar cada acción sensible en lugar de ejecutarla y avisar después; separar de manera estricta el contenido de los mensajes de las instrucciones que reconoce como válidas, y registrar de forma auditable a qué servicios accede y qué operaciones realiza. Mientras eso no sea estándar, la recomendación práctica es tratar al asistente como a un invitado con llave: útil para ordenar y resumir, pero al que todavía conviene no darle acceso irrestricto a la caja fuerte.