Manus, el agente obediente: le dieron una orden por correo y la cumplió sin chistar

¿Le darías las llaves de tu casa a alguien que acabás de conocer por mail? Bueno, algo así es lo que pasa cuando un agente de inteligencia artificial revisa tu correo electrónico con acceso a tus otras cuentas. Una investigación de Salt Labs, el equipo de seguridad de la empresa Salt Security, mostró que el agente Manus, desarrollado por la firma china Butterfly Effect, ejecutó código malicioso que estaba escondido dentro de un mensaje de Gmail. Lo hizo sin pedir permiso. Después, cuando terminó, avisó.

La vulnerabilidad se reportó a través del programa de recompensas por errores que tiene Meta, dueña de la plataforma. Salt Labs confirmó que la falla ya fue corregida. Pero el episodio sirve para entender qué puede salir mal cuando estos asistentes operan sobre servicios que usamos todos los días, desde la casilla de mail hasta la nube donde guardamos las fotos.

¿Cuál es el truco detrás del ataque?

La técnica se llama inyección de instrucciones, o prompt injection en inglés, que es cuando alguien esconde órdenes dentro de un texto para que el sistema las obedezca como si fueran del usuario. El caso de prueba fue así: un email llegaba con un pedido cualquiera, del estilo que cualquier santafesino recibe cuando le escriben por un trámite o una consulta. Adentro del mensaje venía escondida una línea pensada para que el agente la leyera y la ejecutara. La diferencia entre leer y obedecer es justo la frontera que este tipo de ataque rompe.

Lo más delicado es el alcance. Si el agente tiene acceso al correo, a la nube y al calendario, una instrucción maliciosa podría, por ejemplo, pedirle que busque mensajes con la palabra contraseña y los reenvíe a una dirección ajena. Eso es un escenario de riesgo, no algo que haya pasado en esta prueba. Pero muestra el peligro concreto de mezclar tecnología, política o simplemente la rutina diaria con un asistente que toma lo que lee como una orden.

¿Cómo se escondió el código?

Las defensas de Manus detectaron los primeros intentos y frenaron la ejecución. Los investigadores probaron distintas formas de ocultar el código. La que funcionó fue JSFuck, una técnica que representa código JavaScript, el lenguaje que usa cualquier página web, usando apenas corchetes, paréntesis, signos de exclamación y el símbolo de suma. Es como escribir una carta entera usando solo cinco letras del alfabeto: el destinatario la entiende, pero pasa desapercibida para un filtro automático.

El agente procesó ese contenido y ejecutó el código dentro de su propio entorno, que es como la caja virtual donde corre el programa, aislado del resto del sistema. Recién cuando terminó avisó al usuario. Para Salt Labs, eso demuestra que revisar las instrucciones antes de ejecutarlas no alcanza: hay que separar muy bien qué es contenido y qué es orden.

• El 36% de los consumidores ya le dio acceso a su correo electrónico a un agente de IA, según el informe 2026: The State of Consumer AI, de la consultora Menlo.
• El 31% habilitó el acceso a aplicaciones de mensajería como WhatsApp o Telegram.
• El 29% abrió la puerta al almacenamiento en la nube, donde suelen guardarse fotos y documentos.
• El 27% conectó el calendario, con toda la agenda personal adentro.

Los números son elocuentes. La mayoría de la gente que usa estos agentes ya les dio acceso a datos sensibles sin pensarlo dos veces. La pregunta es si las empresas que los desarrollan están poniendo el mismo cuidado en protegerlos. Por ahora, el caso de Manus muestra que la respuesta todavía no es tranquilizadora. Veremos.