Manus obedeció un email antes de avisar: el correo como nueva puerta de entrada para los hackers

Pedirle a un agente de inteligencia artificial que revise el correo parece un trámite menor. En la práctica, equivale a darle acceso a mensajes que pueden contener instrucciones de terceros. Y ahí aparece el problema.

Un email, una orden y el agente que la ejecuta

Salt Labs, el equipo de investigación de la firma de seguridad Salt Security, le tendió una trampa a Manus, el agente de IA creado por la startup china Butterfly Effect. La prueba fue concreta. Conectaron a Manus con una cuenta de Gmail y le enviaron un correo manipulado. El mensaje traía código escondido. Manus lo leyó, lo interpretó como una instrucción y lo ejecutó. Recién después le avisó al dueño de la cuenta lo que había hecho.

Pongamos un ejemplo bien argentino, de esos que se entienden en un pueblo santacruceño. Imaginate que le pedís al asistente que te resuma los correos del día. Entre los mensajes llega uno que parece un PDF de una factura, aunque en el fondo trae una línea con una orden. Si el agente está mal protegido, puede tomar esa línea como una directiva propia y actuar sobre los sistemas a los que tiene acceso: contactos, archivos en la nube, otras cuentas conectadas.

Qué es la inyección de instrucciones

La técnica se llama inyección de instrucciones, y el nombre ya la explica: el atacante mete una orden dentro de un texto que el sistema iba a leer como contenido. En lugar de resumirlo, lo obedece. La vulnerabilidad detectada en Manus encaja en esa categoría. Lo delicado es que el correo electrónico es un vector clásico para este tipo de ataques, porque ahí llegan facturas, currículums, avisos de envío y todo tipo de adjuntos que los usuarios están habituados a abrir sin pensar.

Para dimensionar el riesgo, sirve mirar a qué le estamos dando acceso. El informe 2026: The State of Consumer AI, de la consultora Menlo, relevó que el 36% de los consumidores ya conectó su correo a un agente de IA, el 31% le abrió aplicaciones de mensajería, el 29% su almacenamiento en la nube y el 27% su calendario. Cada conexión es una puerta más que un atacante podría intentar abrir desde adentro de un mensaje.

• Revisar qué servicios tiene conectados el agente antes de pedirle tareas sensibles.
• Separar la cuenta de correo que se vincula al asistente de la que recibe claves o tokens de recuperación.
• Tratar cualquier resumen automático como un insumo, no como una decisión ya tomada.
• Revisar los registros del agente después de cada sesión conectada a Gmail u otras apps.
• Esperar parches oficiales antes de volver a conectarlo si se conoce una vulnerabilidad.

Cómo se escondió la orden dentro del correo

La primera prueba no funcionó. Manus detectó la orden escondida y frenó la ejecución. Los investigadores de Salt Labs probaron entonces distintos métodos para disfrazarla. El que pasó el control se llama JSFuck. Es una técnica que permite escribir código JavaScript usando apenas seis caracteres: corchetes, paréntesis, signo de más y signo de exclamación. Para el ojo de un sistema de detección, parece ruido. Para el intérprete de JavaScript, es un programa completo. Una vez dentro del entorno de Manus, el código se ejecutó como si fuera una instrucción legítima.

Lo que dejó la prueba es una definición incómoda: la línea entre leer un correo y cumplir lo que dice un correo puede ser mucho más fina de lo que parece. Manus avisó al usuario después de ejecutar el código, lo que en la jerga se conoce como una notificación post-mortem. Es como el timbre de una casa que suena cuando el ladrón ya se fue.

El parche, la recompensa y lo que falta discutir

Salt Labs reportó la vulnerabilidad a través del programa de recompensas por errores de Meta, que es donde Butterfly Effect tiene abierto su canal de bug bounty. La compañía confirmó que la falla fue corregida y que el procedimiento usado dejó de funcionar. Pero el caso deja planteado un interrogante más grande. Estos asistentes cada vez hacen más cosas por nosotros. Y cada cosa que hacen por nosotros es una tarea que empieza con un mensaje, un archivo o un pedido que viene de afuera. La pregunta es cuándo los controles estén a la vanguardia antes de que estas órdenes viajen por dentro de un correo y no después.