{"id":24987,"date":"2026-08-19T00:17:32","date_gmt":"2026-08-19T03:17:32","guid":{"rendered":"https:\/\/lanavedenovoradio.com.ar\/1\/el-lado-peligroso-de-los-agentes-de-ia-advierten-que-pueden-ser-manipulados-para-acceder-a-tus-correos-archivos-y-cuentas\/"},"modified":"2026-08-19T00:17:32","modified_gmt":"2026-08-19T03:17:32","slug":"el-lado-peligroso-de-los-agentes-de-ia-advierten-que-pueden-ser-manipulados-para-acceder-a-tus-correos-archivos-y-cuentas","status":"publish","type":"post","link":"https:\/\/lanavedenovoradio.com.ar\/1\/el-lado-peligroso-de-los-agentes-de-ia-advierten-que-pueden-ser-manipulados-para-acceder-a-tus-correos-archivos-y-cuentas\/","title":{"rendered":"El lado peligroso de los agentes de IA: advierten que pueden ser manipulados para acceder a tus correos, archivos y cuentas"},"content":{"rendered":"
<\/div>\n

<\/g><\/svg><\/i> \"Loading\"<\/p>\n

<\/div>\n
\n

Desde el a\u00f1o pasado, gran parte del marketing de empresas de inteligencia artificial como OpenAI, Anthropic y Google impulsa el uso de agentes: herramientas capaces de reservar vuelos, navegar sitios web, abrir archivos, consultar correos, completar formularios y agendar citas, entre otras funciones. Aunque son muy \u00fatiles, su correcto funcionamiento depende de que el usuario les otorgue permisos, lo que puede implicar riesgos significativos.<\/p>\n

\"el-lado-peligroso-de-los-agentes-de-ia:-advierten-que-pueden-ser-manipulados-para-acceder-a-tus-correos,-archivos-y-cuentas\"<\/p>\n

Conectar una inteligencia artificial para realizar tareas resulta sumamente c\u00f3modo. Por ejemplo, en Outlook o Gmail es posible pedirle que busque un correo o resuma mensajes pendientes; al otorgar acceso a Google Drive, puede localizar y analizar documentos, y autorizando el calendario se facilita la organizaci\u00f3n de reuniones. Incluso se puede permitir que el agente acceda al sistema operativo para administrar archivos. Sin embargo, esta comodidad puede conllevar altos costos en t\u00e9rminos de seguridad.<\/p>\n

Dos investigaciones presentadas en Black Hat USA 2026 \u2014una de las conferencias de ciberseguridad m\u00e1s importantes a nivel mundial\u2014 expusieron los peligros de la manipulaci\u00f3n de estas capacidades. En un estudio, expertos de Zenity lograron ocultar instrucciones maliciosas en contenidos cotidianos \u2014desde un comentario en una red social hasta una invitaci\u00f3n de calendario\u2014 para desviar a navegadores con agentes de IA y hacerlos actuar en contra de sus propios usuarios.<\/p>\n

Por otro lado, un equipo de Palo Alto Networks encontr\u00f3 una vulnerabilidad distinta: mediante una planilla manipulada pudieron tomar control del entorno protegido donde ChatGPT procesa archivos y, desde all\u00ed, modificar la tarea en curso. Si la v\u00edctima hab\u00eda conectado sus correos, Google Drive, calendario u otros servicios, el atacante pod\u00eda intentar acceder a esa informaci\u00f3n usando los permisos ya otorgados a ChatGPT.<\/p>\n

Aunque partieron de t\u00e9cnicas diferentes, ambos estudios concluyen en un problema com\u00fan: a mayor autonom\u00eda de un agente para actuar en nombre de una persona, mayor es el da\u00f1o potencial si alguien logra manipularlo.<\/p>\n

Esta tem\u00e1tica fue central en Black Hat y DEF CON \u2014las dos principales conferencias que conforman el llamado Hacker Summer Camp en Las Vegas\u2014 donde la inteligencia artificial fue abordada tanto como herramienta para detectar vulnerabilidades como nueva superficie susceptible de ataques.<\/p>\n

### Un comentario basta para desviar a un agente<\/p>\n

\u201cEn el modelo tradicional, un ataque requer\u00eda que la v\u00edctima hiciera algo riesgoso: hacer clic en un enlace malicioso, descargar un archivo, ingresar su contrase\u00f1a en una p\u00e1gina falsa o aprobar permisos sospechosos. En contraste, el ataque sin clics elimina esa necesidad\u201d, explic\u00f3 a Clar\u00edn Stav Cohen, investigador del equipo de seguridad en IA de Zenity.<\/p>\n

Su investigaci\u00f3n, titulada *Pwning Agentic Browsers with PleaseFix: A New Vulnerability Class for 0-Click Takeover*, analiz\u00f3 una nueva generaci\u00f3n de navegadores que incorporan agentes capaces de ejecutar tareas de forma aut\u00f3noma. OpenAI lanz\u00f3 uno similar el a\u00f1o pasado, que finalmente fue discontinuado.<\/p>\n

A diferencia de un navegador tradicional como Chrome, Edge o Safari, donde el usuario decide qu\u00e9 p\u00e1ginas abrir y qu\u00e9 acciones realizar, un navegador \u201cag\u00e9ntico\u201d recibe un objetivo (por ejemplo, reservar un vuelo) y ejecuta los pasos necesarios por s\u00ed mismo. Para hacerlo, el agente debe leer el contenido que encuentra, lo que permite a un atacante introducir instrucciones ocultas dentro de p\u00e1ginas, correos o documentos, t\u00e9cnica conocida como *indirect prompt injection*.<\/p>\n

\u201cLos atacantes esconden instrucciones dentro del contenido que lee el agente, y \u00e9ste no puede distinguir confiablemente entre el contenido leg\u00edtimo y las instrucciones maliciosas ocultas\u201d, agreg\u00f3 Cohen.<\/p>\n

Los investigadores denominaron \u201cPleaseFix\u201d a esta clase de ataque y desarrollaron la t\u00e9cnica Intent Collision, que mezcla la tarea leg\u00edtima solicitada por el usuario con la intenci\u00f3n maliciosa introducida por el atacante.<\/p>\n

En una demostraci\u00f3n, ocultaron instrucciones dentro de un comentario en X (antes Twitter), bajo una publicaci\u00f3n sobre una newsletter. Cuando la v\u00edctima solicitaba al navegador suscribirse, el agente procesaba tambi\u00e9n el comentario y terminaba desviando la acci\u00f3n: abandonaba la tarea original, ingresaba a Amazon, modificaba la direcci\u00f3n de entrega y realizaba compras enviadas a la direcci\u00f3n del atacante. En otro caso, el agente abr\u00eda WhatsApp y enviaba mensajes a los contactos de la v\u00edctima.<\/p>\n

\u201cLa solicitud del usuario fue simple y razonable, pero el agente la ejecut\u00f3 de forma desviada debido a nuestras instrucciones ocultas\u201d, se\u00f1alaron los expertos.<\/p>\n

De manera similar, en un ataque con una invitaci\u00f3n de calendario aparentemente inocua, el agente era instruido para buscar archivos almacenados en la computadora y enviarlos al atacante una vez que la v\u00edctima aceptaba la reuni\u00f3n y solicitaba ayuda para prepararse.<\/p>\n

El alcance se ampl\u00eda porque estos navegadores utilizan las sesiones activas del usuario. En sus pruebas, Zenity logr\u00f3 controlar cuentas de Slack, X, 1Password \u2014un gestor de contrase\u00f1as\u2014 y Claude, acceder a informaci\u00f3n de Gmail y Google Drive, usar WhatsApp para enviar mensajes y Amazon para realizar compras.<\/p>\n

Uno de los casos m\u00e1s delicados involucr\u00f3 a 1Password, donde los investigadores consiguieron que el agente usara la extensi\u00f3n de la v\u00edctima para entregar al atacante toda la b\u00f3veda de contrase\u00f1as y bloquear al usuario leg\u00edtimo. Adem\u00e1s, iniciaron un procedimiento de recuperaci\u00f3n de contrase\u00f1a, hicieron que el agente encontrara el correo de recuperaci\u00f3n y completaran el cambio autom\u00e1ticamente, todo sin intervenci\u00f3n humana, aprovechando la autonom\u00eda del agente.<\/p>\n

\u201cUn navegador tradicional es un visor: muestra p\u00e1ginas y el usuario decide qu\u00e9 abrir o enviar. Toda la seguridad web se fundamenta en esa suposici\u00f3n: que un humano toma las decisiones\u201d, detallaron a este diario. \u201cUn navegador ag\u00e9ntico reemplaza al humano por un agente de IA, que act\u00faa en su nombre en todos los sitios con sesiones iniciadas y puede operar en varios simult\u00e1neamente\u201d.<\/p>\n

Para Cohen,<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

<\/div>\n

<\/g><\/svg><\/i> \"Loading\"<\/p>\n

<\/div>\n

Desde el a\u00f1o pasado, gran parte del marketing de empresas de inteligencia artificial como OpenAI,<\/p>\n","protected":false},"author":1,"featured_media":24988,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_joinchat":[],"footnotes":""},"categories":[36],"tags":[],"class_list":["post-24987","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia"],"a3_pvc":{"activated":true,"total_views":0,"today_views":0},"publishpress_future_action":{"enabled":true,"date":"2026-09-02 03:17:32","action":"change-status","newStatus":"draft","terms":[],"taxonomy":"category","extraData":[]},"publishpress_future_workflow_manual_trigger":{"enabledWorkflows":[]},"_links":{"self":[{"href":"https:\/\/lanavedenovoradio.com.ar\/1\/wp-json\/wp\/v2\/posts\/24987","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/lanavedenovoradio.com.ar\/1\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/lanavedenovoradio.com.ar\/1\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/lanavedenovoradio.com.ar\/1\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/lanavedenovoradio.com.ar\/1\/wp-json\/wp\/v2\/comments?post=24987"}],"version-history":[{"count":0,"href":"https:\/\/lanavedenovoradio.com.ar\/1\/wp-json\/wp\/v2\/posts\/24987\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/lanavedenovoradio.com.ar\/1\/wp-json\/wp\/v2\/media\/24988"}],"wp:attachment":[{"href":"https:\/\/lanavedenovoradio.com.ar\/1\/wp-json\/wp\/v2\/media?parent=24987"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/lanavedenovoradio.com.ar\/1\/wp-json\/wp\/v2\/categories?post=24987"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/lanavedenovoradio.com.ar\/1\/wp-json\/wp\/v2\/tags?post=24987"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}