Cuando el correo le da órdenes a la IA: el caso Manus y los asistentes que obedecen sin preguntar

Pedirle a un agente de inteligencia artificial que revise el correo electrónico implica, en los hechos, darle acceso a mensajes redactados por terceros y a instrucciones que pueden venir disfrazadas de contenido. Una investigación de Salt Labs sobre Manus, el asistente autónomo desarrollado por la empresa del mismo nombre, volvió a poner ese punto bajo la lupa: en una prueba controlada, el agente ejecutó código malicioso escondido dentro de un email y, recién cuando la acción había terminado, le avisó al dueño de la cuenta.

La vulnerabilidad fue reportada a través del programa de recompensas por errores que Meta administra, y desde Salt Labs confirmaron que la falla ya fue corregida y que el mecanismo detallado dejó de funcionar. El caso, igual, sirve para entender qué se pone en juego cada vez que un usuario conecta un asistente de este tipo a servicios con información sensible, empezando por la propia casilla de correo.

La diferencia entre leer un mensaje y obedecerlo

Para el usuario, la frontera está en un punto sutil pero decisivo: distinguir entre analizar un mensaje y cumplir una orden escrita dentro de ese mensaje. Si el asistente recibe el pedido de resumir un correo, las instrucciones que aparezcan en el cuerpo del texto deberían ser tratadas como contenido a examinar y nada más. Lo que se conoce como ataque de inyección de instrucciones, o prompt injection, consiste precisamente en borrar esa frontera: el sistema empieza a interpretar lo que lee como una indicación para actuar.

El daño posible depende de los permisos con los que cuente el agente. Una instrucción maliciosa podría, por ejemplo, pedirle que rastree mensajes que contengan la palabra contraseña y los reenvíe a una dirección externa, una situación que ilustra el tipo de riesgo descripto en la investigación, aunque no un caso puntual de robo de correos constatado en esta prueba.

• El 36 por ciento de los consumidores ya le dio acceso a su correo electrónico a asistentes de inteligencia artificial, según el informe “2026: The State of Consumer AI” de la consultora Menlo.
• El 31 por ciento habilitó el acceso a aplicaciones de mensajería, como WhatsApp o Telegram.
• El 29 por ciento abrió la puerta al almacenamiento en la nube, donde suelen guardarse documentos y copias de seguridad.
• El 27 por ciento conectó el calendario, con sus reuniones, ubicaciones y contactos asociados.

En las pruebas con Manus, las defensas del sistema detectaron en primera instancia la instrucción peligrosa y bloquearon la ejecución. Los investigadores de Salt Labs fueron probando distintas formas de disimular el comando hasta encontrar una que sorteara los controles. La técnica que funcionó se llama JSFuck, un método que permite escribir código JavaScript utilizando apenas un puñado de caracteres, corchetes, paréntesis y signos, de modo que el mensaje parece texto inofensivo a simple vista.

Cuando Manus procesó ese contenido, ejecutó el código dentro de su propio entorno operativo. Recién después de completada la acción, el asistente emitió una advertencia dirigida al usuario. Para Salt Labs, ese orden de los hechos es lo más revelador: la revisión de las instrucciones llegó tarde, cuando la operación ya estaba consumada.

El episodio vuelve a abrir una pregunta que excede a Manus y atraviesa a toda la camada de agentes de inteligencia artificial que prometen operar el correo, el calendario o la mensajería en nombre del usuario. Si el contenido de un mensaje puede transformarse en una orden ejecutada sobre sistemas conectados, ¿qué parte de lo que hoy se delega sin demasiados miramientos a estos asistentes debería volver, al menos por un rato, a manos humanas?