Manus obedeció a un correo: cuando el agente de IA toma el mensaje como una orden y ejecuta lo que le mandan

Lo viví en carne propia la semana pasada, cuando un contacto me pasó un mail con un PDF trucho. Si yo se lo hubiera reenviado a un agente de IA con permiso para revisar mi casilla, el problema hubiera sido otro: no lo que el archivo decía, sino la orden escondida adentro. Eso mismo acaba de mostrar una investigación de Salt Labs sobre Manus, el agente chino-singapurense que ya tiene versión de escritorio. El correo podía, literalmente, ejecutarse.

La falla es lo que en la jerga se llama inyección de instrucciones o prompt injection. La idea es simple: el usuario le pide al agente que revise un mail. Dentro de ese mail hay una orden pensada para que el sistema la obedezca. La diferencia entre un asistente útil y uno vulnerable está en si trata lo que lee como texto a analizar o como instrucción a cumplir.

Qué pasó en la prueba

• El reporte fue a través del programa de recompensas de Meta. La vulnerabilidad quedó registrada y reparada antes de que se difundiera.
• El caso expuesto es Manus conectado a Gmail. Salt Labs ensayó distintas formas de esconder la orden maliciosa dentro del mensaje.
• La que funcionó se llama JSFuck, una técnica que escribe JavaScript usando apenas seis símbolos. El agente la procesó como si fuera contenido normal.
• La acción se ejecutó dentro del propio entorno del asistente, no en la casilla. Recién después el sistema le avisó al usuario.

El informe de Menlo sobre consumo de IA muestra que el 36% de los usuarios ya le dio acceso a su correo a un agente. Le siguen mensajería (31%), nube (29%) y calendario (27%). Para una familia tipo de Caballito, eso significa que pedirle a un asistente que organice turnos, archive facturas o filtre spam hoy implica abrirle la puerta a documentos que vienen de remitentes desconocidos.

Ahora bien, el dato que el material me dejó picando es uno solo: las defensas iniciales de Manus detectaron la instrucción peligrosa y frenaron. Lo que destrabó el ataque fue el formato del código, no una falla conceptual del modelo. Saltar ese filtro llevó apenas cambiar la forma de escribir la orden, no su contenido.

El reporte de Salt Labs no dice que se hayan robado correos en la prueba. El riesgo que describe es otro: si el agente puede leer la casilla y tiene acceso a otros servicios, una orden embebida podría pedirle reenviar mensajes con determinada palabra clave a una dirección externa. El problema no es que el sistema sea malo. Es que la superficie de ataque se multiplica con cada integración nueva.

Como usuarios, el consejo de siempre: mientras estas plataformas sumen conexiones a nuestra vida digital, hay que asumir que la casilla dejó de ser solo nuestra. Los filtros sirven, pero no alcanzan. La pregunta es cuándo los proveedores van a empezar a separar de manera explícita, en la pantalla del usuario, lo que el agente hizo por instrucción propia y lo que hizo porque un tercero se lo pidió desde adentro de un mail.