Una prueba con Manus expone el riesgo de delegar el correo electrónico en un agente de inteligencia artificial

El 36 por ciento de los consumidores ya otorgó acceso a su correo electrónico a agentes de inteligencia artificial, según el informe 2026: The State of Consumer AI, elaborado por Menlo. La cifra, que abre esta discusión, describe un nivel de exposición que vuelve urgente revisar cómo reaccionan esos asistentes cuando el contenido del propio buzón incluye instrucciones de terceros.

Un correo manipulado como vector de ataque

Un equipo de Salt Labs, la división de investigación de la firma de seguridad Apiiro, demostró que el agente de inteligencia artificial Manus podía ejecutar código malicioso oculto dentro de un mensaje recibido en una cuenta de Gmail a la que estaba conectado. La investigación, comunicada a través del programa de recompensas por errores de Meta, confirmó que la vulnerabilidad fue subsanada y que el procedimiento detectado dejó de funcionar en condiciones normales.

Para los investigadores, la experiencia ilustra un problema de fondo: cuando se le pide a un agente que revise el correo, los mensajes que llegan pueden contener instrucciones embebidas que el asistente termina interpretando como órdenes para actuar sobre los sistemas a los que tiene permiso de acceder, en lugar de tratarlas como contenido a examinar.

Qué cambió entre la prueba inicial y la segunda

En una primera instancia, las defensas del sistema reconocieron la instrucción peligrosa y frenaron la ejecución. Los investigadores ensayaron después distintas formas de ocultarla hasta dar con JSFuck, una técnica que representa código JavaScript mediante un repertorio muy reducido de caracteres y que logró eludir el control. El agente procesó ese contenido, ejecutó el código dentro de su propio entorno operativo y recién después emitió una advertencia al usuario sobre lo ocurrido, según describieron los especialistas.

• La conexión con Gmail convirtió a Manus en un agente con acceso a información personal sensible.
• Una instrucción maliciosa podría pedirle al asistente buscar mensajes con la palabra contraseña y reenviarlos a una dirección externa.
• El aviso al usuario llegó cuando la ejecución ya había terminado, lo que reduce la utilidad de la alerta.
• El 31 por ciento de los consumidores también dio acceso a aplicaciones de mensajería, el 29 por ciento al almacenamiento en la nube y el 27 por ciento al calendario.

El caso recuerda que, antes de conectar un agente de inteligencia artificial a servicios críticos, conviene revisar con qué nivel de permiso queda vinculado y qué tipo de instrucciones podrían llegar a través de los mensajes que procesa, ya que el contenido recibido puede dejar de ser un dato a analizar y convertirse, sin que el usuario lo advierta a tiempo, en una orden ejecutada.

Qué cambia en el uso cotidiano

Para los lectores que ya utilizan asistentes conectados a su correo, el episodio sugiere dos cambios concretos en la práctica diaria. El primero es de tipo operativo: resulta prudente tratar los correos de remitentes desconocidos o con adjuntos extraños como material potencialmente ejecutable y, en lo posible, no delegar su análisis automático mientras la conexión esté activa. El segundo es de tipo conceptual: conviene distinguir entre pedirle al agente que resuma un mensaje y pedirle que actúe sobre lo que el mensaje diga, porque esa segunda modalidad es la que abre la puerta a que un contenido externo se convierta en una instrucción para los sistemas a los que el asistente tiene acceso. En síntesis, la investigación no reporta un robo de correos efectivamente consumado, pero sí describe con precisión el mecanismo que lo haría viable y deja planteada la pregunta sobre qué tareas conviene seguir reservando para la revisión humana.