Manus y el correo: cuando un email logra que un agente de IA ejecute código sin permiso

Le pedís a un agente de inteligencia artificial que te revise la casilla de correo y, sin que lo sepas, un mail cualquiera termina dándole una orden al sistema. Eso, ni más ni menos, fue lo que consiguió reproducir un equipo de Salt Labs, el área de investigación de la empresa de seguridad Proofpoint, al probar el comportamiento de Manus conectado a Gmail. El resultado volvió a poner sobre la mesa un riesgo que la mayoría de los usuarios todavía no tiene en el radar: que un asistente lea el correo no significa que se limite a mirarlo, puede actuar en función de lo que lea.

La técnica se conoce como inyección de instrucciones, o prompt injection en inglés, y consiste en esconder dentro de un texto inofensivo una indicación dirigida al modelo de IA. La diferencia con un hackeo tradicional es importante: no se ataca al sistema, se lo engaña con su propio lenguaje. Si el agente trata el contenido del mail como una orden y no como material a analizar, queda expuesto a ejecutar lo que un tercero haya redactado.

Qué encontró Salt Labs

El equipo de Salt Labs reportó la vulnerabilidad a través del programa de recompensas por errores de Meta, la empresa detrás de Manus. En las primeras pruebas, las defensas del agente detectaron la intención maliciosa y bloquearon la acción. Los investigadores fueron ajustando el formato del código hasta encontrar uno que sorteaba los controles: JSFuck, un método que escribe código JavaScript usando apenas seis símbolos. Manus procesó ese contenido y ejecutó el código dentro de su propio entorno. Recién después de hacerlo, lanzó la advertencia al usuario. La falla, según confirmó la propia Salt Labs, ya fue corregida y el camino de ataque dejó de funcionar.

Para dimensionar el riesgo conviene mirar qué se le suele pedir a estos asistentes. El informe "2026: The State of Consumer AI", de la consultora Menlo, relevó que el 36 por ciento de los consumidores ya le dio acceso a su correo electrónico a un agente de IA, el 31 por ciento a aplicaciones de mensajería, el 29 por ciento al almacenamiento en la nube y el 27 por ciento al calendario. Cada permiso de más es un lugar al que una instrucción maliciosa puede llegar.

• Conectá el agente a la menor cantidad de servicios posible y revisá periódicamente qué permisos siguen activos.
• Evitá delegar acciones de escritura, como enviar mails o reenviar archivos; por ahora, alcanza con que lea y resuma.
• Comprobá si el asistente avisa antes de ejecutar, durante o después: la diferencia entre un sistema que pide confirmación y otro que actúa y luego notifica es la distancia entre una herramienta y un riesgo.

Lo que se viene

El caso de Manus no es un hecho aislado, es una señal de algo más grande. A medida que los agentes ganan autonomía para leer, escribir y ejecutar tareas, el correo electrónico se vuelve un punto de entrada especialmente sensible, porque cualquiera puede escribirnos. El desafío para los desarrolladores es construir límites que distingan con claridad entre el contenido que el sistema debe leer y las instrucciones que debe seguir. Para los usuarios, el consejo es más terrenal: cuanto más libre de manos se le deje actuar a un agente sobre cuentas personales, más expuesto se está a que un mensaje cualquiera termine haciendo, en nombre de uno, algo que uno no pidió. Por ahora, mantener al asistente en modo lectura sigue siendo la decisión más prudente.