Manus, el asistente obediente: le mandaron código por mail y lo ejecutó sin chistar

Abrí la casilla, vi un mail sospechoso y, como cualquiera, lo mandé a la papelera. Eso hicimos toda la vida. Ahora, en cambio, muchos le pedimos a un agente de inteligencia artificial que revise la cuenta por nosotros, le abrimos la puerta del Gmail y esperamos que ordene el caos. La pregunta es qué pasa cuando el desorden incluye una orden escondida. Una prueba de Salt Labs, la división de seguridad de Twilio, mostró que Manus, un agente de IA, podía leer un correo, tomar su contenido como instrucción y ejecutar código malicioso sin que el usuario se enterara hasta después.

Qué fue lo que pasó exactamente

El escenario es de manual. Le pedís a Manus que gestione tu correo. El sistema, para hacerlo, se conecta a Gmail con los permisos que vos mismo le diste. Hasta acá, todo bajo control. El problema empieza cuando llega un mensaje cuyo contenido no es un mensaje, sino una orden disfrazada: una técnica conocida como inyección de instrucciones, o prompt injection en la jerga. El agente lee, interpreta que debe obedecer y actúa en consecuencia. En este caso, la orden venía empaquetada con JSFuck, un recurso que esconde código de JavaScript, el lenguaje que usan las páginas web para interactuar, usando apenas seis caracteres distintos, todos símbolos.

Lo más delicado del hallazgo es el orden de los hechos. Los investigadores probaron primero con instrucciones a cara descubierta y el sistema las detectó: marcó la actividad como riesgosa y la frenó. Después probaron con la versión cifrada en JSFuck. Ahí el control falló. El código se ejecutó dentro del propio entorno del agente, lo que en criollo significa que la orden se cumplió dentro de la máquina donde corre Manus. Recién cuando todo terminó, el asistente le avisó al usuario lo que había pasado. O sea: primero la acción, después el warning.

• La vulnerabilidad se reportó por el programa de recompensas por errores de Meta, una vía formal para que hackers éticos avisen fallas a cambio de un pago.
• Salt Labs confirmó que la falla fue corregida y que el vector de ataque probado dejó de funcionar.
• El alcance depende de qué servicios tenga conectados el agente: correo, calendario, mensajería, almacenamiento en la nube, todo lo que se le habilite queda dentro del mismo círculo de confianza.
• Un ataque de este tipo podría, en teoría, pedirle al asistente que busque correos con la palabra contraseña y los reenvíe. Es un ejemplo del riesgo descripto, no un robo concreto.
• Según el informe 2026 The State of Consumer AI, de Menlo Ventures, el 36 por ciento de los consumidores ya le dio acceso a su correo a un agente de IA, el 31 por ciento a apps de mensajería, el 29 por ciento a la nube y el 27 por ciento al calendario.

Por qué importa más allá de Manus

Lo de Manus es un caso puntual y la empresa lo resolvió. Pero sirve para poner en blanco sobre negro una tensión que ya existe: cuando un asistente lee por vos, trata lo que lee como contenido a analizar. Un ataque de inyección de instrucciones rompe ese límite y lo convierte en una orden a ejecutar. La diferencia entre un mail y una instrucción es técnica, no visible para quien mira la bandeja. Acá no hay antivirus que te avise con un cartelito rojo. Y acá estoy yo, que delegué medio correo en una IA y todavía me sorprendo cuando algo así sale a la luz, como si el riesgo no viniera anunciado desde el primer día.

Por ahora, el consejo más simple es el más viejo: revisá qué permisos le diste a tu agente y sacale todo lo que no uses. Si no necesitás que toque la nube, no le des la llave. Y si le diste acceso al mail, tratá cada conexión como si fuera una ventana abierta: con buena ventilación, pero con reja.