Manus obedeció a un mail y ejecutó código oculto: el aviso llegó tarde

¿Le pediste a la IA que revise tu mail y, sin saberlo, también le diste permiso para obedecerlo? Esa es la pregunta que dejó flotando una investigación de Salt Labs sobre Manus, el agente de inteligencia artificial que Meta tiene en fase de prueba. En pocas palabras: un correo electrónico manipulado pudo hacer que el asistente ejecutara código malicioso y solo después de hacerlo avisara al dueño de la cuenta.

El caso es una variante bastante concreta de algo que los expertos vienen señalando hace rato: cuando conectás un agente a servicios como Gmail, WhatsApp, la nube o el calendario, no solo le estás dando material para leer. Le estás abriendo la puerta para que actúe. Y si lo que lee incluye instrucciones escondidas, la puerta queda abierta de par en par.

¿Qué es un prompt injection y por qué importa acá?

Para explicárselo a mi vieja, que vive en un pueblo de mil habitantes y todavía me pregunta si la compu se rompe si abre un mail: una inyección de instrucciones, o prompt injection, es como si un desconocido te pasara una carta pidiéndote que vayas al banco a hacer un trámite. Si el que abre la carta es un bot con acceso a tu home banking y no distingue entre el contenido de la carta y la orden de la carta, termina yendo al banco. En este caso, el “trámite” fue ejecutar código adentro del propio entorno del agente.

Salt Labs reportó la vulnerabilidad a través del programa de recompensas por errores de Meta, el mismo esquema que en un pueblo chico se conocería como “decime lo que encontraste y te pago un café con medialunas”. La empresa confirmó que la falla quedó corregida y que el truco dejó de funcionar. Lo que no se borra es la lección: revisar un mensaje y obedecer un mensaje son cosas muy distintas, y un agente puede no entender la diferencia.

¿Qué alcance tiene el riesgo real?

El informe “2026: The State of Consumer AI”, de Menlo, aporta un dato útil para dimensionar de qué hablamos. Según el relevamiento, el 36 por ciento de los consumidores ya le dio acceso a su correo electrónico a este tipo de agentes; el 31 por ciento, a aplicaciones de mensajería; el 29 por ciento, al almacenamiento en la nube, y el 27 por ciento, al calendario. Es decir, hay millones de cuentas con permisos sensibles en manos de asistentes que todavía están aprendiendo a separar el contenido de la orden.

Un escenario posible, que el propio material describe como ejemplo de riesgo y no como un robo confirmado, sería que un mail pidiera al agente buscar todos los mensajes que contengan la palabra “contraseña” y reenviarlos a una dirección externa. En un pueblo, sería como dejar la llave de la casa debajo del felpudo y confiar en que el cartero solo va a mirar la dirección, no el buzón.

¿Cómo se escondieron las instrucciones para que la IA no las detectara?

En las pruebas de Salt Labs, las defensas de Manus detectaron a la primera las instrucciones peligrosas y bloquearon la acción. Los investigadores probaron distintas formas de camuflarlas. La que funcionó se llama JSFuck: una técnica que escribe código JavaScript usando apenas unos pocos caracteres, los justos como para que un filtro automático los pase por alto y el intérprete los entienda al final del recorrido.

El resultado: el agente procesó el contenido, ejecutó el código en su propio entorno y, recién cuando terminó, mostró el aviso. Para los investigadores, la conclusión es bastante clara. El control llegó después del daño potencial, y eso es exactamente lo que hay que evitar cuando se delega en una máquina el manejo de información sensible.

Mientras tanto, seguimos esperando la fibra.