Manus obedeció a un correo: el experimento que muestra por qué delegar el mail en una IA ya no es gratis

Pedirle a un agente de inteligencia artificial que revise el correo electrónico implica, en la práctica, darle acceso a mensajes que pueden contener instrucciones de terceros. Una investigación de Salt Labs sobre Manus, un agente de IA desarrollado por la firma china Butterfly Effect, mostró cómo ese contenido podía transformarse en una acción: el asistente ejecutó código escondido dentro de un email y recién después avisó al dueño de la cuenta.

La vulnerabilidad fue reportada a través del programa de recompensas por errores de Meta, dueña de Manus desde fines del año pasado. Salt Labs confirmó que la falla quedó corregida y que el procedimiento detectado dejó de funcionar. El caso, de todos modos, permite entender qué está en juego cuando estos asistentes operan sobre servicios conectados a la vida digital de una persona.

La frontera entre leer y obedecer

Para el usuario, la diferencia central está entre analizar un mensaje y obedecerlo. Si el agente recibe el pedido de resumir un correo, las instrucciones incluidas dentro de ese texto deberían permanecer como contenido a examinar y no como una orden para actuar. En un ataque de inyección de instrucciones, también conocido como prompt injection, ese límite se altera: el sistema puede interpretar lo que lee como una indicación concreta y ejecutarla.

El alcance del daño depende de los servicios a los que el agente tenga permiso de acceso. Una instrucción maliciosa podría, por ejemplo, pedirle que localice mensajes con la palabra "contraseña" y los reenvíe a una dirección controlada por el atacante. Se trata de un ejemplo del tipo de riesgo descripto por los investigadores, y no de un robo de correos que haya sido reportado efectivamente en esta prueba.

Cómo funciona la técnica que usó Salt Labs

• El agente recibe el pedido legítimo del usuario de revisar la casilla de correo.
• Un mail malicioso llega a la bandeja de entrada con un fragmento de código oculto en su cuerpo.
• Ese fragmento está escrito en JSFuck, una técnica que expresa código JavaScript válido usando apenas seis caracteres distintos, lo que dificulta su detección.
• El agente, al procesar el contenido, interpreta la orden embebida como una instrucción propia y la ejecuta dentro de su entorno aislado.
• Recién cuando la acción ya se concretó, el asistente notifica al usuario sobre lo realizado.

En las pruebas iniciales, las defensas del sistema reconocieron la instrucción peligrosa y frenaron la operación. Los investigadores probaron después distintas formas de disfrazarla. La que logró sortear el control fue precisamente la escritura en JSFuck, un lenguaje que parece una cadena inofensiva de signos pero que, al ser interpretado, se transforma en código ejecutable. Es algo parecido a esconder una llave maestra dentro de un candado decorativo: a la vista parece adorno, pero al girarlo abre la puerta.

Qué falta para que sea seguro delegar el correo en una IA

El informe "2026: The State of Consumer AI", elaborado por Menlo Ventures, aporta el contexto de adopción: el 36 por ciento de los consumidores consultados ya le dio acceso a su correo electrónico a agentes de IA, el 31 por ciento a aplicaciones de mensajería, el 29 por ciento a almacenamiento en la nube y el 27 por ciento a su calendario. Son servicios donde suele concentrarse información sensible como contraseñas, datos bancarios, turnos médicos o conversaciones privadas.

Para que delegar estas tareas deje de ser una apuesta ciega, los especialistas consideran que faltan al menos tres piezas. La primera es una separación más estricta entre el contenido que el agente lee y las instrucciones que ejecuta, de modo que un mail nunca pueda transformarse en una orden directa. La segunda es auditoría en tiempo real: que el asistente pida confirmación antes de cualquier acción que toque datos sensibles, en lugar de avisar después de que ya ocurrió. La tercera, y la más difícil, es un estándar de la industria que obligue a mostrar de forma clara qué servicios están conectados, qué permisos tienen y qué puede salir mal si un mensaje es manipulado. Hasta que esas piezas estén en su lugar, abrirle la casilla de mail a un agente de IA sigue siendo, en palabras del propio reporte, un experimento con la propia información personal.