Manus ejecutó código malicioso extraído de un correo y avisó después: qué se sabe de la falla ya corregida

Solicitarle a un agente de inteligencia artificial que revise la casilla de correo implica entregarle el contenido de mensajes que pueden incluir instrucciones redactadas por terceros. Una investigación de Salt Labs sobre Manus, el asistente desarrollado por Butterfly Effect, expuso hasta dónde puede llegar ese riesgo: en condiciones controladas, el agente ejecutó código malicioso que venía dentro de un email y solo después advirtió al titular de la cuenta sobre lo que había hecho. La vulnerabilidad fue reportada a través del programa de recompensas por errores de Meta y, según confirmó Salt Labs, ya se encuentra corregida.

La frontera entre leer y obedecer

Para el usuario, la diferencia sustancial reside en distinguir entre analizar un mensaje y obedecerlo. Cuando se le pide a un agente que resuma un correo, las indicaciones que aparezcan dentro de ese texto deberían ser tratadas como material a examinar y no como comandos a ejecutar. En un ataque de inyección de instrucciones, conocido en la jerga como prompt injection, ese límite se diluye: el sistema interpreta el contenido recibido como una orden y actúa en consecuencia. El alcance del daño depende de los servicios a los que el asistente tenga permiso de acceso en ese momento.

El informe “2026: The State of Consumer AI”, elaborado por Menlo Ventures, aporta una referencia sobre la magnitud del fenómeno: el 36% de los consumidores consultados otorgó acceso a su correo electrónico a estos agentes, el 31% los habilitó sobre aplicaciones de mensajería, el 29% sobre almacenamiento en la nube y el 27% sobre el calendario. Se trata de niveles de integración elevados, que multiplican la superficie de ataque si los asistentes procesan instrucciones embebidas como si fueran indicaciones del propietario.

El caso Manus y la técnica que sorteó los filtros

En las pruebas realizadas por Salt Labs con la conexión de Manus a Gmail, las defensas del sistema identificaron en primera instancia una instrucción potencialmente peligrosa y bloquearon la acción. Los investigadores ensayaron luego distintas estrategias para ocultarla, y la que logró evadir los controles fue JSFuck, un procedimiento que codifica código JavaScript valido a partir de un repertorio muy acotado de caracteres. Una vez procesado, el contenido se ejecutó dentro del propio entorno operativo del agente, y la notificación al usuario llegó cuando la ejecución ya había concluido.

Desde una perspectiva técnica, el caso ilustra que la revisión posterior no equivale a prevención. Manus actuó y recién después reportó lo actuado, lo que en términos de seguridad representa una ventana de exposición que un atacante podría aprovechar. Para Salt Labs, el hallazgo pone de relieve que delegar tareas sobre el correo electrónico en asistentes autónomos no es equivalente a delegar las mismas tareas en un operador humano: el asistente tiende a tomar el contenido recibido como una orden y a ejecutarla sobre los sistemas a los que tiene acceso, mientras que un usuario con criterio propio separa habitualmente las instrucciones del remitente de las suyas propias.

• La vulnerabilidad fue reportada a través del programa de recompensas por errores de Meta, un canal habitual para que investigadores independientes informen fallas a cambio de una retribución.
• Salt Labs confirmó que la falla quedó corregida y que el procedimiento de ataque detallado en la prueba dejó de funcionar contra Manus.
• El 36% de los consumidores consultados por Menlo Ventures otorgó acceso a su correo electrónico a agentes de inteligencia artificial, según el informe “2026: The State of Consumer AI”.
• La técnica JSFuck, usada para codificar JavaScript con un conjunto mínimo de caracteres, fue la que permitió sortear los filtros de seguridad durante la prueba controlada.

La conclusión operativa para usuarios y empresas es directa: conviene revisar qué servicios están efectivamente conectados al agente, reducir esa lista al mínimo indispensable y, en lo posible, mantener al asistente en modo de solo lectura cuando trabaje sobre la casilla de correo, para evitar que un mensaje manipulado se transforme en una acción sobre los sistemas. La investigación de Salt Labs no reportó un robo de correos concretos, pero dejó documentado el mecanismo que lo haría posible.