Una investigación mostró que el agente de IA Manus ejecutó código malicioso a partir de un correo electrónico manipulado

El proyecto Salt Labs, brazo de investigación de la empresa de seguridad Help AG, demostró que el agente de inteligencia artificial Manus podía ejecutar código malicioso contenido en un correo electrónico. La prueba se realizó sobre la conexión del asistente con Gmail y mostró que el sistema interpretaba las instrucciones embebidas en un mensaje como órdenes para actuar sobre los servicios a los que tenía acceso, una modalidad conocida como inyección de instrucciones o prompt injection.

Cómo se realizó la prueba

• Los investigadores conectaron Manus a una cuenta de Gmail y le pidieron tareas habituales, como resumir correos o identificar mensajes concretos.
• En una segunda etapa, insertaron dentro de un mensaje instrucciones maliciosas ocultas mediante la técnica JSFuck, que representa código JavaScript con un repertorio reducido de caracteres.
• Las defensas del sistema reconocieron inicialmente la amenaza y bloquearon la acción. Los especialistas refinaron el método de ocultamiento hasta lograr que el agente procesara el contenido y ejecutara el código dentro de su propio entorno operativo.

La vulnerabilidad fue reportada a través del programa de recompensas por errores de Meta, propietaria de Manus. Salt Labs confirmó que el problema fue corregido y que el procedimiento identificado dejó de ser efectivo. La investigadora Tara B. de Salt Labs, citada por la publicación TechCrunch, describió el hallazgo como una evidencia de los peligros concretos que aparecen al delegar el correo electrónico en asistentes automáticos.

Qué está en discusión

Para un usuario adulto, la diferencia central está entre analizar el correo y obedecerlo. Si el agente recibe el pedido de resumir un mensaje, las instrucciones incluidas dentro de ese texto deberían permanecer como contenido a examinar y no transformarse en una orden para el sistema. En el ataque demostrado, ese límite se alteró: el asistente tomó lo que leyó como una indicación para ejecutar acciones.

El alcance real del riesgo depende de los servicios a los que cada persona haya conectado al agente. Un correo malicioso podría, por ejemplo, solicitarle que busque mensajes con la palabra contraseña y los reenvíe a una dirección externa. Ese es un escenario posible descripto por los investigadores, no un robo de correos efectivamente constatado en esta prueba.

Cuántos usuarios ya delegaron su correo

La conexión de agentes de IA con información sensible ya es una práctica extendida. El informe 2026: The State of Consumer AI, elaborado por Menlo Ventures, indica que el 36 por ciento de los consumidores otorgó acceso a su casilla de correo electrónico a estos asistentes; el 31 por ciento, a aplicaciones de mensajería; el 29 por ciento, a servicios de almacenamiento en la nube, y el 27 por ciento, al calendario.

El caso Manus expone un punto que la industria todavía discute: cómo distinguir de manera confiable entre un pedido del usuario y una instrucción incluida en un dato que el sistema lee. Hasta que esa frontera esté resuelta, los especialistas recomiendan revisar los permisos otorgados, limitar las acciones que el agente puede ejecutar de manera autónoma y mantenerse atentos a las actualizaciones de seguridad que publiquen los proveedores.