Manus obedecía al correo: una prueba mostró cómo un email pudo ejecutar código en el agente de IA

Hace un año, cuando los fabricantes de agentes de inteligencia artificial salieron a prometer asistentes capaces de leer el correo, organizar la agenda y ejecutar acciones sobre servicios conectados, la pregunta sobre la seguridad quedó flotando en el aire. Salt Labs, el equipo de investigación de la firma de autenticación Salt Security, decidió ir a buscar la respuesta. El resultado, presentado esta semana, describe una vulnerabilidad concreta en la integración entre Manus, el agente de IA desarrollado por la empresa china Butterfly Effect, y el correo electrónico de Google.

El expediente es claro: un correo manipulado logró que Manus ejecutara código malicioso sin que el usuario lo advirtiera en tiempo real. El agente procesó la orden, la llevó adelante y recién después de hacerlo notificó a la persona dueña de la cuenta. Para Salt Labs, esa secuencia resume el riesgo central de delegar tareas sobre servicios personales: el asistente puede tomar el contenido recibido como una instrucción y no como un dato a analizar.

¿Qué fue lo que prometieron los fabricantes y qué terminó pasando?

La promesa pública de los agentes de IA fue asumir tareas repetitivas sobre las cuentas del usuario: resumir correos, archivar adjuntos, mover eventos de un calendario, contestar mensajes. Lo que la prueba de Salt Labs expone es que, al abrir el correo, el agente abre también la puerta a quien haya escrito ese correo. Si el mensaje trae adentro una instrucción, el sistema puede confundir el contenido con un comando.

¿Cómo funciona el ataque y por qué las defensas no lo frenaron?

La técnica se conoce como inyección de instrucciones, o prompt injection en inglés. En una primera capa, los controles de Manus detectaron el intento y bloquearon la acción. Los investigadores probaron entonces distintas formas de ocultar la orden. La que terminó sorteando los filtros fue JSFuck, un método que escribe código JavaScript válido usando apenas seis caracteres: los símbolos de paréntesis, corchetes, signo más y signo de exclamación.

El agente procesó ese galimatías como si fuera un texto cualquiera, lo interpretó como código y lo ejecutó dentro de su propio entorno operativo. Recién cuando la ejecución terminó, Manus emitió una advertencia al usuario. Salt Labs reportó el hallazgo a través del programa de recompensas por errores de Meta, ya que Manus utiliza componentes de Llama, y confirmó que la vulnerabilidad fue corregida y que el procedimiento de ataque dejó de funcionar.

“El resultado muestra que revisar las instrucciones del correo y obedecerlas son dos operaciones distintas, y los agentes no siempre las separan.”Salt Labs

¿Qué tan expuesta está la gente que ya usa estos asistentes?

• El 36% de los consumidores ya dio acceso a su correo electrónico a un agente de IA.
• El 31% autorizó el acceso a aplicaciones de mensajería.
• El 29% habilitó la conexión con almacenamiento en la nube.
• El 27% permitió que el asistente operara sobre el calendario.

Los números surgen del informe 2026: The State of Consumer AI, elaborado por Menlo Ventures, una firma de capital de riesgo de Silicon Valley. La fotografía que dibuja el documento coincide con el escenario de riesgo que la prueba de Salt Labs puso bajo la lupa: millones de personas ya entregaron a estos sistemas las llaves de sus comunicaciones.

El alcance concreto de un ataque depende de los servicios a los que el agente esté conectado. El ejemplo que describen los investigadores es nítido: una instrucción maliciosa podría pedirle al asistente que busque en el correo la palabra contraseña y reenvíe esos mensajes a una dirección externa. Vale aclarar: es un escenario de riesgo descripto por el informe, no un robo de correos que haya sido reportado en esta prueba. La vulnerabilidad demostrada fue otra: que el código dentro del mensaje pudiera ejecutarse en el entorno del agente.

¿Qué cambia después de la corrección?

Salt Labs confirmó que la falla ya fue parcheada y que el procedimiento de ataque detectado dejó de funcionar. Pero la investigación deja una advertencia que excede a Manus. Cada vez que un agente de IA recibe permiso para leer una casilla de correo, hereda también la capacidad de ser engañado por lo que llegue a leer. La frontera entre dato e instrucción, que para una persona es evidente, para un modelo de lenguaje todavía es un problema abierto.

La lección es incómoda para la industria: mientras los fabricantes presentan a estos asistentes como colaboradores digitales, la ingeniería de seguridad todavía discute cómo evitar que un email se convierta en una orden encubierta. En esa zona gris opera el riesgo, y por ahora la última línea de defensa sigue siendo la decisión del usuario sobre qué permisos entrega y a qué servicio los entrega.

Un asistente que lee tu bandeja de entrada también escucha a quien te escriba.