Manus ejecutó código malicioso oculto en un correo tras una prueba con Gmail

Un agente de inteligencia artificial que revisa correos electrónicos puede terminar obedeciendo lo que esos correos le ordenan. Esa es la línea del hallazgo que presentó Salt Labs sobre Manus, un asistente que opera conectado a servicios como Gmail. En la prueba, el sistema ejecutó código escondido dentro de un mensaje y solo después avisó al usuario de lo que había hecho.

La vulnerabilidad fue reportada a través del programa de recompensas por errores de Meta. Según fuentes de la investigación, la falla ya fue corregida y el mecanismo que permitía el ataque dejó de funcionar. El caso, no obstante, dejó registro del riesgo concreto que existe cuando se delegan tareas sobre el correo electrónico: que el asistente tome el contenido recibido como una orden y actúe sobre los sistemas a los que tiene acceso.

Del contenido a la instrucción

La diferencia central está entre analizar un mensaje y obedecerlo. Si el agente recibe el pedido de resumir un correo, las instrucciones incluidas dentro de ese texto deberían quedar como contenido a examinar, no como indicaciones a ejecutar. En un ataque de inyección de instrucciones, también conocido como prompt injection, ese límite se altera: el sistema interpreta lo que lee como una orden para actuar.

El alcance depende de los servicios a los que el agente tenga acceso. Una instrucción maliciosa podría, por ejemplo, pedirle que busque correos con la palabra contraseña y los reenvíe a una dirección externa. Ese es un escenario descripto por los investigadores para ilustrar el riesgo, no un robo de correos reportado durante la prueba.

• 36% de los consumidores dio acceso a su correo electrónico a agentes de IA.
• 31% habilitó el acceso a aplicaciones de mensajería.
• 29% permitió el ingreso al almacenamiento en la nube.
• 27% autorizó la conexión con el calendario.

La técnica que eludió los controles

En las pruebas con Manus y Gmail, las defensas del sistema reconocieron al inicio una instrucción peligrosa y detuvieron la acción. Los investigadores ensayaron después distintas variantes para ocultar el contenido. La que logró sortear el control fue JSFuck, una técnica que representa código JavaScript mediante un repertorio reducido de caracteres.

El agente procesó ese contenido y ejecutó código dentro de su propio entorno operativo. La advertencia al usuario llegó una vez que la ejecución había terminado. Para Salt Labs, el resultado muestra que revisar las instrucciones que recibe un asistente conectado al correo es una tarea pendiente para los desarrolladores de estas herramientas.

El dato sobre el nivel de exposición de los usuarios surge del informe 2026: The State of Consumer AI, elaborado por Menlo. La cifra describe el porcentaje de consumidores que ya delegó el acceso a servicios sensibles en agentes de inteligencia artificial, un escenario en el que una inyección bien diseñada puede traducirse en acciones concretas sobre cuentas y archivos.