Manus obedeció un mail antes de pedir permiso: así fue el truco que la hizo ejecutar código

A mí me pasó una vez con un contestador automático de la empresa de cable: me hizo pagar un plus que no quería. Imaginate la diferencia con un bot al que le dejás entrar al Gmail. El equipo de Salt Labs demostró que Manus, un agente de inteligencia artificial, ejecutó código malicioso escondido en un correo y solo después le avisó al usuario. Lejos de un drama apocalíptico, el caso sirve para entender un riesgo concreto y cotidiano.

El truco consistió en meter una orden dentro de un email. Para entenderlo fácil: es como si un cartero te entregara una carta que, al abrirla, te obliga a bailar la Macarena. El contenido del mensaje no es un dato para mirar, sino una instrucción para actuar. En la jerga lo llaman inyección de instrucciones o, si te cruzaste alguna vez, prompt injection.

Cómo fue la prueba

Los investigadores conectaron Manus a Gmail, le pidieron que revise los mensajes y empezaron a ensayar. En los primeros intentos, las defensas del agente detectaban el contenido sospechoso y frenaban la ejecución. Probaron entonces con JSFuck, una técnica que esconde código JavaScript usando apenas seis caracteres: los corchetes, los paréntesis, el signo más y el signo de exclamación. Para graficarlo: es escribir un tratado de economía usando solo emojis de WhatsApp.

El agente mordió el anzuelo. Procesó el mail, ejecutó el código dentro de su propio entorno operativo y, cuando terminó, recién ahí le tiró el aviso al dueño de la cuenta. La falla se reportó a través del programa de recompensas por errores de Meta, que es la caja donde se juntan los hallazgos de seguridad de varias empresas. Meta confirmó que quedó corregida y que el método ya no funciona.

Por qué importa más allá del caso

El informe 2026: The State of Consumer AI, de Menlo, muestra hasta qué punto le estamos abriendo la puerta a estos asistentes. El 36 por ciento de los consumidores ya les dio acceso al correo, el 31 por ciento a apps de mensajería como WhatsApp, el 29 por ciento al almacenamiento en la nube tipo Google Drive y el 27 por ciento al calendario. A cada permiso que otorgamos, el bot gana un canal nuevo para recibir instrucciones ajenas.

• Delimitar qué puede hacer: si solo querés que resuma mails, desactivar el envío y el borrado de mensajes.
• Revisar permisos periódicamente: una vez al mes, abrir la sección de integraciones y cortar lo que no se use.
• Tratar todo mail como sospechoso: un adjunto o link que pida acciones al asistente tiene que pasar por el filtro humano antes que por la IA.
• Tener un plan B: saber qué cuentas y claves habría que cambiar si el bot hace algo raro, como quién paga el gas si se corta el servicio.

Moraleja, ahora que en Buenos Aires sopla viento del sur y el café se enfría solo: delegar tareas en una IA no es lo mismo que delegar en un empleado. Al empleado le podés pedir que piense antes de apretar un botón. Al bot, hasta que la industria no se ponga las pilas, hay que tenerlo con correa corta y ojo clínico sobre cada conexión que le habilitamos.