La integración de asistentes de inteligencia artificial en cuentas personales y profesionales ha abierto nuevas brechas de seguridad que recién ahora comienzan a documentarse. Durante diez días de julio, cuatro equipos de investigación publicaron hallazgos que, considerados en conjunto, dibujan un panorama preocupante.
Ninguno de estos descubrimientos constituye un error aislado; más bien, apuntan a problemas estructurales en el diseño actual de estos sistemas, donde la conveniencia ha primado sobre las medidas de protección. Como señala The Next Web, un agente con acceso a correo, calendario y capacidad de ejecutar tareas convierte sus errores en vulnerabilidades explotables.
La extensión que falsifica clics
Manifold Security demostró que cualquier extensión de navegador puede secuestrar Claude for Chrome, de Anthropic. La extensión legítima espera un clic del usuario antes de ejecutar tareas, pero nunca verifica que ese clic sea real. Una extensión maliciosa puede forjarlo en tan solo seis líneas de código, obteniendo así acceso a Gmail, Google Docs y el calendario. Manifold calificó la vulnerabilidad como crítica cuando el usuario activa el modo 'actuar sin preguntar', configuración en la que el asistente realiza lecturas de información sin solicitar confirmación. La empresa informó que notificó sobre esta situación a Anthropic en mayo, pero tras ocho actualizaciones, el problema persiste en la versión actual del 'software'.
El correo que implanta recuerdos falsos
Un equipo de investigadores publicó en arXiv un estudio sobre la manipulación de la memoria de los agentes personales. Estos asistentes mantienen registros sobre los usuarios entre conversaciones, almacenando contactos, hábitos y listas de tareas. Los investigadores conectaron un buzón de una víctima a un agente mediante inicio de sesión de Google y enviaron mensajes diseñados desde una cuenta controlada.
Los correos superaron los filtros de 'spam' y, en más de la mitad de los casos, el agente guardó las instrucciones del atacante en su memoria a largo plazo sin advertir al usuario. A diferencia de una inyección de comandos tradicional, que afecta solo la conversación en curso, esta memoria 'envenenada' persiste en el tiempo; el agente recuerda la mentira y nunca menciona su origen, lo que significa que el comportamiento manipulado se mantiene en sesiones futuras.
El modelo 'envenenado'
Katie Paxton-Fear, de la compañía de ciberseguridad Semgrep, junto con dos colegas, demostró que es posible 'envenenar' un modelo de pesos abiertos [millones de números que determinan cómo responde el modelo] en una hora y con un costo inferior a 100 dólares. Diez ejemplos de entrenamiento contaminado bastaron para que el modelo generara código con vulnerabilidades ocultas. Cuanto más grande es el modelo, más fácil resulta envenenarlo.
El peligro principal radica en que no hay forma de detectar la manipulación: un modelo envenenado funciona con normalidad, no da errores ni muestra señales sospechosas. La diferencia clave, según explicó el equipo, es que un programa informático normal se puede abrir y revisar línea por línea para entender lo que hace, mientras que un modelo de IA es como una caja negra: sus pesos neuronales son millones de números que no se pueden inspeccionar.
Los conectores que filtran datos
PromptArmor examinó los conectores que permiten que los asistentes de IA (ChatGPT, Claude) accedan a servicios externos como Gmail, Google Calendar o Zoom. El estudio reveló que estos enlaces cambian constantemente: las empresas modifican, añaden o eliminan funciones en promedio cada nueve minutos. El usuario aprueba un sistema un día, pero al día siguiente ya no es el mismo.
El investigador Simon Willison acuñó el concepto de "tríada letal": cuando un asistente tiene acceso a datos privados, está expuesto a contenido externo y puede enviar información al exterior, cualquier mensaje malicioso puede filtrar todos los secretos del usuario. Como ejemplo, el conector de Dropbox pasó de 8 herramientas a 24, y ganó la capacidad de borrar archivos. El caso de Zoom es aún más grave: al pedir al asistente que busque en reuniones, esa consulta con datos personales viaja a diez sistemas de IA diferentes sin que el usuario lo sepa.
La industria conoce las soluciones teóricas, pero implementarlas reduciría la velocidad de los agentes, y la rapidez es precisamente el atributo que las empresas comercializan. La conclusión que deja julio de 2026 es que se están conectando agentes a cuentas sensibles más rápido de lo que se aprende a defenderlos.