Una prueba expuso que Manus ejecutó código oculto en un correo y avisó al usuario después de hacerlo

Pedirle a un agente de inteligencia artificial que revise el correo electrónico implica darle acceso a mensajes que pueden traer instrucciones de terceros. Una investigación de Salt Labs sobre el asistente Manus mostró cómo ese contenido podía convertirse en una acción: el sistema ejecutó código escondido en un email y recién después avisó al dueño de la cuenta.

De leer un mensaje a obedecerlo

Para el usuario, la diferencia está entre analizar un mensaje y obedecerlo. Si el agente recibe el pedido de resumir un correo, las órdenes incluidas dentro de ese texto deberían permanecer como contenido a examinar. En un ataque de inyección de instrucciones, también conocido como prompt injection, ese límite se altera: el sistema puede interpretar lo que lee como una indicación para actuar.

El alcance depende de los servicios a los que el asistente tenga permiso de entrar. Una instrucción maliciosa podría, por ejemplo, pedirle que busque mensajes con la palabra "contraseña" y los reenvíe a una dirección ajena. Se trata de un riesgo descripto por los investigadores, no de un robo de correos que haya sido reportado en esta prueba.

• El 36 por ciento de los consumidores dio acceso a su correo electrónico a agentes de inteligencia artificial, según el informe "2026: The State of Consumer AI", de Menlo.
• El 31 por ciento les habilitó aplicaciones de mensajería.
• El 29 por ciento, almacenamiento en la nube.
• El 27 por ciento, el calendario.

La vulnerabilidad fue comunicada mediante el programa de recompensas por errores de Meta, desarrolladora de Manus. Salt Labs confirmó que quedó corregida y que el procedimiento detectado dejó de funcionar. El hallazgo, sin embargo, permite entender qué está en juego cuando estos asistentes operan sobre servicios conectados.

El método que burló los controles

En las pruebas con Manus y Gmail, las defensas del agente inicialmente reconocieron una instrucción peligrosa y frenaron la acción. Los investigadores ensayaron después distintas formas de ocultarla. La que permitió superar el control fue JSFuck, una técnica que representa código JavaScript mediante un repertorio reducido de caracteres.

El asistente procesó ese contenido y ejecutó código dentro de su propio entorno operativo. La advertencia al usuario llegó cuando la ejecución ya había terminado. Para Salt Labs, el resultado muestra que revisar las instrucciones incluidas en un mensaje antes de ejecutarlas sigue siendo un punto crítico en este tipo de herramientas.