Manus obedeció un mail y ejecutó código oculto sin avisar: la trampa que ya está parcheada pero deja una enseñanza

Empecemos por la escena más común del usuario promedio: le pedís al asistente que te ordene la bandeja de entrada y, mientras tanto, te preparás un café. Lo que no sabés es que ese mail con asunto 'factura impaga' que llegó hace una hora puede traer, escondido, un mensaje dirigido al propio agente pidiéndole que ejecute algo por vos. No, no es una película de hackers con luces de neón. Es lo que acaban de comprobar los investigadores de Salt Labs con Manus, un agente de inteligencia artificial, y la conexión a Gmail.

Qué pasó exactamente con Manus

La prueba fue directa. Los investigadores armaron un correo con una trampa llamada JSFuck, una técnica que escribe código JavaScript usando apenas seis caracteres distintos, algo así como mandar un mensaje entero en una sopa de letras. El agente leyó el mail, interpretó lo que tenía adentro como una orden válida y ejecutó el código en su propio entorno. Recién después de hacerlo, levantó la mano y le avisó al usuario. Es el equivalente a que alguien te pida que firmes un papel mientras lee la letra chica y solo te cuente lo que firmó cuando ya es tarde.

Lo curioso es que las defensas del sistema funcionaron al principio. Cuando la instrucción peligrosa estaba a la vista, el agente la detectó y frenó. El problema fue cuando vino disfrazada. La técnica JSFuck, ese código escrito con caracteres mínimos como si fuera un acertijo, logró esquivar el control y convirtió al asistente en algo que su propio dueño no había pedido: un ejecutor de instrucciones ajenas.

Por qué importa y qué está en juego

El riesgo deja de ser teórico cuando aparecen las estadísticas. El informe '2026: The State of Consumer AI', de Menlo, muestra números que deberían hacer pensar a cualquiera antes de conectar un agente a sus cuentas: el 36 por ciento de los consumidores ya le dio acceso a su correo electrónico, el 31 por ciento a aplicaciones de mensajería, el 29 por ciento a almacenamiento en la nube y el 27 por ciento al calendario. Son llaves reales, no virtuales, a la vida digital de medio planeta.

Acá me hago cargo de lo que cualquiera haría en su casa: conectar todo 'para ahorrar tiempo'. Yo mismo caí en esa. Pero la diferencia entre un asistente útil y un problema con dictamen policial está en qué hace con lo que lee. Si le pedís que resuma un correo, ese correo es material de análisis, no una orden a cumplir. Cuando el sistema cruza esa línea, aparece lo que los especialistas llaman inyección de instrucciones, o prompt injection en el idioma que usan los técnicos: meterle al modelo una orden disfrazada de contenido.

• El correo es contenido, no una orden. Si el agente lo lee como instrucción, ya estamos en zona de riesgo.
• El alcance depende de a qué le hayas dado acceso: mail, mensajería, nube o calendario, todo suma permisos.
• La falla de Manus se reportó por el programa de recompensas de bugs de Meta y ya fue corregida.
• La técnica JSFuck esquivó las defensas iniciales al ocultar el código en unos pocos caracteres.
• Lo que se ejecutó ocurrió en el entorno del agente, antes de que el usuario recibiera el aviso.

El consejo que sirve para esta semana

La buena noticia es que el agujero está cerrado y el proveedor fue notificado por el camino formal. La mala es que el mismo patrón puede aparecer en cualquier agente conectado a un servicio con contenido que viene de afuera. Por eso mi recomendación, y la escribo en imperativo porque es la forma que mejor entra, es directa: revisá qué permisos le diste a tu asistente, deshabilitá el acceso automático a tu correo principal y usá una cuenta secundaria o de pruebas cuando quieras probar estas herramientas. No le des a la IA las llaves de la casa entera solo porque te prometió ordenarte la agenda.