Manus obedecía un email sin que el usuario lo supiera: qué falló y qué cambió

Lo probé en mi cabeza mientras leía el informe y la verdad que da algo de vértigo. Le pedís a un agente de inteligencia artificial que revise tu Gmail, llega un mail tramposo y, en vez de mostrarte el contenido, el asistente lo ejecuta como si fuera una orden tuya. Eso fue lo que detectó Salt Labs con Manus, el agente vinculado al correo electrónico. La buena noticia: la falla ya está arreglada.

Cómo funciona el engaño

El truco se llama inyección de instrucciones. En criollo: el sistema lee algo que no debería leer como si fuera un comando. En la práctica, el asistente recibe un mail con una indicación oculta, la procesa y la lleva adelante dentro de su propio entorno. Recién después de ejecutar la acción, te avisa. Ojo con esto: lo que cambia no es el mail, sino que el contenido del mail se vuelve una instrucción.

Para saltear los filtros que detectaban el código a simple vista, los investigadores usaron JSFuck, una técnica que esconde JavaScript detrás de unos pocos caracteres. La prueba funcionó y dejó en evidencia el riesgo: si el agente puede leer, también puede actuar, y no siempre en sentido contrario al del atacante.

• El 36% de los consumidores ya le dio acceso a su correo a un agente de IA, según el informe 2026: The State of Consumer AI, de Menlo.
• El 31% autorizó el ingreso a aplicaciones de mensajería.
• El 29% abrió su almacenamiento en la nube.
• El 27% permitió el acceso al calendario.

Qué tener en cuenta antes de conectar el asistente

Yo lo resumo así: cuanto más acceso le das, más superficie de ataque le entregás. La recomendación de los investigadores pasa por separar lo que el agente lee de lo que puede hacer, y por mantener auditoría humana sobre cualquier acción sensible. La vulnerabilidad fue reportada a través del programa de recompensas de Meta, lo que confirma que la vía formal para reportar estos casos existe y funciona.

¿Vale la pena usar un agente conectado al correo? Hoy, con la falla ya corregida, sí. Pero con una condición: entender que delegar la lectura también es delegar decisiones. Y eso, en bandeja de entrada, es territorio donde un mail de más puede cambiarlo todo.