Manus, el asistente autónomo de Meta, ejecutó código oculto dentro de un correo electrónico manipulado

El expediente técnico de Salt Labs, fechado a mediados de noviembre de 2025 y difundido en las últimas horas, describe cómo el agente de inteligencia artificial Manus, desarrollado por Meta, interpretó como órdenes el contenido de un correo electrónico manipulado y terminó ejecutando código malicioso dentro de su propio entorno operativo, según reconstruyó este portal a partir del informe original y de las posteriores aclaraciones de los investigadores.

La vulnerabilidad fue comunicada a través del programa de recompensas por errores de Meta, que confirmó la corrección y dejó sin efecto el procedimiento detectado. El hallazgo, no obstante, permite dimensionar un riesgo creciente a medida que estos asistentes ganan acceso a servicios personales: que el asistente tome el contenido recibido como una orden y actúe sobre los sistemas a los que está vinculado.

La diferencia entre leer y obedecer

Para el usuario medio, la frontera práctica está en separar dos operaciones que la jerga técnica tiende a mezclar: analizar un mensaje y obedecerlo. Si el agente recibe el pedido de resumir un correo, las instrucciones incluidas dentro de ese texto deberían permanecer como contenido a examinar. En un ataque de inyección de instrucciones, conocido en la industria como prompt injection, ese límite se altera: el sistema puede interpretar lo que lee como una indicación para actuar.

El alcance concreto depende de los servicios a los que tenga acceso. Una instrucción maliciosa podría, por ejemplo, pedirle al asistente que busque mensajes con la palabra contraseña y los reenvíe a una dirección ajena. Ese es, según aclara el informe, un ejemplo del tipo de riesgo descripto, y no un robo de correos que los investigadores hayan reportado efectivamente durante esta prueba.

• El 36% de los consumidores dio acceso a su correo electrónico a estos agentes.
• El 31% los conectó a aplicaciones de mensajería.
• El 29% autorizó el acceso al almacenamiento en la nube.
• El 27% permitió la lectura del calendario.

La técnica que sorteó los controles

En las pruebas con Manus y Gmail, las defensas del sistema inicialmente reconocieron una instrucción peligrosa y detuvieron la acción antes de que se concrete. Los investigadores ensayaron después distintas formas de ocultarla. La que permitió superar el control fue JSFuck, una técnica ya conocida que representa código JavaScript mediante un repertorio reducido de caracteres y que suele pasar inadvertido en una revisión superficial.

El agente procesó ese contenido y ejecutó el código dentro de su propio entorno operativo. La advertencia al usuario llegó recién cuando la ejecución había concluido. Para Salt Labs, el resultado muestra que revisar las instrucciones que llegan a un asistente conectado al correo no es un problema resuelto y que la batalla entre atacantes y defensas se juega en los detalles del formato del texto, y no solo en su contenido, según la lectura técnica que se extrae del caso.

Recomendación del organismo

Salt Labs concluyó su informe con una recomendación operativa: revisar de manera periódica los servicios a los que cada agente tiene permiso de acceder y reducir esa superficie al mínimo indispensable. El consejo, trasladado al usuario corriente por Silvia Tarifeño para esta sección, apunta a tratar la conexión entre un asistente de inteligencia artificial y una casilla de correo como lo que técnicamente es: un puente entre dos sistemas que debe ser revisado con la misma atención que se le dedica a cualquier otra llave de acceso a la vida digital.