Un solo correo y Manus, hackeado
El popular agente de IA Manus resultó vulnerable a un ataque que podía llevarse a cabo con un solo correo electrónico. Los investigadores de seguridad de Salt Labs encontraron una forma de esquivar las restricciones de seguridad del servicio y hacer que ejecutara código malicioso. La vulnerabilidad concreta ya se ha corregido, pero el hecho de que se pudiera burlar la protección demuestra que pueden existir brechas similares en otros agentes de IA.
Los ataques de prompt injection, o inyección de instrucciones en una petición, se conocen desde los primeros años del desarrollo de los agentes de IA. Su funcionamiento es sencillo: el sistema no siempre distingue los datos normales de las instrucciones. Si un usuario pide al agente que resuma un correo y este contiene una instrucción adicional oculta, el agente puede interpretarla como una tarea. Por ejemplo, un atacante podría ordenarle que busque todos los correos con la palabra «contraseña» y los reenvíe a una dirección determinada.
El ataque se vuelve peligroso cuando el agente de IA está conectado a servicios de terceros: correo electrónico, calendario, navegador, redes sociales, almacenamiento en la nube o aplicaciones financieras. Según el informe de Menlo «2026: The State of Consumer AI», los usuarios ya han dado acceso a su correo electrónico a agentes de IA en el 36 % de los casos; a navegadores, en el 33 %; a aplicaciones de mensajería, en el 31 %; a almacenamiento en la nube, en el 29 %; y a calendarios, en el 27 %. El 23 % de los usuarios les ha dado acceso a aplicaciones médicas y el 20 %, a cuentas financieras.
Los desarrolladores de Manus conocían la amenaza. El agente podía detectar una instrucción sospechosa en los datos analizados y avisar al propietario. Pero no ignoraba por completo esa instrucción, sino que seguía procesándola, como un guardia que ve una maleta sospechosa después de haberla abierto.
Salt Labs probó la integración de Manus con Gmail. Los investigadores enviaron un correo con una instrucción oculta. El agente la identificó como maliciosa y avisó, pero el análisis demostró que el contenido del mensaje se interpretaba no como datos pasivos, sino como una posible instrucción ejecutable. La operación fue detenida por un mecanismo de seguridad que detectó la acción peligrosa.
Entonces, los investigadores comprobaron qué ocurriría si el sistema no entendía que la instrucción era maliciosa. Experimentaron con distintas formas de eludir la detección, entre ellas la codificación Base64 y una orden para descifrar los datos con Python. Al final funcionó JSFuck, una forma inusual de ofuscar JavaScript que utiliza un conjunto limitado de caracteres y apenas se emplea en entornos modernos.
Los investigadores incluyeron en el correo un pequeño payload JSFuck que debía ejecutar una sencilla orden de JavaScript. Según ellos, Manus interpretó la operación como una decodificación y visualización del contenido, pero en realidad ejecutó código JavaScript arbitrario en el entorno del servidor. Salt Labs registró el resultado de ejecución esperado.
Así se vulneró un límite de seguridad fundamental: el contenido no fiable del correo se convirtió en código ejecutable dentro del entorno del agente de IA. Manus avisó al propietario, pero después de que se ejecutara el código, como una alarma que suena cuando ya han arrancado la puerta con el marco.
Salt Labs comunicó la información a través del programa de recompensas por errores de Meta, un mecanismo para que los investigadores informen a los desarrolladores de las vulnerabilidades que encuentran. La empresa afirmó que el problema está solucionado y que ya no permite llevar a cabo este tipo de ataque.
La conclusión principal va más allá de la historia de Manus. Los filtros de seguridad que revisan los textos de las peticiones y el comportamiento del modelo son necesarios, pero no bastan. La seguridad también debe tener en cuenta las acciones reales del agente de IA: a qué herramientas, API y sistemas está conectado, y qué puede hacer en nombre del usuario. Si los investigadores consiguieron eludir la restricción, tarde o temprano los delincuentes intentarán hacer lo mismo, quizá de otra manera.
PEREC.RU
El artículo trata sobre una vulnerabilidad del popular agente de IA Manus, descubierta por los investigadores de Salt Labs. El ataque podía llevarse a cabo mediante un único correo enviado a una cuenta conectada con Manus. El mensaje incluía una instrucción oculta para que el agente de IA la interpretara como una orden y no como datos normales.
El problema pertenece a la categoría de prompt injection: ataques en los que una instrucción maliciosa se oculta en un texto, una imagen u otro contenido que el sistema debe analizar. Los agentes de IA pueden confundir la petición del usuario con las instrucciones que encuentran en los datos. Como resultado, un correo puede pedir al agente que busque información confidencial, reenvíe mensajes o realice otras acciones en nombre del propietario.
El riesgo es especialmente alto cuando el agente tiene acceso a servicios de terceros. Según el informe de Menlo «2026: The State of Consumer AI», los usuarios dan acceso a sus agentes de IA al correo electrónico en el 36 % de los casos, a los navegadores en el 33 %, a las aplicaciones de mensajería en el 31 %, al almacenamiento en la nube en el 29 % y a los calendarios en el 27 %. El 23 % de los agentes tiene acceso a aplicaciones médicas y el 20 %, a cuentas financieras.
Los desarrolladores de Manus ya habían incorporado una protección contra prompt injection: el agente podía detectar una instrucción sospechosa y avisar al propietario. Sin embargo, Salt Labs comprobó que el sistema seguía tratando el contenido del correo como posibles instrucciones ejecutables. El mecanismo de seguridad solo detenía la acción cuando la reconocía como peligrosa.
Los investigadores probaron varias formas de esquivar la detección. Utilizaron codificación Base64 y variantes en las que el agente debía descifrar los datos con Python. Al final funcionó JSFuck, un método poco habitual para ofuscar JavaScript que usa un conjunto limitado de caracteres.
Incluyeron en el correo un payload JSFuck sencillo. Debía ejecutar una orden básica de JavaScript. Manus interpretó la operación como una decodificación y visualización del contenido, pero en realidad ejecutó código JavaScript arbitrario en el entorno del servidor. Salt Labs registró el resultado previsto, lo que indicaba que se había vulnerado el límite de seguridad: los datos no fiables del correo se habían convertido en código ejecutable.
Manus avisó al propietario, pero solo después de ejecutar la operación maliciosa. Salt Labs informó de la vulnerabilidad a través del programa de recompensas por errores de Meta. Los desarrolladores corrigieron el problema, y el método de ataque descrito ya no funciona.
Los investigadores subrayan que corregir la vulnerabilidad concreta no resuelve el problema general. Si la protección se pudo eludir de una manera, los atacantes pueden encontrar otra, que no tiene por qué estar relacionada con JSFuck. La principal conclusión para empresas y usuarios es que hay que controlar no solo las peticiones entrantes y las respuestas del modelo, sino también las acciones reales del agente de IA en los servicios, API y cuentas conectados. Cuanto más amplio sea el acceso del agente, más graves pueden ser las consecuencias de un error o de un ataque exitoso.
