En septiembre de 2025, Antrópico revelado que un actor de amenazas patrocinado por el estado utilizó un agente de codificación de IA para ejecutar una campaña autónoma de ciberespionaje contra 30 objetivos globales. La IA manejó entre el 80 y el 90 % de las operaciones tácticas por sí sola, realizando reconocimientos, escribiendo códigos de explotación e intentando movimientos laterales a la velocidad de la máquina.

Este incidente es preocupante, pero hay un escenario que debería preocupar aún más a los equipos de seguridad: un atacante que no necesita recorrer la cadena de destrucción en absoluto, porque ha comprometido a un agente de IA que ya vive dentro de su entorno. Uno que ya tenga el acceso, los permisos y una razón legítima para moverse por sus sistemas todos los días.

Un marco creado para las amenazas humanas

La cadena de destrucción cibernética tradicional supone que los atacantes deben ganarse cada centímetro de acceso. es un modelo desarrollado por Lockheed Martin en 2011 para describir cómo los adversarios pasan del compromiso inicial a su objetivo final, y ha dado forma a cómo los equipos de seguridad piensan sobre la detección desde entonces.

La lógica es simple: los atacantes deben completar una secuencia de pasos y los defensores pueden interrumpir la cadena en cualquier punto. Cada etapa por la que tiene que pasar un atacante es otra oportunidad para atraparlo.

Una intrusión típica pasa por distintas etapas:

1. Acceso inicial (explotación de una vulnerabilidad, etc.)
2. Persistencia sin activar alertas
3. Reconocimiento para comprender el entorno.
4. Movimiento lateral para alcanzar datos valiosos
5. Escalada de privilegios cuando el acceso no es suficiente
6. Exfiltración evitando controles DLP

Cada etapa crea oportunidades de detección: la seguridad de los terminales puede detectar la carga útil inicial, el monitoreo de la red puede detectar movimientos laterales inusuales, los sistemas de identidad pueden señalar una escalada de privilegios y las correlaciones SIEM pueden vincular comportamientos anómalos en todos los sistemas. Cuantos más pasos dé un atacante, más posibilidades habrá de tropezar con un cable.

Esta es la razón por la que los actores de amenazas avanzadas como LUCR-3 y APT29 invierten mucho en sigilo, pasando semanas viviendo de la tierra y mezclándose con el tráfico normal. Incluso entonces, dejan artefactos: ubicaciones de inicio de sesión inusuales, patrones de acceso extraños, ligeras desviaciones del comportamiento inicial. Estos artefactos son exactamente para lo que están diseñados los sistemas de detección modernos.

El problema aquí, sin embargo, es que los agentes de IA realmente no siguen este manual.

Lo que ya tiene un agente de IA

Los agentes de IA operan de manera fundamentalmente diferente a los usuarios humanos. Funcionan en todos los sistemas, mueven datos entre aplicaciones y se ejecutan continuamente. Si se ve comprometido, un atacante evita toda la cadena de eliminación: el propio agente se convierte en la cadena de eliminación.

Piense en a qué suele tener acceso un agente de IA. Su historial de actividad es un mapa perfecto de qué datos existen y dónde residen. Probablemente extrae de Salesforce, ingresa a Slack, se sincroniza con Google Drive y actualiza ServiceNow como parte de su flujo de trabajo normal. Se le otorgaron amplios permisos durante la implementación, a menudo acceso a nivel de administrador en múltiples aplicaciones, y ya mueve datos entre sistemas como parte de su trabajo.

Un atacante que compromete a ese agente lo hereda todo al instante. Obtienen el mapa, el acceso, los permisos y una razón legítima para mover datos. ¿Cada etapa de la cadena de destrucción que los equipos de seguridad han pasado años aprendiendo a detectar? El agente los omite todos de forma predeterminada.

La amenaza ya se está desarrollando

El Crisis de OpenClaw nos mostró cómo se ve esto en la práctica:

Aproximadamente el 12% de las habilidades en su mercado público eran maliciosas. Una vulnerabilidad crítica de RCE permitió un compromiso con un solo clic. Más de 21.000 casos fueron expuestos públicamente. Pero la parte más aterradora era a qué podía acceder un agente comprometido una vez conectado a Slack y Google Workspace: mensajes, archivos, correos electrónicos y documentos, con memoria persistente entre sesiones.

El principal problema es que las herramientas de seguridad están diseñadas para detectar comportamientos anormales. Cuando un atacante aprovecha el flujo de trabajo existente de un agente de IA, todo parece normal. El agente accede a los sistemas a los que siempre accede, mueve los datos que siempre mueve y opera en los momentos en que siempre opera.

Esta es la brecha de detección a la que se enfrentan los equipos de seguridad.

Cómo Reco cierra la brecha de visibilidad

La defensa contra agentes de IA comprometidos comienza con saber qué agentes están operando en su entorno, a qué se conectan y qué permisos tienen. La mayoría de las organizaciones no tienen un inventario de los agentes de IA que tocan su ecosistema SaaS. Este es exactamente el tipo de problema para el que Reco fue creado.

Descubra todos los agentes de IA en juego

Agentic AI Security de Reco descubre cada agente de IA, función de IA integrada e integración de IA de terceros en su entorno SaaS, incluidas las herramientas de IA en la sombra conectadas sin la aprobación de TI.

Figura 1: Inventario de agentes de IA de Reco, que muestra los agentes descubiertos y sus conexiones con GitHub.

Alcance de acceso al mapa y radio de explosión

Para cada agente, Reco asigna a qué aplicaciones SaaS se conecta, qué permisos tiene y a qué datos puede acceder. recoco Visualización de SaaS a SaaS muestra exactamente cómo los agentes se integran en su ecosistema de aplicaciones, mostrando combinaciones tóxicas en las que los agentes de IA unen sistemas a través de integraciones MCP, OAuth o API, creando desgloses de permisos que ningún propietario de la aplicación autorizaría.

Figura 2: Gráfico de conocimiento de Reco que muestra una combinación tóxica entre Slack y Cursor a través de MCP.

Marcar objetivos y hacer cumplir el privilegio mínimo

Reco identifica qué agentes representan su mayor exposición al evaluar el alcance del permiso, el acceso entre sistemas y la sensibilidad de los datos. Los agentes asociados a riesgos emergentes se etiquetan automáticamente. Desde allí, Reco le ayuda a acceder al tamaño adecuado a través de gobernanza de identidad y accesolimitando directamente lo que un atacante puede hacer si un agente se ve comprometido.

Figura 3: Verificaciones de postura de la IA de Reco con puntuaciones de seguridad y hallazgos de cumplimiento de IAM.

Detectar actividad anómala del agente

recoco motor de detección de amenazas aplica un análisis de comportamiento centrado en la identidad a los agentes de IA de la misma manera que lo hace con las identidades humanas, distinguiendo la automatización normal de las desviaciones sospechosas en tiempo real.

Figura 4: Una alerta de Reco que señala una conexión ChatGPT no autorizada a SharePoint.

Lo que esto significa para su equipo

La cadena de destrucción tradicional suponía que los atacantes tenían que luchar por cada centímetro de acceso. Los agentes de IA cambian por completo esa suposición.

Un agente comprometido puede brindarle a un atacante acceso legítimo, un mapa perfecto del entorno, amplios permisos y cobertura incorporada para el movimiento de datos, sin un solo paso que parezca una intrusión.

Los equipos de seguridad que todavía se centran exclusivamente en detectar el comportamiento de los atacantes humanos se lo perderán. Los atacantes aprovecharán los flujos de trabajo existentes de sus agentes de IA, invisibles en el ruido de las operaciones normales.

Tarde o temprano, un agente de IA en su entorno será el objetivo. La visibilidad es la diferencia entre detectarlo temprano y descubrirlo durante la respuesta al incidente. Reco le brinda esa visibilidad, en todo su ecosistema SaaS, en minutos.

Obtenga más información aquí: Solicite una demostración: comience con Reco.

Un tribunal federal de apelaciones suspendió temporalmente una orden de un juez de California que habría impedido a Perplexity AI utilizar un agente de compras impulsado por inteligencia artificial en Amazon, mientras el caso avanza en una disputa sobre quién controla la actividad automatizada dentro de las cuentas de los clientes.

El Tribunal de Apelaciones del Noveno Circuito de EE. UU. concedió el lunes a Perplexity una suspensión administrativa, suspendiendo la orden judicial mientras el tribunal considera la solicitud de la compañía de una pausa más prolongada durante su apelación. La orden del tribunal inferior debía entrar en vigor en unos días.

Amazon demandó a Perplexity en noviembre, alegando que el navegador Comet de la startup y el agente de inteligencia artificial asociado accedieron a partes protegidas con contraseña de las cuentas de los clientes de Amazon sin la autorización de Amazon, incluso cuando los usuarios permitieron que la herramienta actuara en su nombre. Amazon también acusó a Perplexity de disfrazar la actividad automatizada como navegación humana y de ignorar las repetidas demandas para que se detuviera.

La jueza de distrito estadounidense Maxine Chesney en San Francisco aceptó la solicitud de Amazon de una orden judicial preliminar el 9 de marzo. Escribió que era probable que Amazon tuviera éxito en las demandas bajo la Ley federal de abuso y fraude informático y la Ley integral de fraude y acceso a datos informáticos de California. Chesney dijo que Amazon había proporcionado pruebas sólidas de que Perplexity accedió a las cuentas «con el permiso del usuario de Amazon pero sin la autorización de Amazon».

La orden de Chesney requería que Perplexity prohibiera a Comet acceder o intentar acceder a las cuentas de usuario de Amazon y eliminar las cuentas de Amazon y los datos de los clientes que recopilaba. Chesney también citó la evidencia de Amazon sobre los costos de respuesta, incluido el tiempo de los empleados dedicado a desarrollar herramientas para bloquear Comet y detectar accesos futuros, y escribió que la compañía incurrió en una cantidad superior al umbral utilizado a menudo para respaldar las reclamaciones de fraude informático.

Perplexity argumenta que la actividad es legal porque los usuarios autorizaron al agente de IA a realizar compras y navegar por el sitio en su nombre. Al buscar una pausa, la compañía dijo que bloquear su producto en uno de los sitios de compras más grandes de Internet causaría un «daño devastador» a la empresa y a los consumidores.

Un portavoz de Perplexity dijo a CyberScoop el martes que la compañía continuaría luchando por «el derecho de las personas a elegir su propia IA». Amazon se negó a hacer comentarios.

El caso subraya los problemas con las herramientas de inteligencia artificial «agentes» que pasan de responder preguntas a iniciar transacciones. Se está pidiendo a los tribunales que comparen el permiso del usuario con la autorización de la plataforma y que decidan si los representantes automatizados deben seguir las reglas de la plataforma diseñadas para limitar los bots no divulgados en áreas sensibles de la cuenta.

Si ejecuta la seguridad en cualquier organización razonablemente compleja, su pila de validación probablemente se vea así: una herramienta BAS en una esquina. Un compromiso de pentesting, o tal vez un producto de pentesting automatizado, en otro. Un escáner de vulnerabilidades que alimenta una plataforma de gestión de superficies de ataque en otro lugar. Cada herramienta te ofrece una porción de la imagen. Ninguno de ellos se habla entre sí de manera significativa.

Mientras tanto, los adversarios no atacan en silos. Una intrusión real podría encadenar una identidad expuesta, una mala configuración de la nube, una oportunidad de detección perdida y una vulnerabilidad sin parchear en una sola operación. Los atacantes entienden que su entorno es un sistema interconectado. Desafortunadamente, la mayoría de los programas de validación todavía lo tratan como un conjunto de partes dispares y desconectadas.

Esta no es una ineficiencia menor. Es un punto ciego estructural. Y ha durado años porque el mercado ha tratado cada disciplina de validación como una categoría separada, con sus propios proveedores, consolas y sus propias evaluaciones de riesgos separadas y muy limitadas.

A medida que los agentes autónomos de IA se vuelven capaces de planificar, ejecutar y razonar en flujos de trabajo complejos, la validación de la seguridad debe entrar en una nueva fase. La disciplina emergente de Validación de exposición a agentes apunta hacia algo mucho más coordinado y capaz que los ciclos de validación manuales fragmentados de hoy. Promete una validación autónoma, continua y consciente del contexto que se adapta mejor a cómo suelen desarrollarse las amenazas modernas.

Qué significa realmente la validación de seguridad hoy en día

Durante años, la validación de la seguridad se ha tratado principalmente como una simulación de ataque. Desplegaste agentes, ejecutaste escenarios y obtuviste un informe que mostraba qué estaba bloqueado y qué no. Hoy eso ya no es suficiente.

La validación de seguridad moderna abarca tres perspectivas distintas. En conjunto, brindan a los defensores una visión mucho más realista de su postura de seguridad integral.

• La perspectiva adversaria pregunta: «¿Cómo puede realmente un atacante entrar en nuestro entorno?» Esto implica pentesting automatizado y validación de rutas de ataque, que se centra en identificar vulnerabilidades explotables y mapear las rutas más fáciles hacia los activos críticos.
• La perspectiva defensiva pregunta: «¿Podemos realmente detenerlos?» Esto incluye la validación del control de seguridad y la validación de la pila de detección, que garantizan que sus firewalls, reglas EDR, IPS, WAF, SIEM y sistemas de alerta funcionen como se espera contra amenazas reales.
• La perspectiva del riesgo pregunta: «¿Realmente importa esta exposición?» Esto implica priorizar la exposición, guiada por controles de compensación, que filtran los riesgos teóricos y centran la remediación en las vulnerabilidades que son realmente explotables en su entorno específico.

Cualquiera de estas perspectivas por sí sola deja lagunas peligrosas. La próxima evolución de la validación de seguridad estará definida por su convergencia en una disciplina de validación unificada.

La IA agente es un punto de inflexión para los defensores

Hoy en día, casi todos los proveedores de ciberseguridad afirman estar impulsados ​​por IA. En muchos casos, eso simplemente significa que se ha agregado un modelo de lenguaje a un panel para resumir los hallazgos o generar informes. Y si bien la tecnología «asistida por IA» puede ser útil, definitivamente no es transformadora.

La IA agente es una propuesta fundamentalmente diferente.

Un contenedor de IA es básicamente una aplicación simple que llama a un modelo de IA y presenta el resultado. Podría formatear, resumir o volver a empaquetar la respuesta, pero en realidad no administrar la tarea misma. La IA agente, por otro lado, se hace cargo de toda la tarea de principio a fin. Determina lo que hay que hacer, lleva a cabo los pasos, evalúa los resultados y ajusta si es necesario sin que un humano necesite dirigir cada paso a lo largo del camino.

En la validación de seguridad, la diferencia es enorme e inmediata.

Consideremos lo que sucede hoy cuando una amenaza crítica aparece en las noticias. Alguien del equipo lee el aviso, determina cuáles de los sistemas de la organización podrían estar expuestos, crea o adapta escenarios de prueba, los ejecuta, revisa los resultados y luego decide qué necesita solución. Incluso en equipos fuertes, esto puede llevar días. Si la amenaza es compleja, puede durar semanas.

La IA agente puede comprimir ese flujo de trabajo en minutos.

No porque alguien haya escrito un guión más rápido, sino porque un agente autónomo manejó la secuencia completa. Analizó la amenaza, la asignó al entorno, seleccionó activos y controles relevantes, ejecutó los flujos de trabajo de validación correctos, interpretó los resultados y sacó a la luz lo más importante.

Así es como la IA agente equilibra la balanza. No se trata sólo de velocidad. Se trata de reemplazar los pasos de validación desconectados e impulsados ​​por humanos con un razonamiento autónomo, coordinado y de un extremo a otro.

La verdadera restricción no es el modelo. Son los datos.

Aquí es donde gran parte del debate sobre la IA sale mal.

Los sistemas agentes son tan fuertes como el entorno sobre el que pueden razonar. Un agente autónomo que ejecute simulaciones de ataques genéricos contra un modelo genérico producirá resultados genéricos. Esto puede parecer impresionante en una demostración, pero no ayuda al equipo de seguridad a tomar decisiones seguras en producción.

El verdadero diferenciador es el contexto.

Es por eso que la arquitectura de datos subyacente es más importante que el modelo por sí solo. Para que la validación agente sea útil, las organizaciones necesitan una capa de datos de seguridad unificada que refleje continuamente lo que existe, lo que está expuesto y lo que realmente funciona.

Puedes pensar en esto como un Tejido de datos de seguridadconstruido a partir de tres dimensiones esenciales.

• Inteligencia de activos cubre el inventario completo de su entorno: servidores, puntos finales, usuarios, recursos de la nube, aplicaciones y contenedores, así como sus relaciones. Porque no puedes validar lo que no puedes ver.
• Inteligencia de exposición abarca vulnerabilidades, configuraciones erróneas, riesgos de identidad y otras debilidades en toda su superficie de ataque. Esta es la materia prima con la que trabajan los atacantes.
• Eficacia del control de seguridad es la dimensión que la mayoría de las organizaciones pasan por alto por completo. No basta con saber que ha implementado un firewall o un agente EDR. Necesita saber, con evidencia, si estos controles realmente bloquearán las amenazas específicas que apuntan a sus activos específicos.

Cuando estas dimensiones se unen, el resultado es más que una base de datos de activos o un feed de vulnerabilidades. Se convierte en un modelo vivo de la realidad de seguridad minuto a minuto de la organización. Ese modelo cambia a medida que cambia el entorno. Aparecen nuevos activos. Se revelan nuevas vulnerabilidades. Los controles se reconfiguran. Surgen nuevas amenazas.

Y ese es exactamente el contexto que necesita la IA agente.

Con una rica estructura de datos de seguridad detrás, una IA agente ya no realiza pruebas únicas para todos. Puede adaptar la validación a la topología real, las joyas de la corona reales de su organización, su cobertura de control real y las rutas de ataque reales.

Esa es la diferencia entre escuchar «Este CVE es crítico» y aprendiendo «Este CVE es fundamental en este servidor, sus controles no bloquean la explotación y existe una ruta validada a uno de sus sistemas comerciales más sensibles».

Hacia dónde se dirige la validación de seguridad

El futuro de la validación de seguridad es claro. Las pruebas periódicas se están convirtiendo en una validación continua. El esfuerzo manual está evolucionando hacia el funcionamiento autónomo. Los productos puntuales se están consolidando en plataformas unificadas. Y los problemas de notificación se están transformando para permitir mejores decisiones de seguridad.

La IA agente es el catalizador, pero sólo funciona con la base adecuada. Los agentes autónomos necesitan un contexto real: una visión precisa y conectada del entorno, no un conjunto fragmentado de herramientas y hallazgos.

Cuando se combinan flujos de trabajo agentes, contexto enriquecido y validación unificada, el resultado es un modelo fundamentalmente diferente. En lugar de esperar a que alguien pregunte si la organización está protegida, el sistema responde continuamente a esa pregunta con evidencia basada en cómo se están produciendo incluso los últimos ataques.

El mercado ya está validando este cambio. En Frost Radar de Frost & Sullivan: validación de seguridad automatizada, 2026Picus Security fue nombrado el Líder del Índice de Innovacióncon sus capacidades de agencia y su arquitectura nativa de CTEM destacadas como diferenciadores clave.

Obtenga su demostración hoy para descubrir cómo Picus ayuda a las organizaciones a unificar la validación de riesgos, defensiva y de confrontación en una única plataforma.

Nota: Este artículo fue escrito por Huseyin Can YUCEEL, líder de investigación de seguridad en Picus Security.

El Equipo Técnico de Respuesta a Emergencias de la Red Nacional de Computadoras de China (CNCERT) ha emitido una advertencia sobre la seguridad derivada del uso de OpenClaw (antes Clawdbot y Moltbot), un agente autónomo de inteligencia artificial (IA) autónomo, de código abierto y autohospedado.

En una publicación compartida en WeChat, CNCERT señaló que las «configuraciones de seguridad predeterminadas inherentemente débiles» de la plataforma, junto con su acceso privilegiado al sistema para facilitar las capacidades de ejecución autónoma de tareas, podrían ser exploradas por malos actores para tomar el control del punto final.

Esto incluye riesgos que surgen de inyecciones rápidas, donde instrucciones maliciosas incrustadas en una página web pueden hacer que el agente filtre información confidencial si se le engaña para que acceda y consuma el contenido.

El ataque también es referido como inyección rápida indirecta (IDPI) o inyección rápida entre dominios (XPIA), ya que los adversarios, en lugar de interactuar directamente con un modelo de lenguaje grande (LLM), utilizan funciones benignas de IA como armas como el resumen de páginas web o el análisis de contenido para ejecutar instrucciones manipuladas. esto puede rango de evadir los sistemas de revisión de anuncios basados ​​en inteligencia artificial e influir en las decisiones de contratación para envenenar la optimización de motores de búsqueda (SEO) y generar respuestas sesgadas al suprimir las críticas negativas.

OpenAI, en una publicación de blog publicada a principios de esta semana, dijo que los ataques rápidos de estilo inyección están evolucionando más allá de simplemente colocar instrucciones en contenido externo para incluir elementos de ingeniería social.

«Los agentes de IA son cada vez más capaces de navegar por la web, recuperar información y realizar acciones en nombre de un usuario», afirma. dicho. «Esas capacidades son útiles, pero también crean nuevas formas para que los atacantes intenten manipular el sistema».

Los riesgos de inyección rápida en OpenClaw no son hipotéticos. El mes pasado, investigadores de PromptArmor descubrieron que el función de vista previa del enlace en aplicaciones de mensajería como Telegram o Discord se puede convertir en una vía de filtración de datos cuando se comunica con OpenClaw mediante una inyección rápida indirecta.

La idea, a alto nivel, es engañar al agente de IA para que genere una URL controlada por el atacante que, cuando se presenta en la aplicación de mensajería como una vista previa del enlace, automáticamente hace que transmita datos confidenciales a ese dominio sin tener que hacer clic en el enlace.

«Esto significa que en sistemas de agentes con vistas previas de enlaces, la filtración de datos puede ocurrir inmediatamente después de que el agente de IA responda al usuario, sin que el usuario tenga que hacer clic en el enlace malicioso», dijo la compañía de seguridad de IA. dicho. «En este ataque, el agente es manipulado para construir una URL que utiliza el dominio de un atacante, con parámetros de consulta generados dinámicamente adjuntos que contienen datos confidenciales que el modelo conoce sobre el usuario».

Además de las indicaciones deshonestas, CNCERT también ha destacado otras tres preocupaciones:

• La posibilidad de que OpenClaw pueda eliminar inadvertida e irrevocablemente información crítica debido a una mala interpretación de las instrucciones del usuario.
• Los actores de amenazas pueden cargar habilidades maliciosas en repositorios como ClawHub que, cuando se instalan, ejecutan comandos arbitrarios o implementan malware.
• Los atacantes pueden aprovechar las vulnerabilidades de seguridad reveladas recientemente en OpenClaw para comprometer el sistema y filtrar datos confidenciales.

«Para sectores críticos, como las finanzas y la energía, tales violaciones podrían conducir a la fuga de datos comerciales centrales, secretos comerciales y repositorios de códigos, o incluso resultar en la parálisis completa de sistemas comerciales completos, causando pérdidas incalculables», agregó CNCERT.

Para contrarrestar estos riesgos, se recomienda a los usuarios y organizaciones fortalecer los controles de red, evitar la exposición del puerto de administración predeterminado de OpenClaw a Internet, aislar el servicio en un contenedor, evitar almacenar credenciales en texto sin formato, descargar habilidades solo de canales confiables, deshabilitar las actualizaciones automáticas de habilidades y mantener actualizado al agente.

El desarrollo se produce cuando las autoridades chinas han tomado medidas para restringir que las empresas estatales y las agencias gubernamentales ejecuten aplicaciones OpenClaw AI en computadoras de oficina en un intento por contener los riesgos de seguridad, Bloomberg. reportado. Se dice que la prohibición también se extiende a las familias del personal militar.

La popularidad viral de OpenClaw también ha llevado a los actores de amenazas a aprovechar el fenómeno para distribuir repositorios maliciosos de GitHub haciéndose pasar por instaladores de OpenClaw para implementar ladrones de información como Atomic y Vidar Stealer, y un malware proxy basado en Golang conocido como calcetines fantasma usando instrucciones estilo ClickFix.

«La campaña no estaba dirigida a una industria en particular, sino que estaba dirigida en general a usuarios que intentaban instalar OpenClaw con repositorios maliciosos que contenían instrucciones de descarga para entornos Windows y macOS», Huntress dicho. «Lo que hizo que esto fuera exitoso fue que el malware estaba alojado en GitHub, y el repositorio malicioso se convirtió en la sugerencia mejor calificada en los resultados de búsqueda de IA de Bing para OpenClaw Windows».

Los investigadores han descubierto múltiples vulnerabilidades que permiten a los atacantes secuestrar silenciosamente navegadores de IA agentes.

Investigadores de Zenity Labs descubierto Estas fallas, que afectaron a múltiples navegadores de IA, incluido Perplexity's Comet. Antes de ser parcheado, un atacante podría explotarlos a través de una invitación de calendario legítima, utilizando una inyección rápida para obligar al navegador de IA a actuar contra su usuario.

«Estos problemas no se dirigen a un solo error de aplicación», escribió Stav Cohen, investigador senior de seguridad de IA en Zenity Labs, en un blog publicado el martes. «Explotan el modelo de ejecución y los límites de confianza de los agentes de IA, lo que permite que el contenido controlado por el atacante desencadene un comportamiento autónomo entre herramientas y flujos de trabajo conectados».

Los ataques de inyección rápida y secuestro de IA funcionan porque muchos navegadores agentes no pueden diferenciar entre las instrucciones dadas por los usuarios y cualquier contenido externo que ingieran. Básicamente, cualquier página web o correo electrónico que encuentre el navegador, si está redactado de la manera correcta, podría interpretarse como una instrucción rápida y sencilla.

Al incluir mensajes maliciosos en la invitación del calendario, el navegador puede ser dirigido para acceder a sistemas de archivos locales, explorar directorios, abrir y leer archivos y filtrar datos a un servidor de terceros. No se requiere malware ni acceso especial, sólo que el usuario acepte la invitación para que el navegador realice «cada paso como parte de lo que cree que es una tarea legítima delegada por el usuario».

«Comet sigue su modelo de ejecución normal y opera dentro de las capacidades previstas», escribió Cohen. «El agente está convencido de que lo que el usuario realmente pidió es lo que desea el atacante».

El daño potencial no termina ahí. Otro vulnerabilidad permitió a un atacante utilizar técnicas de solicitud indirectas similares para que Comet se hiciera cargo del administrador de contraseñas de un usuario. Si un usuario ya ha iniciado sesión en el servicio, el navegador agente también tiene acceso completo y puede cambiar silenciosamente configuraciones y contraseñas o extraer secretos mientras el usuario recibe resultados «benignos».

Según Zenity, las vulnerabilidades se informaron a Perplexity el año pasado y se publicó una solución en febrero de 2026.

Los ataques de inyección rápida siguen siendo uno de los mayores desafíos actuales para la integración de la IA en las pilas de tecnología de las organizaciones, porque eliminar estas fallas por completo puede ser imposible. : OpenAI dijo en diciembre que es «poco probable que» tales vulnerabilidades se resuelvan por completo en navegadores agentes, aunque la compañía dijo que los peligros generales podrían reducirse mediante el descubrimiento automatizado de ataques, entrenamiento de adversarios y nuevas «protecciones a nivel del sistema».

Cohen señala que con los navegadores tradicionales, el acceso a archivos locales y otras tareas confidenciales sólo se pueden obtener con el permiso explícito del usuario. Pero los navegadores agentes tienen mucha más autonomía para inferir si ese acceso es necesario para llevar a cabo la solicitud del usuario y tomar medidas sin la intervención del usuario. Si bien los investigadores utilizaron invitaciones de calendario para enviar mensajes maliciosos, la misma técnica se puede implementar en casi cualquier forma de contenido escrito.

«Una vez que se delega esa decisión, el acceso a recursos sensibles depende de la interpretación de la intención del agente en lugar de una acción explícita del usuario», escribió. «En ese momento, la separación entre la intención del usuario y la ejecución del agente se convierte en una preocupación crítica para la seguridad».