Manus ejecutó código escondido en un correo: un experimento de Salt Labs expone los riesgos de darle a la IA acceso al Gmail

La empresa de ciberseguridad Salt Labs demostró que Manus, un agente de inteligencia artificial con capacidad para vincularse con el correo electrónico, podía ejecutar código malicioso contenido en un mensaje de Gmail. La instrucción llegó disfrazada dentro del propio email y el asistente la procesó como si fuera una orden legítima: ejecutó el código y solo después de finalizar la tarea advirtió al dueño de la cuenta sobre lo ocurrido.

El hallazgo fue reportado a través del programa de recompensas por errores que gestiona Meta, la compañía detrás del producto. Salt Labs confirmó que la vulnerabilidad quedó corregida y que el mecanismo que permitía explotarla dejó de funcionar. La investigación, de todos modos, dejó al descubierto un punto crítico: cuando un agente tiene acceso a servicios personales, el contenido de esos servicios deja de ser solo información para pasar a ser potencialmente una instrucción.

La diferencia entre leer un correo y obedecerlo

Pedirle a un asistente que revise la casilla implica entregarle mensajes que pueden contener texto escrito por terceros. En condiciones normales, ese contenido debería ser analizado y resumido, pero no ejecutado. La falla explotada por Salt Labs se inscribe en lo que en ciberseguridad se conoce como ataque de inyección de instrucciones, una maniobra en la que el sistema interpreta como orden algo que en realidad es un mensaje recibido.

• Un atacante puede esconder instrucciones en un email con apariencia inofensiva y el agente las ejecuta sin advertirlo al usuario.
• El alcance del daño depende de los servicios conectados: con acceso a correo, mensajería, nube o calendario, las posibilidades se multiplican.
• En el caso probado, las defensas de Manus detectaron inicialmente la amenaza, pero una variante oculta con caracteres especiales logró sortear los filtros.
• El dato de contexto: según el informe 2026 The State of Consumer AI, de Menlo, el 36 por ciento de los consumidores ya le dio acceso a su correo a un agente de IA; el 31 por ciento, a aplicaciones de mensajería; el 29 por ciento, al almacenamiento en la nube, y el 27 por ciento, al calendario.

En las pruebas realizadas, los investigadores ensayaron distintas formas de ocultar la instrucción maliciosa. La técnica que logró superar los controles fue JSFuck, un método que representa código JavaScript valiéndose apenas de seis caracteres. Cuando el agente procesó ese contenido, ejecutó el código dentro de su propio entorno y recién al finalizar emitió la advertencia. Para Salt Labs, la secuencia demuestra que la línea entre revisar un mensaje y acatarlo sigue siendo porosa.

“El correo electrónico dejó de ser solo una bandeja: pasó a ser una superficie de ataque cuando el que lee también ejecuta.”Investigadores de Salt Labs

El caso llega en un momento de expansión acelerada del uso de asistentes personales con conexión a servicios críticos. Cada permiso que se le concede a un agente de inteligencia artificial es, a la vez, una puerta que se abre sobre datos sensibles. La promesa de la automatización viene acompañada de una pregunta que todavía no tiene respuesta cerrada: cuántos de esos asistentes pueden distinguir entre una instrucción del usuario y una orden plantada por un tercero. La corrección de Manus cierra este episodio, pero deja planteada la fragilidad de fondo.