Un correo bastaba para tomar el control de Manus, el agente de IA valorado en 4.000 millones

Los investigadores de Salt Labs han revelado una vulnerabilidad de inyección de instrucciones (prompt injection) en Manus, una aplicación de agentes de inteligencia artificial que busca financiación con una valoración de 4.000 millones de dólares. El ataque era sorprendentemente sencillo: bastaba con enviar a la víctima un correo con instrucciones ocultas que Manus leería más tarde al revisar su bandeja de entrada. Para burlar el filtro de seguridad, los investigadores codificaron las órdenes con una técnica de ofuscación de JavaScript llamada JSFuck, de modo que el código se ejecutaba antes de que saltara el aviso.

Así lograron ejecutar código de forma remota dentro de la cuenta de otra persona y encontrar las credenciales y los tokens de las aplicaciones conectadas, como Gmail, Google Drive o GitHub. Manus no respondió al aviso, pero el programa de recompensas por fallos de Meta confirmó y corrigió el problema. El caso recuerda que las aplicaciones de IA que leen datos externos, como correos o webs, necesitan filtros de seguridad muy rigurosos: cualquier texto que procesen puede convertirse en una orden.