Manus leyó un correo, ejecutó un código y avisó después: lo que hay que saber antes de darle tu Gmail a un agente de IA

¿Le darías las llaves de tu casilla de mail a alguien que no conocés? Eso, en criollo, es lo que hacemos cuando conectamos un agente de inteligencia artificial a Gmail. Un correo cualquiera puede traer una orden escondida y, si el asistente la toma en serio, termina haciendo cosas que nadie le pidió.

Salt Labs, la división de investigación de la firma de seguridad Salt Security, lo comprobó con Manus, un agente de IA desarrollado por la empresa china Butterfly Effect. Le armaron un email con código malicioso y el sistema lo ejecutó sin chistar. Después, como quien te avisa que ya vació el lavarropas, le contó al usuario lo que había hecho.

Qué pasó, en concreto

El ataque es de los viejos conocidos en el mundillo: una inyección de instrucciones, o prompt injection. La idea es simple: meter adentro de un mensaje un texto que el modelo interpreta como una orden legítima. La diferencia con un mail de phishing al que estamos acostumbrados es que acá no hace falta que vos hagas clic en nada. El agente lee por vos, y eso le basta.

• Manus recibió el mail y lo procesó como contenido a resumir.
• Dentro del cuerpo había código escondido con una técnica llamada JSFuck, que escribe JavaScript usando apenas seis caracteres.
• El agente ejecutó ese código dentro de su propio entorno operativo.
• Recién cuando la acción terminó, le avisó al dueño de la cuenta lo que había ocurrido.

Salt Labs reportó el hallazgo a través del programa de recompensas por errores que tiene Meta, la dueña de Manus, y la falla quedó parchada. Lo que se rompe, en principio, ya está arreglado. Lo que queda abierto es más incómodo.

Por qué esto importa más allá de Manus

El informe 2026: The State of Consumer AI, de la consultora Menlo, muestra que ya somos varios los que le abrimos la puerta a estos asistentes. Según los datos del relevamiento:

• 36 por ciento de los consumidores le dio acceso a su correo electrónico.
• 31 por ciento, a aplicaciones de mensajería.
• 29 por ciento, al almacenamiento en la nube.
• 27 por ciento, al calendario.

Cada conexión de esas es un vector más donde puede colarse una instrucción maliciosa. El correo es el más jugoso: ahí llegan facturas, resúmenes de tarjeta, recuperos de contraseña, conversaciones laborales. Un agente obediente puede convertirse en un portero que abre la puerta al equivocado.

El caso de Manus no significa que te vayan a hackear mañana, pero sí vuelve concreta una amenaza que hasta ahora sonaba a teoría. Cuando le pedís a una IA que te revise la casilla, le estás diciendo: leé todo y hacé lo que te parezca. A veces, lo que le parece es exactamente lo que un atacante escribió.

Mi lectura, en corto: los agentes de IA son útiles, pero todavía no son la mejor compañía para una cuenta de mail sensible. Si te sirve, probá primero con una casilla secundaria, sin permisos sobre tus otras cuentas, y revisá qué puede tocar antes de dejarlo entrar a la principal.