Manus, el obediente: cómo un mail pudo hacer que el agente ejecutara código sin chistar

Prometía ser tu asistente personal, el que te lee la casilla y te ahorra las dos horas de scroll matutino. La realidad, otra vez, es un poco menos glamorosa. Una investigación de Salt Labs sobre Manus, el agente de inteligencia artificial que se conecta con Gmail, mostró que bastó con un correo manipulado para que el sistema ejecutara código malicioso. Eso sí: después avisó. Avisó cuando ya había terminado de hacer lo que le mandaron.

La vulnerabilidad se reportó a través del programa de recompensas por errores de Meta, y la compañía confirmó que quedó corregida. Lo que no se corrige tan fácil es la pregunta de fondo: ¿qué pasa cuando le damos a un bot las llaves de nuestra casilla y, encima, le pedimos que haga caso a lo que encuentra adentro?

La diferencia entre leer un mail y obedecerlo

Cuando uno le pide a un agente que resuma un correo, el contenido debería quedar en eso: contenido. Algo para analizar, no una orden a ejecutar. El problema, conocido como inyección de instrucciones o prompt injection, es cuando ese límite se rompe y el sistema interpreta el texto como una indicación para actuar.

El alcance del daño depende de a qué tenga acceso el asistente. Un correo malicioso podría, por ejemplo, pedirle que rastree mensajes con la palabra contraseña y los reenvíe a otra dirección. Es un escenario posible que describe el informe, no un robo de correos que los investigadores hayan comprobado en esta prueba. Pero el mecanismo ya quedó demostrado: Manus ejecutó código escondido en un email dentro de su propio entorno.

La técnica que rompió el control

En las primeras pruebas, las defensas del agente identificaron las instrucciones sospechosas y frenaron la ejecución. Los investigadores probaron distintas formas de esconder el código. La que funcionó fue JSFuck, una técnica que escribe JavaScript usando apenas seis caracteres. Así de frágil fue el filtro. El sistema procesó el contenido y ejecutó el código antes de notificar al usuario.

• 36% de los consumidores ya le dio acceso a su correo a un agente de IA (informe 2026 de Menlo).
• 31% lo conectó a aplicaciones de mensajería.
• 29% al almacenamiento en la nube.
• 27% al calendario.

En lo personal, lo pienso. No lo compro, ni regalado. Manus prometió ser el ayudante que te resuelve la bandeja de entrada y terminó siendo el que ejecuta instrucciones de un mail anónimo. Lo que duró la batería de esta idea fue, justamente, lo que tardó Salt Labs en mandar un correo con JSFuck adentro. Conectar tu Gmail a un agente hoy es una decisión que hay que tomar con los ojos abiertos y, sobre todo, con permisos bien acotados.