Un correo manipulado logró que Manus ejecutara código escondido y avisara al usuario después de hacerlo

Pedirle a un agente de inteligencia artificial que revise el correo electrónico implica darle acceso a mensajes que pueden contener instrucciones de terceros. Una investigación de Salt Labs sobre Manus, el agente de la empresa china Butterfly Effect, mostró cómo ese contenido podía convertirse en una acción concreta: el asistente ejecutó código escondido en un email y recién después avisó al dueño de la cuenta.

La vulnerabilidad fue comunicada a través del programa de recompensas por errores de Meta, que distribuye Manus. Salt Labs confirmó que la falla fue corregida.

Del contenido leído a la orden ejecutada

Para el usuario, la diferencia está entre analizar un mensaje y obedecerlo. Si el agente recibe el pedido de resumir un correo, las instrucciones incluidas dentro de ese texto deberían permanecer como contenido a examinar, no como indicaciones para actuar. En un ataque de inyección de instrucciones, también llamado prompt injection, ese límite se altera: el sistema interpreta lo que lee como una orden y la ejecuta sobre los servicios a los que tiene acceso.

El riesgo concreto de delegar tareas sobre el correo

• Una instrucción maliciosa podría pedirle que busque mensajes con la palabra "contraseña" y los reenvíe a una dirección externa.
• El alcance del daño depende de los servicios a los que esté conectado el agente, como correo, mensajería, calendario o almacenamiento en la nube.
• El informe "2026: The State of Consumer AI", de Menlo, señala que el 36% de los consumidores ya dio acceso a su correo electrónico a estos asistentes; el 31%, a aplicaciones de mensajería; el 29%, al almacenamiento en la nube, y el 27%, al calendario.

Cómo se ocultó la orden dentro del email

En las pruebas con Manus y Gmail, las defensas inicialmente reconocieron una instrucción peligrosa y frenaron la acción. Los investigadores ensayaron después distintas formas de ocultarla. La que permitió superar el control fue JSFuck, una técnica que representa código JavaScript mediante un repertorio reducido de caracteres, lo que dificulta su detección.

El agente procesó ese contenido y ejecutó el código dentro de su propio entorno operativo. La advertencia al usuario llegó cuando la ejecución ya había terminado. Para Salt Labs, el resultado muestra que revisar las instrucciones de un tercero antes de actuar debería ser la base de cualquier despliegue de este tipo de asistentes.

en desarrollo