La Black Hat siempre fue ese escenario donde lo que parecía ciencia ficción se vuelve realidad en tiempo real. 😅
Y en la edición de 2026, el tema que dominó los pasillos fue uno solo: los agentes de IA que usas en tu día a día pueden estar exponiéndote de formas que ni te imaginas.
No estamos hablando de un escenario lejano o puramente teórico. Estamos hablando de herramientas que empresas como OpenAI, Anthropic y Google vienen promoviendo con fuerza desde el año pasado, esas que reservan vuelos, navegan por sitios web, abren archivos, revisan correos electrónicos, rellenan formularios y agendan compromisos por ti.
Esas conexiones son prácticas, rápidas y tienen todo el sentido para quien quiere ganar tiempo. Solo que hay un detalle que suele pasar desapercibido: cada permiso que le concedes a un agente es también una puerta que, si se explota mal, puede usarse en tu contra.
Dos estudios presentados durante la conferencia pusieron el foco exactamente en eso, mostrando en la práctica cómo técnicas de manipulación de datos y explotación de permisos de acceso pueden transformar una herramienta útil en un vector de ataque sofisticado. Y lo más preocupante: sin que necesites hacer clic en nada sospechoso.
La pregunta que queda es simple: ¿sabes lo que tus agentes pueden hacer con lo que ya autorizaste?
Por qué darle acceso a un agente es tan conveniente (y tan arriesgado)
Seamos justos aquí. Conectar una inteligencia artificial para ejecutar tareas es una maravilla. En Outlook o en Gmail, por ejemplo, puedes pedirle que busque un correo específico o que resuma los mensajes pendientes. Darle acceso a Google Drive ayuda a encontrar y analizar documentos, y habilitar el calendario permite organizar reuniones sin esfuerzo.
También puedes ir más allá y conceder acceso al propio sistema operativo para gestionar archivos. El problema es que, como casi todo en la vida, esa comodidad puede cobrar un precio alto más adelante.
Fue exactamente eso lo que dos estudios demostraron durante la Black Hat USA 2026, una de las conferencias de ciberseguridad más importantes del mundo. Pusieron sobre la mesa lo que puede ocurrir cuando esas capacidades son manipuladas por alguien con malas intenciones.
En uno de ellos, investigadores de Zenity lograron esconder instrucciones dentro de contenidos cotidianos, desde un comentario en redes sociales hasta una invitación de calendario, para desviar navegadores equipados con agentes de IA y hacer que actuaran en contra de los propios usuarios.
Reciba el mejor contenido sobre innovación en su correo electrónico.
Todas las noticias, consejos, tendencias y recursos que buscas, directamente en tu bandeja de entrada.
Al suscribirte al boletín informativo, aceptas recibir comunicaciones de Método Viral. Nos comprometemos a proteger y respetar siempre tu privacidad.
El otro, presentado por Palo Alto Networks, encontró un camino diferente. Una hoja de cálculo manipulada permitió tomar el control del entorno protegido donde ChatGPT procesa archivos y, desde ahí, alterar la tarea que el sistema estaba ejecutando.
Los dos trabajos parten de técnicas distintas, pero terminan chocando con el mismo problema: cuanto más puede hacer un agente en nombre de una persona, más daño puede causar si alguien logra manipularlo.
Vale destacar que esta discusión atravesó buena parte de la Black Hat y también de la DEF CON, las dos grandes conferencias que forman el llamado Hacker Summer Camp de Las Vegas, donde la inteligencia artificial apareció tanto como herramienta para encontrar vulnerabilidades como una nueva superficie de ataque.
Un simple comentario puede desviar a un agente entero
En la explicación de Stav Cohen, investigador del equipo de seguridad de IA de Zenity, el panorama cambió bastante. En el mundo anterior, un ataque normalmente exigía que hicieras algo arriesgado, como hacer clic en un enlace malicioso, descargar un archivo, escribir tu contraseña en una página falsa o aprobar un permiso dudoso. El llamado zero-click significa que esa etapa simplemente desaparece.
La investigación, bautizada como Pwning Agentic Browsers with PleaseFix: A New Vulnerability Class for 0-Click Takeover, estudió una nueva generación de navegadores que incorporan agentes capaces de realizar tareas de forma autónoma. La propia OpenAI lanzó uno el año pasado, que terminó siendo descontinuado.
En un navegador tradicional, como Chrome, Edge o Safari, eres tú quien decide qué página abrir, dónde hacer clic, qué formulario rellenar o qué mensaje enviar. En cambio, un navegador agéntico recibe un objetivo, como reservar un vuelo o contratar un servicio, y ejecuta los pasos necesarios por su cuenta.
Dónde está el peligro de esa autonomía
El problema surge porque, para ejecutar esas tareas, el agente también necesita leer el contenido que encuentra en el camino. Es ahí donde un atacante puede introducir instrucciones destinadas a la inteligencia artificial, una técnica conocida como indirect prompt injection. La orden maliciosa no viene directamente del usuario, sino escondida dentro de una página, un correo electrónico, un documento o cualquier otro contenido procesado por el agente.
Como resumió Cohen, los atacantes esconden instrucciones dentro del contenido que el agente lee, y el agente no logra distinguir de forma confiable entre el contenido que se le pidió analizar y las instrucciones ocultas dentro de él.
Los investigadores nombraron esta clase de ataque como PleaseFix y desarrollaron una técnica llamada Intent Collision, que mezcla la tarea legítima solicitada por el usuario con la intención introducida por el atacante.
Una de las demostraciones partió de una situación cotidiana. Los investigadores dejaron instrucciones escondidas dentro de un comentario en X (antes Twitter), debajo de una publicación sobre un newsletter. Cuando la víctima le pidió al navegador que se suscribiera, el agente también leyó el comentario.
A partir de ahí, lograron hacer que la inteligencia artificial abandonara la tarea original, entrara en Amazon, modificara la dirección de envío y realizara compras enviadas a la dirección del atacante. En otra versión, el agente abrió WhatsApp y envió mensajes a los contactos de la víctima.
El caso más aterrador involucró contraseñas
El alcance de los ataques crece porque estos navegadores pueden usar las sesiones que la persona ya tiene abiertas. En las pruebas, Zenity logró tomar el control de cuentas de Slack, X, 1Password y Claude, acceder a información de Gmail y Google Drive, usar WhatsApp para enviar mensajes y Amazon para hacer compras.
Uno de los ejemplos más sensibles involucró justamente a 1Password, un gestor de contraseñas. Los investigadores lograron hacer que el agente usara la propia extensión de la víctima para entregar la bóveda de contraseñas al atacante y, a continuación, bloquear al usuario legítimo de su propio acceso.
También iniciaron un procedimiento de recuperación de contraseña en un servicio, hicieron que el agente buscara automáticamente el correo de recuperación y completaron el cambio de contraseña desde la misma sesión. Todo de forma automatizada, porque eso es lo que diferencia a un agente de un simple chatbot de IA.
Según el equipo, un navegador tradicional es solo un visualizador. Toda la seguridad de la web fue construida sobre la premisa de que un humano es quien toma las decisiones. Un navegador agéntico sustituye a ese humano por un agente de IA que decide por ti, como si fueras tú, en todos los sitios donde hay una sesión activa.
Para Cohen, la única defensa que realmente funcionó fue aquella sobre la cual el modelo no tenía poder de decisión. La recomendación es establecer límites explícitos en los recursos que un agente puede alcanzar y exigir intervención humana para acciones sensibles específicas.
Rompiendo la caja fuerte donde ChatGPT abre tus archivos
La otra investigación, de Palo Alto Networks, partió de un escenario diferente: lo que ocurre entre bastidores cuando un usuario sube un archivo a ChatGPT y pide un análisis. Algo que se volvió rutina, ya que es común que alguien suba registros médicos o pida el análisis de archivos contables.
El trabajo fue presentado por Simcha Kosman, investigador de la empresa. Sherrod DeGrippo, vicepresidenta de Threat Intelligence de Unit 42, explicó el alcance del ataque.
Cuando ChatGPT necesita analizar una hoja de cálculo o hacer cálculos, usa un espacio temporal aislado conocido como sandbox. Puedes pensarlo como una habitación cerrada con llave donde el sistema ejecuta el trabajo sin que nada afecte al resto de la infraestructura. Como resumió DeGrippo, cada sandbox necesita estar aislado, como una habitación cerrada y separada.
Herramientas que usamos a diario
Cómo forzaron la caja fuerte
Los investigadores prepararon una hoja de cálculo de Excel especialmente manipulada que permitió tomar el control de ese entorno. Una vez dentro, encontraron una forma de alterar las instrucciones que ChatGPT recibía durante la tarea, haciendo que el sistema buscara información que la persona nunca había pedido.
Y aquí la cuestión de los permisos de acceso reaparece con fuerza. Si el usuario había conectado su correo electrónico, almacenamiento en la nube u otro servicio a ChatGPT, el atacante podría potencialmente solicitar información de ese servicio, dentro de los límites de los permisos concedidos.
El ataque no equivalía a robar la contraseña de ChatGPT, ni abría automáticamente todas las conversaciones de una cuenta. Lo que hacía era explotar capacidades que el sistema ya tenía disponibles. ChatGPT está diseñado para que una conversación no lea el texto de otra, pero, una vez que el entorno fue comprometido, el atacante pudo usar las capacidades a nivel de cuenta que el usuario ya había autorizado.
Quedaba un obstáculo: incluso accediendo a la información, el sandbox estaba diseñado para impedir el envío libre de datos hacia internet. El equipo entonces descubrió un mecanismo interno compartido entre entornos y lo usó como un canal rudimentario de transmisión. DeGrippo comparó el proceso con enviar un mensaje en código Morse, mediante una sucesión de estados que representaban unos y ceros.
La buena noticia es que Palo Alto Networks reportó la vulnerabilidad a OpenAI antes de divulgarla públicamente, y la empresa eliminó el mecanismo compartido que permitía esa comunicación. La técnica específica ya no puede usarse de esa forma.
Qué significa esto para quien usa agentes en el día a día
La discusión planteada en la Black Hat no es un argumento en contra del uso de agentes de IA. Estas herramientas tienen un valor real, ahorran tiempo y ayudan a organizar flujos de trabajo que serían imposibles de gestionar manualmente. El punto es que su uso consciente exige una revisión periódica de los permisos de acceso que ya concediste.
Plataformas como Google, Microsoft y Apple permiten visualizar y revocar accesos en cualquier momento, y hacerlo regularmente es una de las formas más directas de reducir la exposición al tipo de manipulación de datos demostrado en las investigaciones. DeGrippo recomendó tratar esas conexiones como permisos de cualquier aplicación poderosa: habilita solo lo necesario, concede el menor nivel de acceso posible y revisa periódicamente qué servicios siguen conectados.
Otro aspecto relevante es entender que el riesgo no está solo en los agentes de terceros, sino en los datos que procesan. Un documento recibido de una fuente desconocida, procesado por un agente con acceso amplio a tu entorno digital, ya representa un vector de entrada posible. La ciberseguridad en este contexto empieza a parecerse menos a un antivirus y más a higiene digital: saber qué entra, qué sale y quién tiene permiso para tocar qué.
Los agentes de IA prometen simplificar etapas, buscar, decidir y ejecutar tareas para aliviar ese trabajo pesado y aburrido. Los dos estudios de la Black Hat mostraron la otra cara de esa comodidad: cuanto más acceso reciben los agentes, mayor es el riesgo involucrado. La conveniencia siempre tiene un precio, y la era de la IA usada para todo apenas está empezando a mostrar sus riesgos. 🚨
