Manus, el agente de IA que le hizo caso a un correo y ejecutó código sin preguntar

¿Le darías las llaves de tu casa a alguien que también recibe pedidos de desconocidos? Con los agentes de inteligencia artificial conectados al correo pasa algo parecido. Una prueba de Salt Labs sobre Manus, el agente desarrollado por la firma china Butterfly Effect, mostró que un mensaje manipulado podía convertirse en una orden y que el asistente la ejecutaba antes de avisar al usuario.

Para entender el riesgo hay que separar dos cosas que parecen iguales pero no lo son: un correo es un texto para leer, y una instrucción es una orden para cumplir. En condiciones normales, si le pedís que resuma un email, el contenido del mensaje debería quedar en el plano de lo que se analiza, no en el de lo que se obedece. La investigación mostró que ese límite se puede cruzar.

Qué fue lo que pasó en la prueba

• Salt Labs conectó Manus a una cuenta de Gmail para evaluar cómo procesaba correos entrantes.
• Los investigadores escondieron instrucciones maliciosas dentro del cuerpo de un mensaje, una técnica conocida como inyección de prompt.
• Las defensas del agente detectaron primero el intento y bloquearon la acción, pero los especialistas probaron distintas formas de camuflar el código.
• La que funcionó fue JSFuck, un método que reescribe JavaScript usando solo seis caracteres: corchetes, paréntesis, signo más y signo de exclamación.
• Manus procesó el contenido y ejecutó el código dentro de su propio entorno. Recién después de hacerlo, le avisó al usuario.

Lo más delicado no es la ejecución en sí, que ocurrió dentro del entorno controlado del agente, sino el momento de la advertencia: llegó después, cuando la acción ya se había completado. Para Salt Labs, eso cambia de raíz la idea de un asistente que avisa antes de actuar sobre tu información.

Por qué importa para el usuario común

El alcance depende de a qué servicios tenga acceso el agente. Un caso descripto por los investigadores como ejemplo, que no implica que se haya producido en la prueba, sería pedirle que busque correos con la palabra contraseña y los reenvíe a una dirección externa. En la vida real, el reporte 2026: The State of Consumer AI, de Menlo, muestra que estos cruces ya existen: el 36 por ciento de los consumidores le dio acceso a su correo a un agente, el 31 por ciento a aplicaciones de mensajería, el 29 por ciento al almacenamiento en la nube y el 27 por ciento al calendario.

La vulnerabilidad fue reportada a través del programa de recompensas por errores de Meta, que es donde se canalizan los hallazgos sobre Manus. La firma confirmó que el problema fue corregido y que el procedimiento de ataque ya no funciona. Aun así, el caso deja planteada la discusión de fondo: cada permiso que se le entrega a un agente es una puerta que alguien más puede intentar abrir desde adentro de un mensaje. Si te sirve, probá revisar qué cuentas tiene conectadas tu asistente y dejar solo las que uses de verdad.