Los navegadores con IA pueden ser engañados para enviar spam a tus contactos de WhatsApp y añadir artículos a tu carrito de Amazon

Puntos clave

• La firma de seguridad Zenity encontró aproximadamente 20 vulnerabilidades en navegadores y extensiones habilitados con IA de OpenAI, Google, Anthropic, Microsoft y Perplexity, presentadas en Black Hat Las Vegas en 2025.
• Un ataque engañó al navegador Atlas de OpenAI para que enviara mensajes a todos los contactos de WhatsApp de un usuario, convirtiendo su cuenta en una máquina de spam.
• Un segundo ataque añadió una nueva dirección de envío y una tableta al carrito de Amazon de una víctima sin su conocimiento.
• OpenAI parchó los problemas de Atlas después de que Zenity los reportara en enero de 2025, y cerrará el navegador el 9 de agosto de 2025.
• Los investigadores advierten que los navegadores con IA deben utilizar reglas de seguridad duras y fijas en lugar de depender del juicio de la IA, que casi siempre puede ser engañado.

Los investigadores de seguridad han demostrado que los navegadores web potenciados por IA, software que utiliza inteligencia artificial para navegar sitios web y tomar acciones en tu nombre, pueden ser silenciosamente secuestrados para enviar spam a tus contactos y manipular tus cuentas de compras. Los hallazgos llegaron esta semana a Black Hat, una conferencia importante de ciberseguridad en Las Vegas, de Zenity, una empresa de seguridad que investigó herramientas de navegador construidas por algunos de los nombres más grandes de la tecnología. Encontraron alrededor de 20 debilidades separadas en productos de OpenAI, Google, Anthropic, Microsoft y Perplexity. Nuestra historia anterior sobre los chatbots de IA que nunca pueden ser completamente a prueba de hackeos explicó por qué el defecto subyacente, la forma en que los modelos de lenguaje grande leen instrucciones, puede no tener una solución clara.

¿Qué exactamente hicieron los atacantes?

Los investigadores utilizaron una técnica llamada ataque de inyección de indicaciones, donde instrucciones ocultas enterradas dentro de una página web de apariencia normal le dicen a la IA que haga algo que el usuario nunca pidió. Piensa en ello como dejar una nota dentro de una carta que solo el cartero de IA lee.

Zenity publicó un enlace en X a lo que parecía ser una página de suscripción a un boletín. Dentro había instrucciones escritas en hebreo, una elección deliberada para eludir herramientas de seguridad que escanean texto en inglés sospechoso. La página también afirmaba falsamente que la IA operaba dentro de un entorno de prueba seguro con contactos falsos. El navegador Atlas de OpenAI cayó en la trampa: visitó la página de suscripción, navegó a la cuenta de WhatsApp Web ya iniciada del usuario y envió el mismo mensaje a todos los contactos de la lista. "Lo que hará es pasar por cada uno de los contactos y enviar las instrucciones para unirse a este boletín también, así que esto es un gusano", dijo Bargury a Wired AI. Cada amigo que hiciera clic tendría sus propios contactos enviados a su vez.

Para la prueba de Amazon, el mismo truco de instrucción oculta logró que Atlas agregara una nueva dirección de envío a una cuenta iniciada y pusiera una tableta en el carrito. Cuando los investigadores intentaron ir más allá y completar la compra, los controles de seguridad de OpenAI los bloquearon. Así que encontraron una solución alternativa: hicieron que Atlas le pidiera al asistente de compra de IA integrado de Amazon, Rufus, que completara el pedido. Rufus no había sido manipulado; simplemente asumió que estaba hablando con el cliente real y estuvo de acuerdo.

¿Deberías preocuparte por tu navegador con IA ahora?

Si usas Atlas, el riesgo inmediato está parcheado. OpenAI dice que implementó una corrección después de que Zenity reportara los defectos en enero de 2025, y Atlas se cierra completamente el 9 de agosto de 2025. Las protecciones ahora se extienden también a las características del navegador de ChatGPT.

La preocupación más amplia está justificada. De todas las herramientas que examinaron, Bargury dice que Atlas tenía la mayoría de las protecciones implementadas; las otras eran más fáciles de explotar. Los criminales reales actualmente tienen opciones más simples, como correos electrónicos falsos o contraseñas robadas. Pero Michael Bargury, cofundador y CTO de Zenity, argumenta que la industria está avanzando sin darse cuenta hacia un problema mayor al permitir que la IA decida qué es seguro en lugar de construir reglas firmes que no pueda anular.

"Te estás poniendo en una situación donde el navegador puede ser completamente secuestrado y tus cuentas pueden ser comprometidas, tus datos pueden filtrarse", dijo Bargury, según fue reportado por primera vez por Wired AI.

Lo que hay que vigilar aquí no es Atlas, que ya está muerto. Son todas las demás integraciones de navegador con IA que siguen funcionando, muchas de las cuales Zenity encontró más fáciles de hackear que la que acaparó los titulares.

Preguntas frecuentes

¿Necesito hacer algo ahora?

Deja de usar Atlas antes del 9 de agosto de 2025 cuando cierre. Para otros navegadores con IA y extensiones, verifica si la empresa ha emitido una actualización de seguridad reciente, y hasta que se confirme una, evita usarlos mientras estés conectado a cuentas sensibles como tu banco o correo electrónico.

¿Por qué la IA no puede simplemente rechazar las instrucciones maliciosas?

Ese es exactamente el problema. Los sistemas de IA toman decisiones basadas en criterios en lugar de seguir reglas fijas, y los atacantes inteligentes pueden engañar esos criterios escribiendo en un idioma diferente o afirmando que el entorno es una prueba segura. Los investigadores argumentan que las barreras técnicas duras, muros que la IA simplemente no puede cruzar sin importar lo que le digan, son la única solución confiable.