Un correo electrónico envenenado puede reescribir secretamente la memoria de tu asistente de IA
Un nuevo ataque llamado MemGhost muestra cómo un único mensaje en tu bandeja de entrada puede implantar un "hecho" falso en la memoria a largo plazo de un agente de IA, sin que jamás lo sepas.
Puntos clave
- MemGhost es un ataque recién descrito que utiliza un correo electrónico para implantar un falso recuerdo duradero dentro de un asistente de IA sin el conocimiento del usuario.
- Funciona en agentes de IA (software que lee tu correo electrónico y actúa en tu nombre) que tienen la función de memoria a largo plazo habilitada.
- La técnica es inyección de indicaciones: instrucciones ocultas enterradas en contenido ordinario que la IA interpreta como comandos.
- ChatGPT, Claude y Gemini ya ofrecen funciones de memoria que podrían ser objetivo de este ataque.
- Puedes ver y eliminar recuerdos almacenados en la configuración de la mayoría de asistentes de IA principales ahora mismo.
Dale a un asistente de IA una memoria y un buzón, y habrás dado a un atacante una forma de reescribir silenciosamente lo que cree que sabe sobre ti. Este es el hallazgo contundente detrás de MemGhost, detallado por primera vez por ThreatVectr.
La mecánica es inquietante en su simplicidad. Un atacante envía al objetivo un correo electrónico. Ningún humano lo abre ni hace clic en nada. El agente de IA lo abre automáticamente, encuentra instrucciones ocultas en el texto, almacena un hecho falso sobre ti y permanece en silencio. A partir de ese momento, cada conversación futura está condicionada por la mentira implantada.
¿Deberían preocuparse los usuarios?
Sí, con algunos contextos importantes. El ataque es real y técnicamente válido, pero requiere una configuración específica: tu asistente de IA debe tener tanto acceso a la bandeja de entrada como la memoria a largo plazo activados. No todas las configuraciones tienen ambas.
Sin embargo, esa combinación se está volviendo común. Las funciones de memoria ahora se incluyen en productos convencionales. ChatGPT, Claude y Gemini ofrecen todos recuerdo persistente, llevando hechos sobre ti entre conversaciones separadas. Muchas empresas también están conectando agentes de IA directamente al correo electrónico corporativo. La superficie de ataque sigue ampliándose.
La inyección de indicaciones en sí no es nueva. Los investigadores la documentaron públicamente en 2022, y se encuentra en la parte superior de la lista de riesgos de OWASP para aplicaciones de modelos de lenguaje grandes, la tecnología detrás de chatbots como ChatGPT. Nuestro artículo del 13 de julio "Researchers Are Turning Hackers' Favourite AI Weapon Against Them" mostró cómo la misma técnica puede usarse defensivamente contra herramientas de hacking de IA. Lo que MemGhost añade es persistencia: una inyección de indicaciones estándar termina cuando cierras la ventana de chat, mientras que una memoria envenenada persiste en todas las futuras sesiones.
El peligro práctico es sutil. Un asistente manipulado podría sesgar un resumen o impulsar una recomendación, basándose en un "hecho" que un atacante escribió meses atrás, y nunca sabrías por qué.
Lo que puedes hacer ahora mismo. Abre la configuración de tu asistente de IA y lee lo que ha almacenado. ChatGPT, Claude y Gemini te permiten ver y eliminar recuerdos individuales. Elimina cualquier cosa que no reconozcas. Piénsalo dos veces antes de dar a cualquier agente de IA acceso sin supervisión a una bandeja de entrada que recibe correos de desconocidos, especialmente una cuenta de trabajo.
Para las empresas que despliegan agentes de IA, la orientación es más clara. Trata cada documento, correo electrónico y página web que lee el agente como entrada no confiable. Registra todo lo que el agente escribe en memoria. Requiere que un humano apruebe cualquier nuevo hecho almacenado antes de que se registre.
Lo útil de los agentes de IA es que actúan en tu nombre. Eso es también lo que los hace dignos de ser objetivo.
