Eset alerta por sitios falsos que engañan a agentes de IA

Un 66% ya usa IA: el riesgo dejó de estar en el chatbot

Según una encuesta de Ipsos para Google en 21 países citada por Eset Latinoamérica, el 66% de las personas usó alguna herramienta o aplicación de IA en los últimos 12 meses. Para un founder eso no es un dato de mercado: es la foto de su propio equipo, que ya trabaja con asistentes con permisos para leer correos, navegar y completar formularios.

Eset advirtió que los asistentes de IA pueden sugerir enlaces fraudulentos y que los agentes integrados en navegadores incluso pueden navegar e interactuar con páginas en nombre del usuario. La diferencia de impacto es sustancial: un asistente que solo resume contenido puede exponerte a información incorrecta o a un enlace falso; un agente que abre enlaces, descarga archivos y completa formularios puede escalar el daño hacia pérdida económica o exposición de datos personales.

Los fabricantes suelen pedir confirmación antes de las acciones de alto riesgo, pero el problema aparece una vez que el agente ya accedió al sitio.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Qué es el envenenamiento SEO y por qué ahora contamina a la IA?

El envenenamiento SEO busca posicionar páginas fraudulentas entre los primeros resultados de búsqueda. El giro es que esa manipulación ya no afecta solo al ranking: también puede contaminar las respuestas que generan los asistentes de IA, que tienden a citar lo que encuentran arriba.

Mario Micucci, investigador de Seguridad Informática de Eset Latinoamérica, describió la técnica y puso el estado de la evidencia en su lugar: «Aunque todavía no existen pruebas de que las estafas a través de chatbots sean un fenómeno». Es una advertencia útil para calibrar el pánico: la técnica está documentada, la estafa masiva vía chatbot todavía no.

El antecedente más citado es de 2025. Reportes de The Washington Post y Digital Trends documentaron casos en los que los resúmenes de IA de Google mostraban números telefónicos incorrectos o fraudulentos para la atención al cliente de algunas empresas. Google indicó que estaba al tanto y que corrigió parte de los resultados. Traducción para una startup: si tu número de soporte aparece mal en un resumen de IA, no es un detalle cosmético, es un canal de fraude abierto con tu marca en la puerta.

Inyección de prompts: el ataque que la industria admite que no puede resolver

La inyección de prompts no necesita que la IA recomiende una dirección falsa. Cuando un agente procesa una página, un correo o un documento, puede interpretar instrucciones ocultas como si fueran órdenes legítimas del usuario. El OWASP GenAI Security Project coloca este fallo en el primer puesto de su lista de riesgos para aplicaciones con modelos de lenguaje (LLM01:2025) y distingue dos variantes: la directa, cuando el propio usuario escribe algo que altera el comportamiento del modelo, y la indirecta, cuando el modelo acepta entradas de fuentes externas como sitios web o archivos.

La indirecta es la que golpea a los agentes que navegan. Y el detalle incómodo, según la ficha de OWASP, es que las instrucciones inyectadas no tienen por qué ser visibles o legibles para un humano: basta con que el modelo las procese. Tú ves una reseña normal; el agente puede estar leyendo otra cosa.

El escenario que mencionó OpenAI es el ejemplo más claro: un agente encuentra un comentario malicioso durante una búsqueda, recibe instrucciones para obtener un código de recuperación de contraseña y lo envía a un sitio controlado por atacantes. Guardio Labs describió PromptFix, con instrucciones ocultas detrás de un CAPTCHA falso que inducen a descargar un archivo.

¿Por qué no se arregla como un bug normal?

Porque no es un fallo de programación, sino de arquitectura. El NCSC, el centro nacional de ciberseguridad británico, lo explicó el 8 de diciembre de 2025 en un texto titulado «La inyección de instrucciones no es una inyección SQL (puede ser peor)»: los modelos no imponen una frontera de seguridad entre instrucciones y datos dentro de un prompt.

La inyección SQL se resolvió separando técnicamente el código de los datos. Con los modelos de lenguaje todo es texto que predice el siguiente texto, así que esa separación no existe. Los propios fabricantes lo asumen, según recoge WWWhatsnew en su repaso del estado de la técnica: OpenAI escribió el 22 de diciembre de 2025 que «es improbable que la inyección de instrucciones, igual que las estafas y la ingeniería social en la web, llegue a estar completamente resuelta»; Anthropic afirmó el 24 de noviembre de 2025 que «ningún agente de navegador es inmune». Con su modelo Claude Opus 4.5, la versión de su extensión de navegador lanzada ese día bajó la tasa de éxito de los ataques al 1% en pruebas internas con un atacante adaptativo de 100 intentos por entorno, una mejora que la propia compañía describió como un riesgo que sigue siendo significativo.

Un 1% suena tranquilizador hasta que se multiplica por las páginas que visita un agente en una tarde de compras. Y es la mejor cifra publicada por el fabricante en su propio laboratorio, no una auditoría independiente.

Del navegador al calendario: los vectores ya documentados

El frente se está ampliando fuera de la web. Zenity Labs describió en una investigación presentada en 2026 PleaseFix, una clase de vulnerabilidades en la que instrucciones ocultas dentro de una invitación de calendario lograban influir en el comportamiento de Comet, el agente de Perplexity, sin interacción del usuario. «En otras palabras, las instrucciones engañosas ya no tienen por qué presentarse únicamente en una página web», resumió Micucci.

A eso se suma la memoria persistente. Forcepoint X-Labs describió el 4 de agosto de 2026 una demostración conceptual en la que un agente con acceso a páginas web almacena como recuerdo una instrucción oculta; cuando el usuario consulta algo relacionado, el agente recupera esa información manipulada y la presenta como legítima. La propia publicación aclara que es una simulación simplificada y no la documentación de un ataque completo contra una plataforma comercial. El Instituto Nacional de Estándares y Tecnología de Estados Unidos ha evaluado cómo instrucciones insertadas en datos externos pueden desviar el comportamiento de los agentes, según el mismo reporte.

El mercado ya lo está monetizando. CrowdStrike anunció en Fal.Con Europe 2026, en Barcelona, la compra de Fiddler y Dreadnode para extender su plataforma al ciclo de vida de los agentes: pruebas automatizadas contra más de 100 estrategias de ataque de IA, incluida la inyección de prompts, y observabilidad del comportamiento de los agentes en producción, con mapeo a los marcos de OWASP, MITRE ATLAS y NIST. La compañía no reveló los términos financieros de ninguna de las dos operaciones, según CSO Online.

Qué significa esto para tu startup

Para un equipo chico, la conclusión no es «no uses agentes». Es que el nivel de control debe igualar el nivel de consecuencia de lo que el agente puede hacer. Un asistente que resume documentos públicos y otro que tiene la bandeja de entrada, el CRM y una tarjeta guardada no son el mismo riesgo, aunque se instalen con el mismo clic.

Dos movimientos concretos, alineados con lo que recomienda Eset y con la guía de seguridad para agentes de OWASP:

Aísla al agente en un perfil propio. Un perfil de navegador separado, sin tarjetas guardadas, sin contraseñas y sin sesiones abiertas de banca o de herramientas críticas. Si el agente cae en una trampa, no encuentra nada valioso a mano.
Aplica privilegio mínimo a cada conector. Cada integración nueva (correo, CRM, repositorio, hojas de cálculo) es una puerta más. Da permisos de lectura donde alcance, separa lectura de escritura y no entregues credenciales administrativas a un flujo automatizado.

Checklist: cómo reducir el riesgo hoy mismo

Entra a las tiendas y servicios desde la app o escribiendo la dirección oficial. No confíes en la posición del resultado, incluidos los anuncios: es exactamente lo que el envenenamiento SEO trabaja.
Revisa el dominio antes de cargar datos. Vale para ti y para cualquier agente que complete formularios en tu nombre.
Deja la confirmación final en manos de una persona para acciones irreversibles: pagos, exportaciones de datos, cambios de permisos o envío de información confidencial. Que el agente prepare el carrito; que el pago lo apruebe alguien del equipo.
Enciende la aprobación manual. Claude in Chrome, la extensión de Anthropic, arranca en modo «aprobar automáticamente», en el que el propio modelo decide cuándo pedir permiso; su guía de uso seguro recomienda pasar a aprobación manual si quieres revisar cada acción, según recoge WWWhatsnew. Del lado de Google, Chrome con Gemini pide confirmación antes de entrar en webs sensibles como banca o salud y antes de completar una compra o un pago.
Registra lo que hace el agente. Llamadas a herramientas, accesos, aprobaciones y cambios. Sin logs no hay forma de reconstruir un incidente.
Nunca dictes contraseñas ni códigos al agente. Que las credenciales las complete tu gestor de contraseñas.

Conclusión

El envenenamiento SEO y la inyección de prompts no son amenazas de laboratorio: tienen casos documentados, marcos de referencia y proveedores comprando capacidades para cubrirlas. Lo que todavía no existe, como admitió Micucci, es evidencia de una ola masiva de estafas vía chatbot.

Ese matiz es la oportunidad. La ventana entre «la técnica está documentada» y «el ataque es masivo» es justo cuando conviene mover ficha: aislar los agentes, limitar permisos y poner aprobación humana en lo irreversible cuesta poco hoy y mucho menos que un incidente mañana.