ESET: agentes de IA y webs falsas, cómo proteger tu negocio

Qué son el envenenamiento SEO y la inyección de prompts

El 66% de las personas ya utilizó alguna herramienta de IA en los últimos doce meses, según la encuesta que Ipsos realizó para Google en 21 países. Ese dato, citado por ESET Latinoamérica, explica por qué los delincuentes están mudando de escenario: si la IA se convierte en la puerta de entrada a las búsquedas y a las decisiones de compra, también se convierte en un blanco rentable.

La compañía de detección de amenazas documentó dos técnicas que ya están en circulación. La primera es el envenenamiento SEO: posicionar páginas fraudulentas entre los primeros resultados de búsqueda, una táctica que además contamina las respuestas que generan los asistentes de IA cuando resumen la web. La segunda es la inyección de prompts (prompt injection): instrucciones ocultas dentro de páginas, correos electrónicos o documentos que buscan que el modelo las interprete como órdenes legítimas del usuario.

Mario Micucci, investigador de seguridad informática de ESET Latinoamérica, matiza el alcance: "Aunque todavía no existen pruebas de que las estafas a través de chatbots sean un fenómeno, se documentaron dos técnicas conocidas". Es decir, no hay todavía una epidemia de fraudes vía chatbot, pero la infraestructura para cometerlos ya está montada.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Por qué un agente de navegador es un riesgo distinto a un chatbot

Un asistente de búsqueda consulta páginas y resume contenido: el peor escenario es información incorrecta o un enlace fraudulento. Un agente integrado en el navegador hace algo más: abre enlaces, hace clic, descarga archivos y completa formularios en nombre del usuario.

La diferencia se mide en lo que ocurre después del clic. Leer una página falsa puede derivar en desinformación o en un engaño. Interactuar con ella puede traducirse en pérdidas económicas o en exposición de datos personales. Los fabricantes suelen pedir confirmación antes de las acciones de alto riesgo, pero esa barrera depende de que el usuario lea y entienda lo que está aprobando.

El problema de fondo son los permisos. Según el análisis de WWWhat's New sobre la inyección de instrucciones, un agente opera con los mismos permisos que el usuario tiene en el navegador donde está instalado: si la sesión del banco, del correo o de una tienda con tarjeta guardada está abierta, el agente trabaja dentro de esas sesiones. El NCSC, el centro nacional de ciberseguridad británico, propone una regla incómoda pero útil: asumir que el modelo puede ser manipulado y calcular el impacto como si un atacante tuviera acceso directo a todas las herramientas que el agente puede usar.

Los casos documentados: de los resúmenes de Google a PromptFix y PleaseFix

En 2025, reportes de The Washington Post y Digital Trends documentaron casos en los que los resúmenes de IA de Google mostraban números telefónicos incorrectos o fraudulentos para la atención al cliente de algunas empresas. Google indicó que estaba al tanto de la situación y que había tomado medidas para corregir parte de los resultados.

El resto de los ejemplos viene de la investigación de seguridad. OpenAI describió un escenario en el que un agente encuentra un comentario malicioso durante una búsqueda y recibe instrucciones para obtener un código de recuperación de contraseña y enviarlo a un sitio controlado por atacantes. Guardio Labs documentó una variante llamada PromptFix, con instrucciones escondidas detrás de un CAPTCHA falso que inducen al agente a hacer clic y descargar un archivo: en las pruebas el archivo era inofensivo, pero en un escenario real podría tratarse de malware.

El vector más reciente no pasa por una web. Zenity Labs presentó en 2026 una clase de vulnerabilidades bautizada PleaseFix, en la que instrucciones ocultas dentro de una invitación de calendario lograban influir en el comportamiento de Comet, el agente de Perplexity, sin necesidad de interacción por parte del usuario. El riesgo real aparece cuando la instrucción maliciosa se mezcla con una tarea legítima hasta parecer un paso necesario para completarla. Como resume Micucci, las instrucciones engañosas ya no viven solo en una página web: también se esconden en correos, documentos, invitaciones de calendario o enlaces compartidos en redes sociales.

Por qué la inyección de prompts no se arregla como un bug

Aquí está la parte que más debería preocupar a quien planea delegar tareas. El OWASP GenAI Security Project coloca la inyección de prompts en el primer puesto de su lista de riesgos de aplicaciones con modelos de lenguaje, la edición 2025 vigente a octubre de 2026, catalogada como LLM01:2025. Su ficha distingue entre inyección directa (el propio usuario escribe algo que altera el modelo) e indirecta (el modelo acepta entradas de fuentes externas como sitios web o archivos), que es la que afecta a los agentes que navegan. Y agrega un detalle incómodo: las instrucciones inyectadas no tienen por qué ser visibles o legibles para un humano, basta con que el modelo las procese.

El NCSC británico lo explicó en un texto de diciembre de 2025: los modelos no imponen una frontera de seguridad entre instrucciones y datos dentro de un prompt. La inyección SQL se corrigió separando técnicamente el código de los datos; con los modelos de lenguaje todo es texto que predice el siguiente texto. De ahí su conclusión, recogida por WWWhat's New: puede que este ataque nunca se mitigue del todo, y conviene desconfiar de cualquier producto que prometa detenerlo.

Los propios fabricantes lo admiten. Anthropic sostuvo en noviembre de 2025 que ningún agente de navegador es inmune y reportó que la versión de su extensión lanzada ese día bajó la tasa de éxito de los ataques al 1% en pruebas internas, con un atacante adaptativo de 100 intentos por entorno; la propia empresa describe esa cifra como un riesgo significativo todavía. OpenAI afirmó en diciembre de 2025 que es improbable que la inyección de instrucciones llegue a resolverse por completo, y en marzo de 2026 agregó que los ataques más eficaces en el mundo real se parecen cada vez más a la ingeniería social.

¿Qué significa esto para tu startup?

La pregunta práctica no es si conviene usar agentes, sino con qué permisos. Estas son las medidas que recomiendan ESET, Anthropic y el NCSC, adaptadas a un equipo chico que no tiene un área de seguridad dedicada.

Perfil de navegador separado para el agente. Sin tarjetas guardadas, sin contraseñas, sin inicio de sesión automático en correo o banca. Anthropic recomienda un perfil sin acceso a banca, salud ni administraciones públicas: si el agente cae en una trampa, no encuentra nada valioso abierto.
Mínimo privilegio y aprobación manual. Cada conector que sumas es una puerta más que una instrucción escondida puede intentar abrir. Revisa qué carpetas, APIs y cuentas ve el agente y quítale lo que no necesita. Si el producto lo permite, cambia de "aprobar automáticamente" a "aprobar manualmente" y lee cada acción antes de confirmarla.
El pago y las credenciales, siempre tú. Que el agente prepare el carrito; la confirmación final, a mano. Nunca dictes contraseñas ni códigos de verificación al agente: que los complete tu gestor de contraseñas.
Reglas de compra para todo el equipo. Antes de introducir datos o confirmar un pago, comprobar el dominio y entrar por la app o la dirección oficial, no por un enlace sugerido por la IA o un anuncio. Desconfiar de tiendas recién creadas, precios muy por debajo del mercado y métodos de pago únicos poco trazables.
Auditoría proporcional al riesgo. Registrar qué instrucciones recibe el agente, qué fuentes consulta y qué herramientas usa. Un agente que redacta un informe no necesita los mismos permisos que uno que mueve dinero.

Hay un punto de responsabilidad que conviene tener claro si integras un agente dentro de tu propio producto. Como analiza El Periódico Digital, la responsabilidad se reparte entre el desarrollador del modelo, la empresa que integra el agente, el proveedor de infraestructura y el usuario o administrador. Si tu startup es la que define permisos y supervisa la actividad del agente, esa capa es tuya: documentar límites y dejar registro de las acciones deja de ser un detalle técnico y pasa a ser parte del producto.

Conclusión

Los asistentes de IA siguen siendo útiles para investigar y comparar, pero amplían la superficie de ataque: cada página, correo o documento que lee una IA puede convertirse en una vía para la estafa. La supervisión humana no es una etapa transitoria hasta que la tecnología madure; es el control que hoy sostiene el sistema. Antes de introducir datos o confirmar un pago, comprobar el dominio y entrar por el canal oficial sigue siendo la medida más barata y más efectiva. Y si un agente actúa en tu nombre, lleva un control de lo que hace.