Agentes de IA y sitios falsos: alerta de ESET y qué hacer

Qué advierte ESET sobre los agentes de IA y los sitios falsos

ESET advierte que la combinación de asistentes de IA y agentes que navegan por cuenta del usuario está ampliando la superficie de ataque de los sitios web falsos. El problema tiene dos capas. Primero, los asistentes recomiendan enlaces y los usuarios los siguen. Segundo, los agentes integrados en navegadores abren páginas, hacen clic, descargan archivos y completan formularios sin que nadie revise cada paso.

Para un founder esto cambia una rutina concreta: la compra de un proveedor, el login en un panel de facturación o la descarga de una utilidad ya no pasan por un humano que mira la barra de direcciones. Pasan por un modelo que confía en lo que lee.

El análisis, publicado por WeLiveSecurity (el laboratorio de investigación de ESET), no describe un ataque masivo en curso. Describe una superficie nueva que la mayoría de las empresas todavía no tiene mapeada ni en sus políticas internas ni en la formación de su equipo.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Las dos técnicas que hay que entender: SEO poisoning y prompt injection

ESET identifica dos mecanismos principales, y conviene separarlos porque las defensas son distintas.

Envenenamiento SEO (SEO poisoning): posiciona páginas fraudulentas en los resultados de búsqueda y, lo más novedoso, también dentro de las respuestas generadas por IA. El atacante no necesita que el usuario sea descuidado; necesita que el asistente lo recomiende.
Inyección de instrucciones (prompt injection): instrucciones ocultas en páginas web, correos, documentos o invitaciones de calendario que intentan dirigir el comportamiento de un agente de IA. El agente las lee como parte de su contexto y las ejecuta con los permisos que ya tiene.

La segunda es la más incómoda desde el punto de vista de seguridad, porque el agente no fue "hackeado": hizo exactamente lo que su diseño le permite hacer, solo que con instrucciones ajenas.

Los casos documentados que marcan el patrón

ESET recopila evidencia acumulada durante más de un año, y el patrón se repite: primero se rompe la confianza del asistente, después se ejecuta la acción.

Guardio Labs (agosto de 2025) probó Comet, el navegador de Perplexity, y documentó que en algunos casos completó compras en una tienda falsa e ingresó datos en una página de acceso falsa tras un correo de phishing.
Microsoft (mayo de 2026) describió sitios falsos de descarga de utilidades legítimas, impulsados con envenenamiento SEO. Algunos usuarios que pidieron recomendaciones de descarga a asistentes de IA fueron enviados a dominios controlados por atacantes, lo que derivó en software de acceso remoto y minería de criptomonedas.
EchoLeak (CVE-2025-32711) afectó a Microsoft 365 Copilot. Microsoft lo corrigió en junio de 2025 y no se informó explotación real.
PleaseFix (Zenity Labs) mostró que una invitación de calendario maliciosa podía influir en el agente Comet de Perplexity.
Resúmenes de IA de Google: en algunos casos mostraron teléfonos de atención al cliente incorrectos o fraudulentos, el vector perfecto para una estafa telefónica.

El hilo común es que el usuario no cometió un error evidente. Confió en una herramienta que él mismo eligió.

El eslabón que casi nadie revisa: tus extensiones del navegador

Una investigación independiente refuerza la advertencia de ESET desde otro ángulo. El investigador Gal Weizman, de Forever Security, demostró un ataque bautizado BragJack contra cinco navegadores basados en Chromium: Gemini Live de Chrome, Perplexity Comet, Microsoft Edge, Opera Neon y Claude in Chrome. Según la cobertura de BleepingComputer, el trabajo generó más de US$20.000 en recompensas por reporte de vulnerabilidades, con pagos que fueron de US$600 a US$7.000, y dos CVE asignados.

El detalle que importa para cualquier empresa: el ataque requiere que la extensión maliciosa ya esté instalada en el navegador. Una vez dentro, según el investigador, puede operar sin interacción del usuario y controlar al agente de IA para acceder a información sensible o actuar en nombre de la víctima.

Los casos concretos que reporta BleepingComputer: la falla en Chrome recibió el identificador CVE-2026-0628 y una recompensa de US$7.000, y Google confirmó a Fox News que ya liberó un parche que cierra ese método en el panel de Gemini. En Microsoft Edge, el problema fue una condición de carrera registrada como CVE-2026-55945, de severidad media, que afectó a las versiones anteriores a la 150.0.4078.48.

Weizman llama a su técnica Prompt Forcing: en lugar de esconder instrucciones dentro de un contenido que la IA lee, el atacante le entrega al agente un prompt completo por un canal en el que el navegador confía. Para las defensas tradicionales es un problema, porque la acción final no la ejecuta código malicioso: la ejecuta software legítimo.

Qué dicen OpenAI y Anthropic

Las dos compañías reconocen estos riesgos. Ambas recurren a la confirmación del usuario para las acciones de alto impacto y aclaran que sus protecciones no eliminan el riesgo. Anthropic va un paso más allá y desaconseja usar agentes de navegador en sitios financieros, legales o de salud.

Esa recomendación vale como criterio general de política interna, incluso si tu equipo usa otro proveedor: si la acción tiene consecuencias irreversibles —un pago, una firma, un dato clínico—, el agente no debería cerrarla solo.

¿Están respondiendo los proveedores empresariales?

Sí, y es una señal de mercado. Cuando Cohere presentó North 2, su plataforma para agentes dentro de organizaciones, incluyó guardrails que filtran información personal identificable en prompts y respuestas, además de intentos de prompt injection, y políticas de autonomía que limitan a cada agente a las acciones autorizadas, según reportó SiliconANGLE. North está disponible de forma general desde agosto de 2025 y corre en instalaciones on-premises o en la nube privada del cliente.

La lectura para un founder es simple: la seguridad de agentes dejó de ser un detalle técnico y se convirtió en una función que se compara al elegir proveedor. Si tu stack de IA no te puede decir qué hace un agente, con qué permisos y con qué aprobación humana, ese es el hueco.

Qué significa esto para tu startup

La buena noticia es que la mayoría de las medidas son de configuración, no de presupuesto. Empieza por estas acciones concretas.

Separa el navegador de los agentes. Usa un perfil distinto para las tareas de IA, sin tarjetas guardadas, sin gestor de contraseñas conectado y sin sesión abierta de correo o banca. Así, si el agente termina en un sitio falso, no hay nada que robar.
Llega a las tiendas por la vía oficial. Entra desde la aplicación oficial o escribiendo la dirección a mano, nunca desde una sugerencia del asistente o un anuncio. Aplica igual para descargar utilidades: el sitio del fabricante, no el primer resultado.
Audita tus extensiones esta semana. Elimina las que no usas y revisa las que piden "leer y cambiar todos tus datos en todos los sitios". Según BleepingComputer, esa superficie es la puerta de entrada del ataque BragJack, y limpiarla cuesta minutos.
Verifica los datos de contacto por canales oficiales. Si un resumen de IA te da un teléfono de soporte, búscalo en el sitio de la empresa antes de llamar. Los números fraudulentos son un vector documentado.

Además, define dos reglas internas antes de que haga falta:

Qué agentes pueden tocar qué sistemas. Un agente de investigación de mercado no necesita acceso al repositorio de código ni al correo del equipo directivo.
Quién aprueba las acciones irreversibles. Pagos, cambios de contraseña, envío de datos de clientes: siempre confirmación humana explícita.

Conclusión

Los agentes de IA no son el problema; el problema es darles permisos sin supervisión y asumir que el proveedor filtra todo. ESET lo resume en una idea que conviene adoptar como norma: la supervisión humana sigue siendo esencial. Antes de ingresar datos o pagar, verifica el dominio y la tienda oficial, y controla lo que hace cualquier agente.

Para una startup con equipo chico, la oportunidad está en el orden: perfiles separados, extensiones limpias, permisos mínimos y confirmación humana en lo que no se puede deshacer. Ese combo cuesta poco y evita el escenario que ningún founder quiere explicar a su board.