Agentes de IA: 66% los usa y el fraude ya los ataca

El 66% ya usa asistentes de IA, y los atacantes lo saben

Dos tercios de las personas en 21 países usaron alguna herramienta de inteligencia artificial en el último año, según las encuestas que recoge el informe de Noticias Neo. Ese dato explica por qué la conversación de ciberseguridad dejó de girar solo alrededor del usuario y empezó a girar alrededor del asistente: si el agente abre enlaces, descarga archivos y completa formularios en tu nombre, comprometerlo es más rentable que engañarte a ti.

La distinción importa porque el riesgo no es igual en todos los asistentes. Un chatbot que resume contenido web puede exponerte a información incorrecta o a enlaces engañosos. Un agente con capacidad de acción —el que hace clic, descarga y rellena formularios de forma autónoma— puede generar pérdidas económicas o comprometer datos personales sin que el usuario lo perciba en tiempo real.

Para un founder que ya delegó tareas operativas a un agente, la pregunta dejó de ser si conviene adoptar estas herramientas y pasó a ser qué superficie de ataque acaba de abrir en su empresa.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Qué son el envenenamiento SEO y la inyección de prompts?

Los investigadores de seguridad tienen documentadas dos técnicas que ya operan en entornos reales, y conviene entenderlas por separado porque se mitigan distinto.

Envenenamiento SEO. Consiste en posicionar páginas fraudulentas entre los primeros resultados de búsqueda para que los asistentes de IA las incorporen como fuentes válidas en sus respuestas. El caso más citado ocurrió en 2025, cuando los resúmenes de IA de Google mostraron números telefónicos incorrectos o directamente fraudulentos para el servicio de atención al cliente de varias empresas. Google reconoció la situación y anunció medidas correctivas.

La lección para el ecosistema emprendedor es incómoda: la posición en los resultados —incluidos los anuncios— dejó de ser una señal de legitimidad. Un agente que prioriza por ranking hereda ese sesgo y lo convierte en una acción.

Inyección de prompts. Son instrucciones ocultas dentro de páginas web, correos electrónicos, documentos o invitaciones de calendario que el agente interpreta como órdenes legítimas del usuario. La técnica está documentada en las guías de referencia de OWASP. OpenAI describió un escenario en el que un agente encuentra un comentario malicioso durante una búsqueda y recibe instrucciones para extraer un código de recuperación de contraseña y enviarlo a un servidor controlado por atacantes. Guardio Labs, por su parte, describió una técnica llamada PromptFix, que esconde instrucciones detrás de un CAPTCHA falso para inducir la descarga de archivos.

El punto crítico es que el agente no distingue entre «contenido que debe leer» e «instrucciones que debe ejecutar». Todo entra por el mismo canal.

El caso PleaseFix: cuando una invitación de calendario secuestra tu agente

En 2026, Zenity Labs describió una familia de vulnerabilidades llamada PleaseFix que amplía el perímetro de exposición más allá de la web. Según el comunicado difundido por Business Wire, instrucciones ocultas dentro de una invitación de calendario lograban influir en el comportamiento de Comet, el navegador agéntico de Perplexity, sin requerir ninguna interacción del usuario.

El detalle técnico vale la pena porque describe el patrón de ataque completo. Zenity identificó una subfamilia específica en Comet, bautizada PerplexedBrowser, con dos rutas de explotación distintas. La primera permite un compromiso sin clics: el agente accede al sistema de archivos local y exfiltra contenido a un endpoint controlado por el atacante, mientras sigue devolviendo al usuario la respuesta que esperaba. La segunda abusa de los flujos autorizados del agente para manipular gestores de contraseñas como 1Password, con el resultado de robo de credenciales o toma de control total de la cuenta, sin explotar directamente una falla del gestor.

Según SiliconANGLE, los investigadores lograron que el agente navegara dentro de una sesión autenticada de 1Password, revelara usuarios y contraseñas almacenadas y las exfiltrara mediante peticiones web ordinarias. También activaron un escenario de escalada en el que el agente cambiaba la contraseña maestra a un valor controlado por el atacante y extraía material de recuperación.

Michael Bargury, CTO de Zenity, lo resumió sin matices en declaraciones recogidas por Help Net Security: «Esta no es una vulnerabilidad puntual. Es una vulnerabilidad inherente a los sistemas agénticos». Perplexity corrigió el problema de ejecución del lado del navegador antes de la divulgación pública e introdujo confirmaciones más estrictas para acciones sensibles y controles empresariales para desactivar el agente en sitios designados. 1Password añadió opciones de endurecimiento, como desactivar el inicio de sesión automático y exigir confirmación explícita antes de autocompletar credenciales.

El hallazgo importa por una razón de arquitectura: las instrucciones engañosas ya no necesitan estar alojadas en una página web para activarse. Cualquier contenido que el agente procese —un correo, un documento compartido, una invitación de calendario— es superficie de ataque.

¿Por qué OWASP subió la agencia excesiva al tercer puesto?

El marco de referencia que más usan los equipos de seguridad para priorizar riesgos de IA se actualizó en agosto de 2026. Según TechTimes, la edición 2026 del OWASP Top 10 for LLM Applications fue la primera en combinar el voto de los profesionales con datos de incidentes reales: 6.639 casos documentados, con un peso del 25% en el ranking final.

El movimiento más relevante para quien construye con agentes fue el de Agencia Excesiva, que pasó del sexto al tercer lugar. OWASP identifica este ascenso como el cambio más significativo de la edición, y la razón es directa: tanto el voto experto como el registro de incidentes apuntan a que el daño real está ocurriendo en operaciones agénticas. La categoría cubre tres causas de diseño —dar al agente más herramientas de las que su tarea requiere, darle permisos más amplios de los necesarios y permitirle actuar sin aprobación humana en acciones de alto impacto— y cada una amplifica a las demás.

El mismo informe señala que la inyección de prompts se mantiene en el primer puesto pese a tener pocos incidentes registrados, por lo que OWASP llama el «efecto defensa»: las empresas invierten tanto en bloquearla que los ataques exitosos casi no llegan a las bases de datos públicas.

El vector tampoco se limita a un agente aislado. Ars Technica reportó que un investigador independiente probó agentes de organizaciones como Google, JP Morgan Chase, Weaviate y Rapid7, además de la dirección digital interministerial del gobierno francés y el gobierno federal de Estados Unidos, explotando fallas de confianza en el Model Context Protocol (MCP), el estándar con el que los agentes se comunican entre sí dentro de una red interna. Como los agentes confían por defecto en otros agentes internos, una instrucción maliciosa puede propagarse por la cadena.

¿Qué significa esto para tu startup?

Si tu equipo ya conectó un agente a Gmail, al calendario, a un CRM o a un repositorio de código, ya tienes el problema aunque no lo hayas visto. La buena noticia es que la mitigación es de diseño, no de comprar un producto más.

El cambio de mentalidad que propone OWASP es dejar de intentar construir un modelo imposible de engañar y empezar a limitar qué puede hacer un modelo engañado. Es un cambio de objetivo: de prevención a control del radio de daño. Un agente con permisos estrechos y un punto de aprobación humana genera un incidente contenido; el mismo agente con permisos amplios y autonomía total propaga el compromiso a sistemas de archivos, repositorios y sistemas financieros.

Para una startup con equipo pequeño esto es especialmente relevante, porque el agente suele tener los mismos accesos que el founder: correo, banca, contratos, producción.

Cinco medidas concretas que puedes aplicar esta semana

El informe original recoge recomendaciones técnicas que se traducen en acciones verificables:

Accede escribiendo la dirección directamente. Para comercio electrónico o servicios sensibles, entra tecleando la URL en el navegador en lugar de depender de resultados sugeridos por un asistente.
Verifica el dominio antes de ingresar credenciales. Y no asumas que aparecer arriba en los resultados, incluidos los anuncios, garantiza legitimidad.
Aísla el perfil del agente. Ejecuta los agentes de IA desde un perfil de navegador separado, sin tarjetas de pago guardadas ni contraseñas almacenadas.
Exige confirmación explícita. Configura el agente para que pida aprobación antes de ejecutar cualquier acción, incluso las que clasifica como de bajo riesgo. La aprobación humana es el control más barato que existe.
Audita herramientas y permisos. Revisa cada herramienta que el agente puede invocar y pregúntate si es imprescindible para su tarea. Si la respuesta es no, sobra capacidad, y esa capacidad sobrante es el radio de daño cuando algo falla.

Vale la pena añadir una sexta, de gestión: documenta qué agente tiene acceso a qué. En la mayoría de las startups el inventario de accesos de IA no existe, y sin inventario no hay revocación posible cuando aparece un incidente.

Conclusión

La adopción masiva de asistentes de IA y los marcos de seguridad todavía en construcción forman una combinación incómoda: la superficie de ataque creció antes que las defensas. Los casos documentados —el envenenamiento SEO que contaminó los resúmenes de Google en 2025, la inyección de prompts descrita por OpenAI y Guardio Labs, y el PleaseFix de Zenity Labs sobre Comet— no son escenarios teóricos de laboratorio, sino técnicas que ya operaron en entornos reales.

Para un founder, la conclusión práctica es que la seguridad de los agentes es una decisión de arquitectura, no una casilla de cumplimiento. Definir permisos mínimos, aislar entornos y poner puntos de confirmación humana antes de las acciones irreversibles cuesta poco hoy y evita un incidente que, en una empresa pequeña, puede ser terminal.