Agentes de IA y webs falsas: el nuevo vector de estafa

El 66% ya consulta IA, y los atacantes siguen la atención

Dos de cada tres personas (66%) usaron alguna herramienta de inteligencia artificial en los últimos doce meses, según una encuesta de Ipsos para Google en 21 países. Ese cambio de hábito tiene una consecuencia muy concreta para cualquier startup: las respuestas de un asistente de IA se convirtieron en un canal de descubrimiento, y casi nadie lo está auditando.

El problema ya no es solo que la IA responda mal. Los agentes integrados en navegadores abren enlaces, hacen clic, descargan archivos y completan formularios en nombre del usuario. Si tu marca vive de que la encuentren y le compren, ese salto de "responder" a "actuar" cambia por completo el mapa de riesgos.

¿Puede un agente de IA llevarte a una web falsa?

Sí, y depende del nivel de autonomía de la herramienta. Los asistentes de búsqueda resumen contenido, así que el riesgo principal es recibir información errónea o un enlace fraudulento. Los agentes de navegador, en cambio, interactúan: descargan, hacen clic y pagan. Ahí la consecuencia deja de ser desinformación y pasa a ser pérdida económica o exposición de datos personales.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Las pruebas de Guardio Labs, publicadas en agosto de 2025, mostraron que el escenario no es teórico. Los investigadores pidieron a Comet, el navegador de Perplexity, que comprara un producto en una tienda falsa creada para el experimento. En algunos casos la herramienta se negó o pidió intervención humana; en otros añadió productos al carrito y completó datos ya guardados, como la dirección de envío y el medio de pago. En una segunda prueba, el navegador siguió el enlace de un correo fraudulento que simulaba una comunicación de Wells Fargo y abrió una página de login falsa.

Los propios investigadores advierten que los resultados reflejan el comportamiento observado en el momento del test y no necesariamente el estado actual de esas herramientas. Es un matiz importante: los agentes se parchean rápido, pero también evolucionan rápido.

Envenenamiento SEO: cuando la estafa se posiciona primero

En mayo de 2026, Microsoft publicó una investigación sobre campañas que llevaron esta vieja técnica al terreno de la IA. Los atacantes crearon sitios que imitaban programas legítimos como CrystalDiskInfo, HWMonitor y PDFgear, orientados a usuarios de equipos con tarjetas gráficas de alto rendimiento, y mediante envenenamiento SEO los colocaron entre los primeros resultados de búsqueda.

El informe también recoge reportes de personas que, al pedir a un asistente recomendaciones de descarga, recibieron enlaces a dominios controlados por los atacantes. Los archivos instalaban primero ScreenConnect, una herramienta legítima de acceso remoto usada por administradores de TI, que después servía para desplegar software de minería de criptomonedas. Los investigadores aclaran que sus conclusiones se basan en patrones observados y datos correlacionados, y que el ejemplo de respuesta de chatbot del informe es ilustrativo, no una falla sistémica de una plataforma concreta.

El vector no es exclusivo de software. En 2025, reportes de The Washington Post y Digital Trends documentaron casos en los que los resúmenes de IA de Google mostraban teléfonos incorrectos o fraudulentos para la atención al cliente de algunas empresas. Google dijo estar al tanto y haber corregido parte de los resultados.

Para el comercio electrónico el riesgo es más directo. Según La Razón, una investigación de Ask Silver difundida por The Guardian detectó páginas fraudulentas que replicaban la identidad visual de comercios legítimos como Russell & Bromley o Dunelm y que se colaban en las recomendaciones de compra de ChatGPT. El detalle clave: Russell & Bromley dejó de operar como minorista independiente en enero de 2026, tras declararse en concurso de acreedores, y los atacantes aprovecharon ese vacío de marca.

También conviene mirar el fraude de entrada, no solo el de salida. El informe Threat Insights Report de HP Wolf Security, recogido por ComputerHoy, detectó entre abril y junio de 2026 tres campañas que usaban falsos asistentes de IA para distribuir malware como Needle Stealer, capaz de reemplazar extensiones de monederos cripto como MetaMask, Coinbase Wallet o Trust Wallet por versiones falsas que capturan la contraseña.

Inyección de prompts: cuando la página le da órdenes a tu agente

Hay un riesgo que no depende de que la IA recomiende una dirección falsa. El contenido mismo —una web, un correo, un documento— puede intentar dirigir al agente. Se conoce como inyección de prompts y está documentada en guías de referencia como las de OWASP.

OpenAI describe un escenario en el que un agente encuentra un comentario malicioso durante una búsqueda y recibe instrucciones para obtener un código de recuperación de contraseña y enviarlo a un sitio controlado por atacantes. Guardio Labs documentó una variante llamada PromptFix, con instrucciones escondidas detrás de un CAPTCHA falso que inducen al agente a descargar un archivo.

Los canales se multiplicaron en pocos meses:

EchoLeak (CVE-2025-32711): en 2025, investigadores de Aim Security mostraron cómo un correo con instrucciones ocultas podía inducir a Microsoft 365 Copilot a exponer información interna sin acción del usuario. Microsoft lo corrigió en junio de 2025.
PleaseFix: en una investigación presentada en 2026, Zenity Labs describió instrucciones ocultas dentro de invitaciones de calendario capaces de influir en Comet sin interacción del usuario.
BioShocking: investigadores de LayerX presentaron un ataque que hace creer al agente que está resolviendo un juego para que copie credenciales reales. Según TweakTown, los navegadores y extensiones afectados en el test incluyeron ChatGPT Atlas, Comet, Fellou, Genspark Browser, Sigma Browser y la extensión de Claude en Chrome. Los proveedores fueron notificados entre octubre de 2025 y enero de 2026, y solo OpenAI implementó una corrección que los investigadores consideraron efectiva.
BragJack: el investigador Gal Weizman, de Forever Security, demostró cómo una extensión maliciosa ya instalada puede manipular la conexión entre el modelo y el navegador. Según Fox News, el trabajo generó más de US$20.000 en recompensas y dos CVE, incluida CVE-2026-0628 en el panel de Gemini en Chrome (parcheado) y CVE-2026-55945 en Microsoft Edge.

El giro más reciente es defensivo. Ars Technica reportó en julio de 2026 que investigadores de Tracebit probaron plantar inyecciones de prompts junto a credenciales falsas en entornos de AWS. En 152 ejecuciones de ataque sobre cinco modelos, la técnica redujo la toma de control administrativo del 57% al 5% y el compromiso total del 36% al 1%. El modelo más capaz de la prueba, Opus 4.8, pasó de lograr acceso de administrador en el 93% de las ejecuciones a fallar en todas.

¿Qué dicen OpenAI y Anthropic de sus propios agentes?

Ambas compañías reconocen el problema. El modo agente de ChatGPT incorpora, según OpenAI, solicitudes de confirmación antes de acciones de alto impacto, detección de intentos de manipulación por inyección de prompts y controles extra en sitios sensibles. La empresa aclara que eso no elimina los riesgos y recomienda limitar permisos y evitar operaciones delicadas.

Anthropic describe el mismo fenómeno en Claude en Chrome: sitios, correos y documentos pueden esconder instrucciones para que la IA actúe sin que el usuario lo sepa, por ejemplo borrando archivos o moviendo dinero. En una publicación de noviembre de 2025 reportó avances en sus mecanismos de protección, pero subrayó que el problema está lejos de resolverse y que ningún agente de navegador es inmune.

El contexto macro ayuda a dimensionarlo. Antonio García, CEO de la española Teldat, dijo a RTVE que "los ataques desarrollados por IA ya han superado el 90%" y que en los últimos doce o dieciocho meses se desarrollaron más de 70 aplicaciones de hacking agéntico descargables. Es decir: la barrera de conocimiento, costo, tiempo y escala que protegía a las empresas chicas ya cayó.

¿Qué significa esto para tu startup?

Si vendes online, tu marca es el activo más vulnerable. Un clon con tu identidad visual puede aparecer en la recomendación de un asistente y capturar la compra antes de que el cliente llegue a tu checkout. Si construyes producto con IA, cada documento, correo o invitación que procesa tu agente es una superficie de ataque nueva que antes no existía en tu modelo de amenazas.

Dos movimientos concretos que puedes ejecutar esta semana:

Audita tus permisos de agente. Revisa qué cuentas, carpetas y sesiones tienen alcance tus herramientas de IA. El principio es simple: un agente debe operar en un perfil aislado, sin tarjetas guardadas, sin contraseñas recordadas y sin sesión activa de banca o correo. Exige confirmación explícita antes de cualquier acción con impacto económico.
Limpia extensiones de navegador y monitoriza tu marca. Según Fox News, el ataque de BragJack requería una extensión maliciosa ya instalada: es el eslabón más fácil de cortar. Abre el gestor de extensiones, elimina lo que no reconozcas o no uses y revisa los permisos de lo que quede. En paralelo, busca tu marca en las respuestas de los principales asistentes y reporta los dominios clonados por los canales oficiales y de abuso.

Conclusión

La IA no creó un tipo nuevo de estafa: escaló las que ya existían. El envenenamiento SEO y la inyección de prompts llevan años documentados en el mundo de la búsqueda y el correo; lo que cambió es que ahora un agente puede ejecutar la estafa de principio a fin, sin que nadie lea la página antes de pagar.

Para un founder, la lectura práctica es doble. Por un lado, si tu producto usa agentes, la seguridad deja de ser un tema de infraestructura y pasa a ser parte de la experiencia de usuario: confirmaciones, permisos acotados y transparencia sobre lo que el agente va a hacer. Por el otro, la supervisión humana sigue siendo el control más barato y más efectivo que tienes. Antes de introducir datos o aprobar un pago, verifica el dominio, entra por la app o la dirección oficial y mira qué está haciendo el agente. La comodidad no debería costarte la cuenta bancaria.