ESET alerta: agentes de IA también caen en webs falsas

Cómo la IA se convirtió en la nueva puerta de entrada a una web falsa

Dos de cada tres personas (66%) en 21 países ya usaron una herramienta o aplicación de IA en los últimos doce meses, según la encuesta que Ipsos realizó para Google y que retoma ESET Latinoamérica en su más reciente advertencia de seguridad. Ese número esconde el problema de fondo: cuando un asistente recomienda un enlace, el enlace hereda la credibilidad del asistente.

La advertencia de ESET apunta al cruce de dos hábitos que ya son rutina. Por un lado, asistentes que buscan y resumen información por nosotros. Por el otro, agentes integrados en el navegador que además abren enlaces, hacen clic, descargan archivos y completan formularios en nombre del usuario. La comodidad es real. La superficie de ataque también.

¿Por qué los agentes de IA son más riesgosos que un chatbot?

La diferencia no está en el modelo, está en lo que el sistema puede hacer después de leer.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Un asistente de búsqueda consulta páginas y resume su contenido. Su riesgo principal es que devuelva información incorrecta o un enlace fraudulento. Un agente de navegador va un paso más allá: navega, hace clic, descarga y completa acciones en nombre del usuario.

Los fabricantes suelen pedir confirmación antes de ejecutar lo que consideran acciones de alto riesgo, según ESET. El punto crítico aparece después de acceder al sitio. Leer una página fraudulenta deriva en desinformación o engaño. Interactuar con ella puede terminar en pérdidas económicas o en la exposición de datos personales.

Envenenamiento SEO e inyección de prompts: las dos técnicas documentadas

Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica, lo plantea con precisión: «Aunque todavía no existen pruebas de que las estafas a través de chatbots sean un fenómeno, se documentaron dos técnicas conocidas».

La primera es el envenenamiento SEO. Consiste en posicionar páginas fraudulentas entre los primeros resultados de búsqueda. El truco es viejo, pero su alcance cambió: muchos asistentes construyen sus respuestas con lo que encuentran posicionado, así que la manipulación del ranking contamina también la recomendación del chatbot.

La segunda es la inyección de prompts. Instrucciones ocultas dentro de páginas web, correos o documentos que el agente interpreta como órdenes legítimas del usuario. Pueden estar en texto invisible o en elementos diseñados para pasar desapercibidos ante un lector humano, y aun así ser procesadas por la IA.

¿Puede un agente descargar malware creyendo que resuelve un CAPTCHA?

Sí, y ya hay casos documentados por los propios fabricantes y por laboratorios independientes.

OpenAI describe un escenario en el que un agente encuentra un comentario malicioso durante una búsqueda y recibe instrucciones para obtener un código de recuperación de contraseña y enviarlo a un sitio controlado por atacantes.

Guardio Labs documentó una variante llamada PromptFix: instrucciones ocultas detrás de un CAPTCHA falso inducen al agente a hacer clic en un botón y descargar un archivo. En las pruebas de los investigadores el archivo era inofensivo, pero en un escenario real podría tratarse de malware. La IA cree que está resolviendo una verificación de seguridad cuando en realidad está interactuando con un sitio de phishing.

Zenity Labs describió en una investigación presentada en 2026 una clase de vulnerabilidades bautizada PleaseFix, en la que instrucciones escondidas dentro de una invitación de calendario lograban influir en el comportamiento de Comet, el agente de Perplexity, sin interacción del usuario. El riesgo real, según los investigadores, aparece cuando la instrucción maliciosa se mezcla con una tarea legítima hasta parecer un paso necesario para completarla.

De ahí la conclusión de Micucci: las instrucciones engañosas ya no tienen que estar en una página web. También pueden esconderse en correos, documentos, invitaciones de calendario o enlaces compartidos en redes sociales.

El vector que no depende de la web: imágenes y pull requests

El ecosistema de desarrollo de software se volvió un blanco especialmente productivo para estas técnicas.

Investigadores de la Universidad de Missouri-Kansas City construyeron Ghostcommit, un pull request que roba los secretos de un repositorio escondiendo la instrucción maliciosa dentro de un archivo PNG que los revisores automáticos nunca abren, según documentó BleepingComputer. El archivo AGENTS.md del proyecto apunta a la imagen; cuando un agente de código la lee, abre el .env y escribe las claves como una lista de números aparentemente inocua. En una prueba de extremo a extremo, Cursor operando con Claude Sonnet emitió 311 enteros que decodificaban byte a byte el archivo completo de credenciales.

El mismo medio reporta un dato que explica la escala del agujero: en un análisis de 6.480 pull requests de los 300 repositorios públicos más activos durante 90 días, el 73% llegó a la rama principal sin revisión humana sustantiva ni revisión de un bot.

El otro caso es de libro. Un desarrollador reportó un fallo en el agente de código abierto Cline (identificado como GHSA-9ppg-jx86-fqw7) que permitía saltarse las protecciones del sistema mediante inyección de prompts, y un atacante lo explotó para instalar OpenClaw en los equipos de quienes habían instalado la versión 2.3.0, según Europa Press. La vulnerabilidad duró unas ocho horas hasta que se publicó la versión 2.4.0. OpenClaw no es en sí mismo un programa malicioso: el problema fue la vía de entrada.

¿Qué tan expuestos están hoy los modelos?

El diagnóstico del sector no es uniforme, y ahí está la información útil.

OWASP mantiene la inyección de prompts en el primer lugar de su ranking de vulnerabilidades para sistemas GenAI/LLM por tercer año consecutivo, según SD Times. Esta edición cruzó el voto de expertos con una base de cerca de 10.000 incidentes reales de seguridad en IA. Steve Wilson, cochair del proyecto, resume el hallazgo de fondo: los modelos no distinguen entre datos e instrucciones, y no existe un parche definitivo como el de una inyección SQL.

Ese mismo ranking vio subir la agencia excesiva del sexto al tercer puesto: dar a un agente más permisos o funciones de los necesarios para su tarea. Wilson lo atribuye directamente a la prisa por implementar IA, que llevó a abandonar controles de gobernanza y validación que las organizaciones ya tenían antes.

Del lado de los modelos, TechRepublic recogió las cifras de la system card de GPT-5.6, actualizada el 3 de agosto: un 0,05% de fallos ante ataques directos generados por el sistema automatizado de red teaming de OpenAI, pero tasas de éxito de 3,77%, 3,32% y 2,94% en las pruebas de inyección indirecta, es decir, la que llega escondida en correos, webs, archivos o repositorios. La lectura para un founder es clara: el ataque frontal está bastante contenido; el vector indirecto sigue abierto.

El contexto de amenaza también se movió. Antonio García, CEO de la española Teldat, declaró a RTVE que en los últimos 12 a 18 meses se desarrollaron más de 70 aplicaciones de hacking agéntico, y describió el efecto sobre las empresas pequeñas: quien antes no era un objetivo atractivo para un atacante profesional ahora sí lo es, porque una campaña automatizada bajó las barreras de conocimiento, coste, tiempo y escala.

Hay algo de esperanza en el frente defensivo. La firma Tracebit publicó resultados de una técnica llamada context bombing, que mete en trampas de seguridad fragmentos de texto que disparan los propios filtros de rechazo del modelo atacante. En pruebas contra cinco modelos en un entorno simulado de AWS, los ataques que lograban acceso de administrador cayeron del 57% al 5%, según reportó WWWhat’s New.

Qué significa esto para tu startup

La conclusión práctica no es dejar de usar IA. Es aceptar que cada documento, correo o página que tu agente lee es una entrada no confiable, y diseñar en consecuencia.

Si tu equipo ya trabaja con agentes de código o navegadores con IA, el riesgo dejó de ser teórico. Un .env filtrado por un PNG en un pull request, o un agente instalando software por una instrucción inyectada, son incidentes con nombre y fecha. Y si tu producto es un agente, la seguridad dejó de ser un tema de infraestructura para volverse una característica del producto que vendes.

Hay además un riesgo reputacional que casi nadie factura. En 2025, reportes de The Washington Post y Digital Trends documentaron casos en los que los resúmenes de IA de Google mostraban números telefónicos incorrectos o fraudulentos para la atención al cliente de algunas empresas. Google dijo estar al tanto y haber corregido parte de los resultados. Traducido a tu negocio: si tu asistente da un teléfono de soporte equivocado, la marca que paga la crisis eres tú, no el proveedor del modelo.

Medidas de protección que puedes aplicar esta semana

ESET comparte una lista de hábitos que se pueden implementar sin presupuesto:

Entra a la tienda por la app o escribiendo la dirección oficial, nunca por un enlace sugerido por una IA o un anuncio.
Revisa el dominio antes de introducir cualquier dato. Los cambios de una o dos letras son el patrón más común.
No confíes en la posición del resultado. Los sitios falsos aparecen tanto en anuncios como entre resultados orgánicos.
Audita el anunciante: en Google, haz clic en los tres puntos junto al resultado para abrir el centro de anuncios y ver quién paga.
Desconfía de tiendas recién creadas, con precios muy por debajo del mercado y con Pix como única forma de pago.
Usa un perfil de navegador separado para la IA, sin tarjetas, contraseñas guardadas ni inicio de sesión automático en correo o banca. Exige confirmación antes de cada acción y lee qué hará el agente antes de aprobar.
Limita el acceso a carpetas y no le pidas que abra enlaces, archivos, correos o invitaciones de fuentes desconocidas.
Revisa las extensiones del navegador y elimina las que no uses, sobre todo las que piden acceso amplio a los sitios que visitas.

Para quienes construyen agentes, la guía de OWASP que resume TechRepublic agrega tres reglas técnicas: tratar todo contenido externo como dato no confiable, dar al agente solo las herramientas y permisos que su tarea requiere, y verificar cada llamada a herramienta contra la autorización del usuario autenticado. Las aprobaciones humanas deberían seguir siendo obligatorias para pagos, uso de credenciales, exportación de datos, cambios de acceso y operaciones destructivas. Los registros de llamadas a herramientas importan tanto como el modelo.

Conclusión

El resumen final de Micucci funciona como hoja de ruta: «Los asistentes de IA siguen siendo útiles para investigar y comparar, pero amplían la superficie de ataque: cada página, correo electrónico o documento que lee una IA puede convertirse en una vía para la estafa». La supervisión humana no es una limitación de la herramienta, es la última capa de control. Antes de introducir datos o confirmar un pago, verifica el dominio, entra por el canal oficial y, si un agente actúa en tu nombre, lleva registro de lo que hace.