Agentes de IA que navegan y compran por ti: qué permisos les das y cómo evitar que actúen por otro
Los agentes de inteligencia artificial capaces de navegar por internet pueden buscar productos, comparar precios, rellenar formularios y completar compras en nombre del usuario. También pueden leer correos, consultar documentos y operar dentro de las sesiones abiertas en el navegador. El problema es que no siempre distinguen entre una orden legítima y una instrucción maliciosa escondida en el contenido que están procesando.
Este riesgo se conoce como inyección de instrucciones o prompt injection. Las compañías que desarrollan estos sistemas reconocen que ningún agente de navegador es completamente inmune. Por eso, antes de delegar tareas con acceso a cuentas, pagos o información personal, conviene entender qué puede hacer el agente y qué límites siguen siendo necesarios.
Qué es una inyección de instrucciones
El ataque consiste en introducir órdenes maliciosas dentro de una página web, un correo electrónico, un documento, una imagen o cualquier otro contenido que el agente de IA pueda leer. El sistema interpreta esas órdenes como parte de la información que debe procesar y puede llegar a ejecutarlas.
Por ejemplo, una persona podría pedir al agente que busque el mejor precio para un producto. Mientras navega, el sistema encuentra una página que contiene una instrucción oculta para ignorar la petición original, acceder al correo del usuario o enviar información a un tercero. Si el agente no identifica el intento de manipulación, podría seguir esa orden.
La amenaza no siempre es visible para una persona. Una instrucción puede estar escrita con el mismo color que el fondo de una web, escondida en el código, incluida en los metadatos de una imagen o redactada de forma que el usuario vea una reseña normal mientras el modelo procesa un mensaje diferente.
Dos formas de manipular a un agente
La inyección directa aparece cuando el atacante introduce la orden en la interacción con el propio usuario. Puede tratarse de un mensaje diseñado para hacer que el sistema revele información, cambie de objetivo o ignore sus reglas.
La inyección indirecta es más preocupante en los agentes de navegador. En este caso, la instrucción está dentro de una fuente externa que el sistema visita o consulta, como una tienda online, un correo, un PDF o una imagen. El usuario no ha pedido al agente que siga esa orden, pero el modelo puede confundirla con una instrucción válida.
Los expertos en seguridad consideran este problema uno de los principales riesgos de las aplicaciones basadas en modelos de lenguaje. A diferencia de una inyección SQL, en la que se puede separar técnicamente el código de los datos, los modelos de lenguaje procesan instrucciones y contenido dentro de un mismo contexto. Para ellos, ambos pueden presentarse como texto con significado.
Por ese motivo, no existe una barrera perfecta que garantice que el modelo obedecerá siempre al usuario y nunca a una orden escondida en una página. Las defensas reducen la probabilidad del ataque y limitan sus consecuencias, pero no lo eliminan por completo.
Qué permisos tiene realmente un agente de navegador
El agente suele operar con los mismos permisos que el navegador en el que está instalado. Si la sesión está abierta en una tienda, puede ver el contenido disponible para esa cuenta. Si el usuario permanece conectado al correo, a una plataforma de trabajo o a otros servicios, el agente puede tener acceso a esas páginas cuando sus funciones lo permitan.
El riesgo aumenta cuando hay métodos de pago guardados, direcciones almacenadas, documentos privados o cuentas bancarias accesibles desde el navegador. En la práctica, hay que valorar el sistema como si un atacante pudiera utilizar todas las herramientas que el agente tiene a su alcance.
Además, los conectores que enlazan la IA con aplicaciones externas amplían la superficie de ataque. Tecnologías como el Model Context Protocol permiten conectar asistentes con servicios, datos y herramientas, pero cada integración añade otra vía que una instrucción maliciosa podría intentar utilizar.
Frenos útiles, pero no infalibles
Los fabricantes han incorporado distintas medidas de seguridad. Entre ellas se encuentran las confirmaciones antes de enviar mensajes o realizar pagos, los avisos cuando una página intenta cambiar el objetivo de la tarea y los límites para acceder a datos sensibles.
También pueden bloquear determinadas acciones, pedir autorización para abrir nuevas páginas o impedir que el agente complete una compra sin una intervención explícita. Estas barreras son importantes, aunque un usuario puede desactivarlas por comodidad o aceptar una solicitud sin comprender su alcance.
Algunas empresas han publicado pruebas internas en las que sus sistemas detectan la mayoría de los intentos conocidos. Sin embargo, esas cifras proceden normalmente de laboratorios propios y no equivalen a una auditoría independiente. Además, un porcentaje de fallos aparentemente pequeño puede ser relevante si el agente visita cientos de páginas durante una sola sesión.
Cinco hábitos para reducir el riesgo
- No permitas compras automáticas. Configura el agente para que busque y compare, pero exige una confirmación humana antes de añadir productos al carrito, introducir datos de pago o finalizar el pedido.
- Evita usarlo con el banco o el correo principal. Cierra esas sesiones o utiliza un perfil de navegador separado, sin tarjetas guardadas ni acceso a información especialmente sensible.
- Revisa cada acción antes de aprobarla. Comprueba la dirección web, el destinatario, el importe, los permisos solicitados y los datos que el agente pretende compartir.
- Limita las conexiones. Concede únicamente los accesos imprescindibles y revisa periódicamente las extensiones, aplicaciones y conectores vinculados al agente.
- Trata el contenido web como potencialmente hostil. Una instrucción que aparezca en una página, un correo o una imagen no debe considerarse una orden válida solo porque el agente la haya leído.
La automatización puede resultar útil para tareas de bajo riesgo, como localizar ofertas, resumir características o preparar una lista de productos. Pero delegar una compra completa implica entregar al sistema capacidad para actuar, no solo para responder.
Hasta que las tasas de éxito de estos ataques se midan de forma independiente y existan controles más sólidos, la opción prudente es utilizar los agentes como asistentes supervisados. Pueden ahorrar tiempo al buscar y comparar, pero conviene mantener fuera de su alcance la tarjeta, el banco y cualquier decisión que no pueda deshacerse.
