Cómo los hackers convierten a los agentes de IA en un arma contra los usuarios

Cada vez que la industria de la inteligencia artificial da un paso adelante, los atacantes dan el suyo. Un nuevo análisis publicado en Habr recorre la evolución de los sistemas de IA, desde los primeros modelos de lenguaje hasta los agentes multimodales, y muestra cómo en cada etapa surgieron amenazas de ciberseguridad radicalmente nuevas. La tesis principal de los autores es inquietante, pero previsible: cuanta más autonomía gana la IA, más peligrosas se vuelven sus vulnerabilidades.

La historia empezó de forma relativamente inofensiva. Cuando aparecieron los grandes modelos de lenguaje, los principales problemas eran las alucinaciones y las filtraciones de datos de los conjuntos de entrenamiento. A los usuarios les preocupaba que un chatbot revelara información personal ajena o generara código malicioso. Esos riesgos no han desaparecido, pero junto a ellos ha crecido algo mucho más grave. Los sistemas de IA actuales ya no son simples generadores de texto. Procesan imágenes y voz, interactúan con servicios externos, toman decisiones y ejecutan cadenas de acciones sin intervención humana. Precisamente esa autonomía los ha convertido en un objetivo atractivo para una nueva generación de ciberataques.

Los autores del estudio aportan ejemplos concretos que invitan a la reflexión. El agente Deep Research de OpenAI, diseñado para el análisis profundo de información en internet, resultó vulnerable a ataques que permiten acceder de forma inadvertida al correo electrónico del usuario. El mecanismo explota la propia naturaleza del agente: puede abrir enlaces, procesar el contenido de páginas web e interactuar con servicios. Al atacante le basta con preparar una página especialmente diseñada, con instrucciones maliciosas camufladas en el contenido, y el agente, al procesarla, puede ejecutar acciones que benefician al atacante y no al usuario.

La situación de los navegadores con IA es aún más preocupante. Son sistemas capaces de navegar por internet por sí solos, rellenar formularios y realizar transacciones. Los investigadores demuestran que estos sistemas son susceptibles a vulnerabilidades que permiten ejecutar acciones arbitrarias en páginas web en nombre del usuario. En la práctica, esto significa que un atacante puede hacer que un navegador con IA abra un enlace de phishing, introduzca datos en un sitio falso o incluso pague en una tienda online falsa. El usuario puede no sospechar nada, ya que delegó las tareas rutinarias en el agente precisamente para no supervisar cada paso.

La raíz del problema está en la arquitectura de los transformers y en la manera en que los modelos actuales procesan los datos de entrada. Los transformers no distinguen entre fuentes de información fiables y no fiables. Para el modelo, una instrucción del usuario y el texto de una página web maliciosa pasan por el mismo mecanismo de atención. Esto hace posibles los llamados ataques de prompt injection, en los que el atacante incrusta instrucciones maliciosas en el contenido que el agente procesa mientras realiza una tarea. El modelo las toma por legítimas y las sigue, con lo que en la práctica cede el control del agente al atacante.

Las consecuencias para la industria son difíciles de exagerar. Las empresas incorporan agentes de IA de forma masiva a sus procesos de negocio y les dan acceso al correo corporativo, a sistemas CRM y a herramientas financieras. Si un agente puede ser comprometido mediante el procesamiento de contenido externo, el peligro no afecta solo a usuarios individuales, sino a organizaciones enteras. Además, las defensas tradicionales, como los antivirus y los cortafuegos, no están pensadas para esta clase de ataques, porque la actividad maliciosa no procede de software externo, sino de una herramienta de IA de confianza que actúa dentro de sus atribuciones habituales.

Los desarrolladores de sistemas de IA, por supuesto, son conscientes de estos riesgos. OpenAI, Google y Anthropic invierten en mecanismos de protección: filtrado de prompts, separación de niveles de acceso y confirmación por parte del usuario de las acciones críticas. Sin embargo, la carrera entre las capacidades de los agentes y los métodos para protegerlos no se está inclinando, por ahora, a favor de la seguridad. El mercado exige agentes cada vez más autónomos y funcionales, y cada nueva capacidad es un posible vector de ataque.

La industria ha llegado a un momento decisivo. Antes de entregar a los agentes de IA las llaves de nuestra vida digital, conviene asegurarse de que las cerraduras son fiables. Por ahora, esa certeza no la tienen ni los investigadores, ni los desarrolladores, y menos aún los usuarios, que, por comodidad, se arriesgan a ser víctimas de ataques cuya existencia ni siquiera sospechan.