¿Dejaste que un agente de IA se encargara de tu rutina diaria? Ya vació tus cuentas comprando en marketplaces y mandó spam a todos tus contactos

El navegador que por sí mismo navega por páginas, rellena formularios y se comunica con sitios en lugar del propietario resultó capaz de volver esas mismas funciones en su contra. En la conferencia de ciberseguridad Black Hat, especialistas de la empresa Zenity mostraron cómo el navegador Atlas de OpenAI fue engañado para enviar mensajes a contactos de WhatsApp y gestionar compras en Amazon sin el conocimiento del usuario.

En el origen del ataque había una página falsa de suscripción a un boletín publicada en la red social X. Dentro de la página ocultaron instrucciones en hebreo: las escribieron deliberadamente en un idioma menos común para eludir los filtros de seguridad en inglés. Atlas, al recibir la orden de simplemente completar la suscripción, también ejecutaba la instrucción oculta: accedía a la cuenta abierta en el navegador de WhatsApp Web y enviaba el mismo mensaje a todos los contactos del usuario, convirtiendo el ataque en una especie de cadena de mensajes.

De forma similar, consiguieron que el navegador intentara una compra en Amazon: mediante la misma página de suscripción falsa, al agente de IA le insertaron la orden de añadir una nueva dirección de envío y poner una tableta en el carrito. No lograron completar la compra directamente, ya que OpenAI protegió esa operación por separado. Entonces forzaron al sistema a solicitar la compra al asistente integrado de Amazon, Rufus, y este la ejecutó al considerar la petición como una interacción de cliente habitual.

Según el representante de Zenity Michael Bargury, de entre todos los navegadores con IA probados, Atlas contaba con más barreras de seguridad, pero aun así consiguieron sortearlas. Otros productos evaluados —de Google, Anthropic, Microsoft y Perplexity— resultaron ser aún más vulnerables. En total, los especialistas encontraron alrededor de veinte fallos que permiten acceder a archivos en el equipo, a gestores de contraseñas y al historial del navegador.

Zenity comunicó los hallazgos a OpenAI ya en enero. La compañía confirmó que luego reforzó la protección de Atlas y que aplicó las mismas medidas a las funciones de navegador en la aplicación ChatGPT. La propia compañía dejará de mantener Atlas el 9 de agosto. Como alternativa, OpenAI ofrece a los usuarios la aplicación de escritorio ChatGPT o la extensión para Chrome.

En Zenity subrayan que los ataques descritos se basan en la sustitución de instrucciones dentro de páginas que parecen normales, por lo que confiar únicamente en las comprobaciones integradas de la IA no es suficiente: se necesitan restricciones más estrictas, que no dependan del criterio del propio modelo, sobre qué acciones y con qué nivel de acceso puede ejecutar el navegador de forma automática.