Usar un asistente de inteligencia artificial para navegar, buscar información o completar tareas en línea ya no es una práctica marginal: el 66% de las personas en 21 países ha utilizado alguna herramienta de IA en el último año, según encuestas recientes. Esa adopción masiva ha abierto un vector de ataque que los ciberdelincuentes están comenzando a explotar de forma sistemática.

El riesgo no es idéntico en todos los tipos de asistentes. Los que resumen contenido web pueden exponer al usuario a información incorrecta o enlaces engañosos. Los agentes con capacidades de acción —que abren enlaces, hacen clic, descargan archivos y completan formularios en nombre del usuario— tienen el potencial de generar pérdidas económicas o comprometer datos personales sin que el usuario lo perciba en tiempo real.

Dos técnicas documentadas que ya operan en el entorno real

Investigadores de seguridad han identificado dos métodos específicos con casos verificables.

El primero es el envenenamiento SEO: posicionar páginas fraudulentas entre los primeros resultados de búsqueda para que los asistentes de IA las incorporen como fuentes válidas en sus respuestas. En 2025, los resúmenes de IA de Google mostraron números telefónicos incorrectos o fraudulentos para el servicio de atención al cliente de varias empresas. Google reconoció la situación y anunció medidas correctivas.

El segundo es la inyección de prompts: instrucciones ocultas dentro de páginas web, correos electrónicos, documentos o invitaciones de calendario que el agente interpreta como órdenes legítimas del usuario. Este tipo de ataque está documentado en las guías de referencia de OWASP. OpenAI ha descrito un escenario en el que un agente encuentra un comentario malicioso durante una búsqueda y recibe instrucciones para extraer un código de recuperación de contraseña y enviarlo a un servidor controlado por atacantes. Guardio Labs, por su parte, ha descrito una técnica llamada PromptFix, que oculta instrucciones detrás de un CAPTCHA falso para inducir la descarga de archivos.

El vector se extiende más allá de las páginas web

En una investigación presentada en 2026, Zenity Labs describió una clase de vulnerabilidades denominada PleaseFix, donde instrucciones ocultas dentro de una invitación de calendario lograban influir en el comportamiento de Comet, un agente de Perplexity, sin requerir ninguna interacción del usuario. El hallazgo amplía el perímetro de exposición: las instrucciones engañosas ya no necesitan estar alojadas en una página web para activarse.

Esta evolución tiene implicaciones directas para cualquier organización que haya integrado agentes de IA en flujos de trabajo que involucren correo electrónico, calendarios o navegación web. La superficie de ataque se extiende a cualquier contenido que el agente procese, independientemente de su origen.

Medidas de mitigación para entornos con agentes activos

Las recomendaciones técnicas para reducir la exposición incluyen:

  • Acceder a sitios de comercio o servicios escribiendo la dirección directamente en el navegador, sin depender de resultados sugeridos por asistentes.
  • Verificar el dominio antes de ingresar credenciales o datos sensibles.
  • No asumir que la posición en los resultados —incluidos anuncios— garantiza legitimidad.
  • Operar agentes de IA desde un perfil de navegador aislado, sin tarjetas de pago ni contraseñas guardadas.
  • Configurar los agentes para requerir confirmación explícita antes de ejecutar cualquier acción, incluso las clasificadas como de bajo riesgo.

La combinación de adopción acelerada y marcos de seguridad aún en desarrollo convierte este escenario en una prioridad de gestión de riesgo para cualquier organización que dependa de herramientas de IA para operaciones cotidianas.