Tu empleado ya usa un navegador con IA para hacer gestiones: esto es lo que puede salir mal

ChatGPT Atlas, el navegador con IA de OpenAI, y Comet, el de Perplexity, ya no se limitan a responder preguntas sobre lo que ves en pantalla: pueden rellenar formularios, comparar precios, completar una compra o leer tu correo, actuando con tu sesión iniciada en cada sitio. Es una comodidad real, y por eso cada vez más gente —también en entornos de trabajo— los usa para ahorrarse tareas repetitivas. Lo que no suele saberse antes de instalarlos es que varios investigadores de seguridad independientes ya han documentado formas concretas de secuestrar esas acciones sin que el usuario se entere.

Un chatbot normal lee lo que escribes y te responde con texto; en el peor de los casos, te da una respuesta mala. Un navegador con IA es otra categoría de cosa: tiene permiso para actuar con las cuentas en las que ya has iniciado sesión —tu correo corporativo, tu banco, tu CRM, el panel de tu proveedor— y para tomar decisiones por su cuenta dentro de esa sesión: a qué hacer clic, qué formulario rellenar, qué compra confirmar. Eso convierte cualquier fallo del agente, o cualquier contenido manipulado que el agente "lea" mientras navega, en algo con consecuencias reales y no solo en una mala respuesta.

En octubre de 2025, varios medios especializados en seguridad —entre ellos The Hacker News— describieron "CometJacking", un ataque contra el navegador Comet de Perplexity en el que bastaba un único clic en un enlace manipulado para que el agente, sin que el usuario lo notara, extrajera datos de sus cuentas conectadas. Brave, que investigó el mismo navegador por su cuenta, encontró que una página podía esconder instrucciones capaces de llevar al agente a leer correo o acceder a sesiones bancarias del usuario sin su consentimiento explícito. Sobre Atlas, de OpenAI, se han reportado técnicas para ocultar comandos dentro de páginas —texto blanco sobre fondo blanco, comentarios en el código HTML, trucos de CSS— que el agente puede interpretar como instrucciones del usuario en lugar de como contenido de una web cualquiera; OpenAI ha cuestionado el alcance de alguno de estos hallazgos concretos, así que conviene no dar por buena cualquier variante del ataque que se difunda sin confirmar. Lo que ya no está en duda, porque lo dicen las propias compañías, es la categoría del problema: tanto OpenAI como Perplexity han reconocido públicamente que la inyección de prompts sigue siendo, a día de hoy, un problema de seguridad sin resolver en toda la industria, no un fallo puntual de su producto.

La idea de fondo es sencilla de entender aunque suene técnica: el agente no distingue siempre bien entre "lo que me ha pedido mi usuario" y "texto que hay en la página que estoy leyendo ahora". Si una página web, un correo o un documento contiene una instrucción escondida —aunque esté en una fuente invisible o camuflada en el código—, un agente mal protegido puede llegar a tratarla como si viniera de la persona que lo está usando, y actuar en consecuencia: visitar otra página, copiar datos, enviar un formulario. No hace falta que el usuario haga nada raro; basta con que el agente visite, en su nombre, un sitio que un atacante ha preparado para eso.

Esto no es alarmismo nuestro: Gartner, la consultora tecnológica, ha llegado a recomendar directamente bloquear el uso de navegadores con IA en el entorno corporativo mientras este problema siga sin resolverse de forma fiable, señalando la inyección de prompts, las acciones erróneas del propio agente y el robo de credenciales vía sitios de phishing como los tres riesgos concretos detrás de esa recomendación. Es una postura más estricta que la que suele verse en este tipo de informes, y una señal de hasta qué punto se considera que el problema todavía no está resuelto, ni por OpenAI ni por Perplexity.

La tentación, leído lo anterior, es prohibir estas herramientas sin más. En la práctica casi ninguna empresa lo hace así: según datos de ESET recogidos por prensa del sector, solo una minoría muy pequeña de organizaciones mantiene una prohibición total sobre este tipo de herramientas de IA, mientras que la gran mayoría opta por marcos de uso definidos o, directamente, deja la decisión en manos de cada empleado sin ninguna política formal. Y es la misma conclusión a la que ya llegamos en este blog al hablar de shadow AI: prohibir sin ofrecer una alternativa casi nunca elimina el uso, solo lo empuja fuera de la vista de nadie, que es justo el escenario donde un ataque como estos tarda más en detectarse.

No hace falta un comité de seguridad para empezar. Tres cosas concretas, con sentido incluso antes de tener una política formal: que el navegador con IA nunca tenga una sesión de banca o de pagos de la empresa iniciada mientras "navega" de forma autónoma por páginas que no has verificado tú mismo; que no se use con el correo corporativo que recibe facturas, contratos o datos de clientes, al menos hasta que confíes en que el proveedor ha resuelto estos fallos concretos y no solo lo dice en su web; y que cualquier acción irreversible —una compra, un envío de datos, una confirmación— la revise una persona antes de ejecutarse, no el agente solo. Es el mismo principio de "supervisión humana en lo irreversible" que ya defendimos al hablar de qué significa tener control real sobre un agente de IA, aplicado aquí a una herramienta que mucha gente todavía no piensa como un agente, sino como "un navegador con un chat al lado".

Cuando construimos un agente de IA para un cliente, el principio de fondo es el mismo que explica por qué estos navegadores fallan cuando fallan: cualquier contenido que el agente lea desde fuera —una página web, un correo, un documento que no ha escrito tu propio equipo— lo tratamos como información que hay que verificar, nunca como una instrucción que el agente deba obedecer sin más. Es la misma lógica que ya aplicamos al diseñar qué puede y qué no puede hacer un agente sin supervisión, documentada por escrito desde el primer día, como explicamos en nuestro artículo sobre garantías reales al contratar software o IA.

Si en tu empresa ya hay quien usa un navegador con IA para gestiones con cuentas reales —banca, correo corporativo, proveedores— y no tienes del todo claro qué puede y qué no puede hacer sin que nadie lo revise, es exactamente el tipo de pregunta que planteamos en la fase de análisis, antes de proponer nada nuevo.