Malwarebytes advierte que los agentes autónomos de IA exponen a los usuarios de correo a inyecciones de prompts

La empresa de software de ciberseguridad Malwarebytes ha emitido una alerta sobre los riesgos estructurales de seguridad a los que se enfrentan los asistentes automatizados de inteligencia artificial, advirtiendo de que delegar la gestión del correo electrónico en agentes de software autónomos expone a los usuarios a vulneraciones por inyección indirecta de instrucciones («prompt injection»). Según una información publicada el 17 de octubre de 2026 por el periodista tecnológico Victor Tangermann, el despliegue de agentes basados en modelos de lenguaje extenso configurados para analizar la correspondencia electrónica entrante crea un canal directo mediante el cual actores maliciosos pueden eludir tanto los filtros de spam tradicionales como el escepticismo humano. En lugar de engañar a un destinatario humano para que haga clic en un enlace ilícito o revele credenciales, los adversarios elaboran instrucciones maliciosas diseñadas específicamente para ordenar al modelo subyacente que ejecute acciones no autorizadas, extraiga datos confidenciales o eluda las medidas de seguridad integradas.

## Key facts

- El proveedor de software de ciberseguridad Malwarebytes emitió una advertencia técnica detallada destacando las vulnerabilidades de los asistentes autónomos de inteligencia artificial que gestionan el correo electrónico. - La información sobre el análisis fue publicada el 17 de octubre de 2026 por el redactor de tecnología Victor Tangermann. - El mecanismo identificado se basa en la inyección de instrucciones («prompt injection»), donde instrucciones ocultas o antagónicas en un mensaje entrante anulan las reglas del sistema y ordenan directamente al modelo de IA encargado del procesamiento. - El paradigma de vulneración tiene como objetivo las herramientas operativas otorgadas a los agentes de IA, como el reenvío automático de mensajes, el acceso a archivos y la modificación del calendario, sin requerir el engaño directo del usuario. - La vulnerabilidad refleja los riesgos clasificados bajo la entrada LLM01 en el marco del Open Worldwide Application Security Project (OWASP) para aplicaciones de modelos de lenguaje extenso.

## What happened

En un aviso publicado en su blog técnico oficial, el proveedor de ciberseguridad Malwarebytes describió los mecanismos operativos mediante los cuales los agentes autónomos de software caen víctimas de correos electrónicos engañosos. Según informó Victor Tangermann, el problema fundamental radica en la doble función que los modelos generativos deben equilibrar cuando se les encomienda la gestión de comunicaciones: analizar contenido externo para resumirlo o clasificarlo y, al mismo tiempo, recibir comandos en lenguaje natural sobre cómo comportarse.

Cuando un usuario humano integra un asistente de IA en el flujo de trabajo de su bandeja de entrada, el agente suele recibir permisos para leer texto entrante, generar borradores automáticos, clasificar la urgencia, acceder a libretas de direcciones asociadas y, en ocasiones, activar acciones secundarias como programar reuniones o mover mensajes entre carpetas. Los atacantes explotan esta arquitectura mediante la inyección indirecta de instrucciones. En lugar de redactar textos de ingeniería social destinados a convencer a un empleado para que transfiera fondos bancarios o introduzca credenciales de cuenta en un portal falso, el atacante diseña un correo electrónico con instrucciones dirigidas a la máquina.

Estas entradas adversas pueden incrustarse directamente en el cuerpo del mensaje, ocultarse en un marcado HTML complejo o situarse dentro de documentos adjuntos que el agente de IA debe resumir. Una vez que el sistema automatizado procesa el texto, el modelo de lenguaje tiene dificultades para mantener un límite computacional estricto entre las instrucciones del sistema facilitadas por el operador de la plataforma y las entradas no fiables suministradas por el remitente. Como consecuencia, el agente interpreta las instrucciones incrustadas del atacante como directivas de ejecución autorizadas. Dependiendo de los permisos operativos otorgados al agente, el software puede reenviar conversaciones confidenciales a servidores de terceros, emitir respuestas no autorizadas a colegas internos, eliminar notificaciones de seguridad o buscar archivos confidenciales en el almacenamiento local.

## Why it matters

Los hallazgos subrayan un profundo cambio arquitectónico en la ciberseguridad empresarial, desestabilizando de raíz la doctrina defensiva tradicional basada en la concienciación del usuario y el filtrado en pasarelas de correo. Durante casi tres décadas, las defensas corporativas contra el «phishing» se han fundamentado en una combinación de detección automatizada de firmas —como la verificación de SPF, DKIM y DMARC— y programas de formación de empleados concebidos para que reconozcan dominios anómalos, lenguaje de urgencia y extensiones de archivo sospechosas. Cuando un agente de inteligencia artificial intercepta, resume y actúa sobre los mensajes en nombre del usuario, esta capa humana de validación queda anulada.

Las repercusiones para la seguridad operativa y el cumplimiento de la privacidad en las empresas son graves. Organizaciones de sectores como las finanzas, la sanidad y las infraestructuras críticas han adoptado de forma acelerada herramientas de IA generativa para agilizar el procesamiento de documentos, la gestión de relaciones con clientes y el triaje administrativo. En muchas implementaciones, estos agentes están conectados mediante interfaces de programación de aplicaciones (API) a bases de datos corporativas internas, registros de clientes y sistemas de gestión de identidades. Si un correo electrónico externo puede secuestrar de forma fiable el entorno de ejecución de decisiones de un agente de IA interno, la superficie de ataque se amplía exponencialmente.

Asimismo, la inyección indirecta de instrucciones difumina la frontera entre el consumo de datos y la ejecución de código. En los entornos informáticos tradicionales, los sistemas operativos imponen una separación estricta entre los datos y el código ejecutable para evitar desbordamientos de búfer y la corrupción de memoria. En los modelos neuronales de lenguaje, sin embargo, el lenguaje natural actúa al mismo tiempo como dato de entrada y como conjunto de instrucciones de programación. Hasta que los desarrolladores consigan aislar de forma fiable los datos conversacionales de terceros respecto a las jerarquías de instrucciones internas del agente, el despliegue de agentes autónomos para gestionar flujos de correo entrante creará un canal abierto de vulnerabilidad en los perímetros empresariales.

## The background

Los ataques de inyección de instrucciones cobraron notoriedad generalizada entre los investigadores de seguridad poco después de la proliferación pública de los modelos de lenguaje extenso fundacionales a finales de 2022. Las primeras demostraciones se centraron en la inyección directa de instrucciones —comúnmente conocida como «jailbreaking»—, en la que un usuario directo introducía instrucciones preparadas para inducir al chatbot a infringir sus políticas de moderación de contenidos, generar contenido tóxico o revelar sus directrices de sistema subyacentes. Sin embargo, a mediados de 2023, los profesionales de la seguridad identificaron la categoría, mucho más peligrosa, de la inyección indirecta de instrucciones, donde las directivas maliciosas se introducen en fuentes de datos pasivas —como sitios web, informes en PDF o correos entrantes— que un sistema de IA recupera e interpreta.

Al reconocer la naturaleza sistemática de este riesgo, el Open Worldwide Application Security Project (OWASP) publicó en 2023 su lista de las 10 principales amenazas para aplicaciones de modelos de lenguaje extenso (Top 10), señalando la inyección de instrucciones como su categoría principal, bajo la denominación LLM01. Organismos de seguridad como la Cybersecurity and Infrastructure Security Agency (CISA) de Estados Unidos y el National Cyber Security Centre (NCSC) del Reino Unido han publicado posteriormente directrices conjuntas en las que advierten a los administradores de redes corporativas de que los modelos de lenguaje natural carecen de un mecanismo determinista para separar las señales de control de los datos de entrada.

Al mismo tiempo, la industria del software comercial ha transitado con rapidez de los chatbots conversacionales independientes hacia flujos de trabajo basados en agentes. Las principales suites de productividad empresarial de proveedores como Microsoft, Google y empresas emergentes independientes han integrado agentes capaces de leer comunicaciones de manera autónoma, consultar intranets corporativas y ejecutar acciones en múltiples pasos a través de aplicaciones interconectadas. Si bien esta automatización aporta una notable eficiencia en el entorno laboral, otorga a los modelos de consumo y empresariales acceso de escritura y derechos de ejecución sobre plataformas administrativas fundamentales.

Los proveedores tradicionales de soluciones antiphishing han tenido dificultades para mantener el ritmo. Los datos del Anti-Phishing Working Group (APWG) han registrado incrementos trimestrales continuos de campañas únicas de «phishing» en los últimos años, reforzadas de manera creciente por texto sintético y mecanismos de envío automatizados. El vector de inyección identificado por Malwarebytes se aprovecha de esta evolución, apuntando directamente a los intermediarios automatizados que las empresas desplegaron para mitigar la fatiga administrativa.

## Reaction

La advertencia de Malwarebytes ha vuelto a centrar la atención del sector en la brecha existente entre el lanzamiento de productos comerciales y unos marcos de seguridad sólidos para agentes de IA. Aunque la información inicial no citó respuestas formales de los principales desarrolladores de agentes de consumo, analistas de ciberseguridad empresarial e ingenieros de seguridad en inteligencia artificial debaten activamente estrategias de mitigación en conferencias profesionales y organismos de estandarización.

En los foros técnicos de desarrolladores, el debate se ha centrado en la viabilidad del aislamiento por arquitectura («sandboxing»). Los ingenieros de software sostienen cada vez con más fuerza que a los agentes autónomos no se les debe conceder un acceso universal vía API que les permita tanto leer contenido externo no fiable como escribir en sistemas internos con privilegios dentro del mismo contexto de ejecución. Los analistas del sector prevén que los responsables de compras empresariales exigirán rigurosas evaluaciones de pruebas de equipo rojo («red-teaming») realizadas por terceros antes de permitir que los asistentes de IA accedan a la infraestructura de comunicaciones corporativas.

Se prevé que las autoridades reguladoras que supervisan los estándares de ciberseguridad e inteligencia artificial —incluida la AI Office de la Unión Europea, que opera bajo el calendario de aplicación de la EU AI Act, y el National Institute of Standards and Technology (NIST) de Estados Unidos— aborden los límites de privilegios de los agentes en próximas revisiones de sus marcos de seguridad digital. Organizaciones independientes de defensa del consumidor han reclamado asimismo a los proveedores de software avisos de descargo más claros sobre el grado en que los asistentes automatizados pueden ser manipulados por entradas externas hostiles.

## What we don't know yet

A pesar de la clara demostración de la mecánica de la vulnerabilidad, las publicaciones iniciales dejan sin responder varios interrogantes operativos. De manera crucial, el análisis técnico no precisa la frecuencia exacta de explotación en entornos corporativos reales. Todavía no está claro si grupos de amenazas avanzadas o redes de ciberdelincuencia han aprovechado con éxito la inyección automatizada de instrucciones en condiciones reales para cometer fraudes financieros, o si los hallazgos corresponden a pruebas de concepto controladas llevadas a cabo por investigadores con fines defensivos.

Asimismo, la información no detalla qué modelos de lenguaje específicos, ya sean propietarios o de código abierto, son más vulnerables a estos ataques basados en la bandeja de entrada, ni si las defensas arquitectónicas propietarias —como sistemas de verificación con doble LLM, capas de saneamiento de entradas o restricciones de entrenamiento constitucional— demuestran una eficacia cuantificable para bloquear estos intentos. Tampoco se ha revelado hasta qué punto los principales proveedores de correo electrónico están implementando ya filtros de aprendizaje automático configurados específicamente para eliminar cargas de inyección de instrucciones antes de que los mensajes alcancen a los agentes de usuario.

## What to watch

En los próximos meses, varios indicadores clave permitirán evaluar cómo responde el sector tecnológico a las vulnerabilidades de inyección de instrucciones en los agentes de comunicaciones:

- Actualizaciones técnicas e informes técnicos («white papers») de los principales proveedores de plataformas de trabajo, incluidos Microsoft, Google y desarrolladores de productividad empresarial, detallando si implementarán barreras estructurales como aprobaciones con intervención humana («human-in-the-loop») para acciones delicadas de los agentes. - Actualizaciones del OWASP Top 10 para modelos de lenguaje extenso y documentos de orientación del National Institute of Standards and Technology (NIST) que aborden los límites de ejecución de los agentes y los estándares de aislamiento entre entradas y salidas. - Informes de inteligencia de amenazas de organizaciones de respuesta a incidentes, que indicarán si grupos de amenazas persistentes avanzadas (APT) u operadores de «ransomware» han adoptado la inyección automatizada de instrucciones como vector inicial de intrusión. - Anuncios de nuevos productos por parte de proveedores especializados en seguridad de correo electrónico que ofrezcan capas dedicadas de inspección en tiempo de ejecución para sanear el texto antes de entregarlo a los agentes automatizados.

Este informe se basa en la cobertura original publicada por el periodista tecnológico Victor Tangermann el 17 de octubre de 2026, que detalló los análisis de vulnerabilidades de seguridad difundidos por la firma de software de ciberseguridad Malwarebytes.