Los asistentes de IA pueden recomendar enlaces y los agentes incluso navegar e interactuar con sitios web en nombre del usuario. Sin embargo, desde ESET Latinoamérica advierten que ambos pueden terminar conduciendo a páginas fraudulentas.
Para muchas personas, consultar un asistente de inteligencia artificial ya es tan habitual como hacer una búsqueda en internet. Estas herramientas están evolucionando rápidamente y no se limitan a responder preguntas: también buscan información en la web, recomiendan páginas y, en algunos casos, interactúan directamente con ellas. Los agentes de IA integrados en navegadores pueden abrir enlaces, navegar por sitios, hacer clic e incluso completar determinadas acciones en nombre del usuario. ESET Latinoamérica, compañía líder en detección proactiva de amenazas, advierte que, si bien esta capacidad aporta comodidad, también introduce nuevos riesgos y explica cómo los ciberdelincuentes pueden aprovechar asistentes y agentes de IA mediante resultados de búsqueda manipulados, sitios web maliciosos e instrucciones ocultas en distintos tipos de contenido.
Existe además otro riesgo que no depende de que la IA recomiende una dirección falsa. Cuando un agente de IA procesa una página, un mensaje o un archivo, puede interpretar instrucciones ocultas como si se tratara de órdenes legítimas del usuario. Este tipo de ataque se conoce como inyección de prompts prompt injection) y está documentado en guías de referencia como las de OWASP. Estas instrucciones pueden permanecer ocultas para las personas, por ejemplo, mediante texto invisible o elementos diseñados para pasar desapercibidos, pero seguir siendo interpretadas por la IA.
OpenAI menciona como ejemplo un escenario en el que un agente encuentra un comentario malicioso durante una búsqueda y recibe instrucciones para obtener un código de recuperación de contraseña y enviarlo a un sitio controlado por atacantes. Por su parte, Guardio Labs describió una variante llamada PromptFix, en la que instrucciones ocultas detrás de un CAPTCHA falso inducen al agente a hacer clic en un botón y descargar un archivo. En las pruebas realizadas por los investigadores, el archivo era inofensivo, aunque en un escenario real podría tratarse de malware. La IA cree estar realizando una acción legítima, como resolver una verificación de seguridad, cuando en realidad está interactuando con un sitio malicioso o de phishing.
Las invitaciones de calendario también pueden convertirse en un vector de ataque, especialmente contra agentes con capacidad de navegar y actuar por cuenta del usuario. En una investigación presentada en 2026, Zenity Labs describió una clase de vulnerabilidades denominada PleaseFix, en la que instrucciones ocultas dentro de una invitación de calendario lograban influir en el comportamiento de Comet, el agente de Perplexity, sin necesidad de interacción por parte del usuario. Según los investigadores, el verdadero riesgo surge cuando una instrucción maliciosa se mezcla con una tarea legítima hasta parecer un paso necesario para completarla.
“En otras palabras, las instrucciones engañosas ya no tienen por qué presentarse únicamente en una página web. También pueden esconderse en correos electrónicos, documentos, invitaciones de calendario o incluso enlaces compartidos a través de redes sociales.”, agrega el investigador de ESET.
