Un correo bastó para que el agente Manus ejecutara código

Investigadores de Salt Labs, el equipo de investigación de la firma de seguridad Salt Security, lograron que Manus, una plataforma de agentes de IA, ejecutara código malicioso a partir de un correo electrónico manipulado. Lo publicaron el 1 de octubre de 2026 en el blog de la empresa. Salt Labs afirma que el fallo ya fue corregido y que no es explotable.

Un agente de IA es un programa que no solo responde preguntas, sino que usa herramientas y cuentas conectadas para ejecutar tareas por el usuario. Eso es lo que lo hace útil y lo que amplía el riesgo.

Qué hicieron los investigadores

Según el informe, Manus puede conectarse a servicios como Gmail. Cuando el usuario pide algo relacionado con el correo, la plataforma crea un entorno aislado en la nube (un sandbox) y, con el acceso autorizado del usuario, ejecuta allí las operaciones. Salt Labs probó la integración con Gmail en cuentas de prueba.

Con la técnica llamada inyección de instrucciones (prompt injection), que consiste en esconder órdenes dentro de un contenido que el agente lee, el equipo comprobó que Manus trataba el texto de un correo como instrucciones y no como datos. Una orden directa para ejecutar comandos fue bloqueada: Manus mostró una advertencia y pidió aprobación al usuario. Lo mismo ocurrió con intentos de convencerlo de que la acción era legítima y con instrucciones codificadas en Base64.

La salida apareció con JSFuck, un método poco común de ofuscación de JavaScript que representa el código con muy pocos caracteres. Salt Labs envió un correo que pedía decodificar una carga en JSFuck para ver su contenido. El agente invocó Node.js para decodificarla y, al hacerlo, ejecutó el código. Según el informe, eso permitió ejecutar comandos en el sandbox y, en una prueba posterior, abrir una conexión remota (reverse shell) hacia la infraestructura de los investigadores.

La alerta llegó tarde

El punto central del hallazgo es el orden de los pasos. Manus sí detectó que la carga era peligrosa y avisó al usuario, pero lo hizo después de que el código se hubiera ejecutado. Para Salt Labs, un control que se activa un paso tarde no protege, porque en un sistema autónomo no hay una persona entre la alerta y la acción.

Qué alcance tuvo

Dentro del entorno comprometido, los investigadores dicen que encontraron el token de acceso a Gmail de la cuenta de prueba y que, cuando el usuario había conectado servicios como Google Drive o GitHub, las credenciales de esos servicios estaban en variables de entorno. Concluyen que una explotación podría extenderse a otros servicios conectados, según la configuración del usuario. Es una afirmación de la empresa sobre cuentas de prueba; no hay datos en las fuentes revisadas de que se haya afectado a usuarios reales.

Salt Labs reportó el hallazgo a través del programa de recompensas por errores de Meta y asegura que la vulnerabilidad «fue resuelta y ya no es explotable» (traducción del inglés). También advierte que otros atacantes podrían lograr lo mismo con variantes distintas de JSFuck.

Qué detalla el informe frente al resumen de Infobae

Infobae resumió el caso el 2 de octubre de 2026. El informe de Salt Labs, publicado el 1 de octubre, detalla que, en el paso clave, el correo pedía de forma explícita decodificar la carga, y que fue el agente quien ejecutó el resultado. Infobae también cita el estudio «2026: The State of Consumer AI», de Menlo, según el cual el 36 % de los consumidores dio a sus agentes acceso al correo, el 33 % a navegadores y el 31 % a apps de mensajería.

Análisis de PrimixIA: Salt Security vende productos de seguridad para agentes, y el informe termina con una oferta de esa plataforma. Los hechos técnicos son de la propia investigación y no hay una evaluación independiente en las fuentes revisadas. Tampoco encontramos una declaración de Manus sobre el caso.