De un post en clave Morse a una wallet vaciada: así ataca el fallo N.º 1 de los agentes de IA, según OWASP

Por Zendoric · 24 de septiembre de 2026.

OWASP, la fundación abierta detrás del influyente OWASP Top 10 (el catálogo de referencia sobre las vulnerabilidades más comunes del software), publicó en diciembre de 2025 su primera lista dedicada a la IA agéntica: el OWASP Top 10 for Agentic Applications 2026. Clasifica diez riesgos, de ASI01 a ASI10. El primero, ASI01, se llama Agent Goal Hijack —secuestro de objetivo del agente— y describe algo más simple y más peligroso de lo que suena a primera vista: los agentes de IA no pueden distinguir de forma fiable una instrucción de un texto cualquiera que están leyendo.

Un agente de IA no se limita a responder preguntas: ejecuta acciones. Lee archivos, envía mensajes, mueve dinero o llama a otros programas, a menudo sin que ningún humano revise cada paso. El contenido le llega por dos vías que OWASP distingue con cuidado: lo que recibe directamente (la orden de su usuario) y lo que recopila por su cuenta mientras trabaja (una página web, un correo, un documento, la respuesta de otro agente). El problema de fondo es que, para el modelo que hay debajo, ambas cosas son el mismo tipo de texto. Quien consiga colar una instrucción disfrazada de contenido —en una página, un comentario, una invitación de calendario— puede hacer que el agente la ejecute como si fuera una orden legítima de su dueño.

El caso que mejor ilustra el problema ocurrió en mayo de 2026 y tuvo consecuencias económicas directas. Grok, el asistente de xAI integrado en X, estaba conectado a Bankr, un bot de trading que crea automáticamente una wallet cripto para cualquier cuenta que interactúa con él, incluida la del propio Grok. Un atacante publicó mensajes pidiéndole a Grok que "tradujera" un texto: uno en código Morse, otro camuflado dentro de un fragmento de Python troceado en variables. Ambos, al decodificarse, eran en realidad la orden de retirar fondos a una dirección concreta. Grok resolvió el acertijo y publicó el resultado como si fuera una respuesta normal; Bankr, que trata cualquier post de Grok como una instrucción de confianza, ejecutó la transferencia. Según el registro on-chain en la red Base y coberturas especializadas como NeuralTrust, SlowMist y Cryptopolitan, la operación movió unos 3.000 millones de tokens DRB, entre 150.000 y 200.000 dólares al cambio; el operador de Bankr confirmó después haber recuperado el 80% de los fondos.

No es un caso aislado ni de laboratorio. Unit 42, la división de amenazas de Palo Alto Networks, documentó en diciembre de 2025 hasta 22 técnicas distintas para esconder instrucciones en páginas web dirigidas a los agentes que ya leen internet a gran escala —revisores de anuncios, moderadores de contenido, buscadores—, desde texto de tamaño cero hasta caracteres Unicode invisibles. En el 75,8% de las páginas bastaba una sola instrucción oculta; según la firma, un sitio que vendía gafas militares falsificadas logró que un sistema de revisión de anuncios aprobara su listado solo con ese truco. Meses antes, en agosto de 2025, versiones manipuladas del paquete Nx —un sistema de compilación de JavaScript descargado millones de veces por semana— usaban el mismo principio para poner a trabajar en su contra a los propios asistentes de código del desarrollador (Claude Code, Gemini CLI, Amazon Q), instruyéndolos para rastrear el disco en busca de credenciales y filtrarlas a repositorios de GitHub. Según Wiz y Socket, el incidente expuso secretos de más de mil organizaciones.

A esos tres incidentes reales se suma un catálogo largo de fallos que investigadores externos encontraron antes de que nadie los explotara, y su lista de afectados es lo más revelador: el navegador Comet de Perplexity, Gemini y Google Workspace, Microsoft 365 Copilot (el caso EchoLeak, descrito por Aim Labs como la primera inyección de "cero clics" documentada en un sistema en producción), Salesforce Agentforce, el Deep Research de ChatGPT, GitHub Copilot Chat, GitLab Duo y el editor Cursor. No es un fabricante descuidado: es prácticamente toda la industria, incluidos sus líderes, cayendo en la misma trampa por la misma razón de diseño.

Y esa es, para nosotros, la lectura de fondo. Las defensas que la ciberseguridad lleva décadas perfeccionando —validar la entrada, autenticar al usuario, proteger el perímetro— sirven para lo que el agente recibe, pero no para lo que sale a buscar por su cuenta. Es un fallo de arquitectura, no un bug puntual, y por eso se repite en Microsoft, Google, OpenAI, Salesforce y GitHub con el mismo patrón: contenido envenenado en un sitio, un correo o una invitación, y un agente incapaz de distinguir una orden de un dato. Mientras no exista una separación estricta entre instrucción y contenido —lo que empieza a llamarse procedencia de la instrucción—, cada permiso nuevo que le demos a un agente, ya sea una wallet, un CRM o una bandeja de entrada, es superficie de ataque adicional.

Esto encaja con algo que venimos repitiendo en Zendoric sobre la IA agéntica: el riesgo inmediato no es una superinteligencia lejana fuera de control, sino la industrialización del fraude y el espionaje con las herramientas de hoy. El caso Grok-Bankr no requirió romper ninguna criptografía; bastó un post ingenioso y un bot que confiaba ciegamente en otro bot. Es el tipo de incidente que se multiplicará a medida que más empresas conecten agentes a dinero real, código real y datos reales, y es también el frente donde más se jugará, a corto plazo, la credibilidad de la IA agéntica ante empresas y reguladores.

Eso no cambia nuestra tesis de fondo, la matiza. La parte dura de esta transición incluye ahora, de forma muy concreta, aprender a construir gobernanza y controles de acceso al mismo ritmo que damos autonomía a los agentes. Quien gane este episodio no será quien tenga el modelo más potente, sino quien primero resuelva la procedencia de las instrucciones y el aislamiento de permisos, un problema de ingeniería de seguridad tradicional más que de investigación de frontera. La abundancia que promete la IA a largo plazo solo llega si la infraestructura que la sostiene aguanta el escrutinio, y ahora mismo esa infraestructura tiene una grieta de nacimiento que conviene cerrar antes de repartir más llaves.