Los agentes de IA industrializan la estafa web: el riesgo pasa de la mala respuesta a la mala acción

Por El Ecosistema Startup · 2 de noviembre de 2026.

El 66% de las personas usó alguna herramienta de IA en los últimos doce meses, según una encuesta de Ipsos para Google en 21 países, citada por El Ecosistema Startup. Los atacantes siguen esa atención: las respuestas de los asistentes ya son un canal de descubrimiento de marcas, productos y descargas, y casi nadie las audita.

El salto relevante es de «responder» a «actuar». Un asistente de búsqueda resume contenido, así que su riesgo es dar información errónea o un enlace fraudulento. Un agente de navegador abre enlaces, hace clic, descarga archivos y rellena formularios. Ahí la consecuencia ya no es desinformación, sino pérdida económica o exposición de datos personales.

Los casos que recoge la pieza, con su atribución:

• Guardio Labs (agosto de 2025) pidió a Comet, el navegador con IA de Perplexity, comprar en una tienda falsa creada para el experimento. En algunos casos se negó o pidió intervención humana; en otros añadió productos al carrito y rellenó datos ya guardados, como la dirección de envío y el medio de pago. En otra prueba siguió el enlace de un correo fraudulento que imitaba a Wells Fargo y abrió una página de login falsa. Los propios investigadores avisan de que es el comportamiento en el momento del test, no necesariamente el actual.

• Microsoft (mayo de 2026) investigó campañas de envenenamiento SEO (manipular el posicionamiento para que una web maliciosa salga entre los primeros resultados) con sitios que imitaban programas legítimos como CrystalDiskInfo, HWMonitor y PDFgear. Los archivos instalaban ScreenConnect, una herramienta legítima de acceso remoto, y luego software de minería de criptomonedas. El informe recoge reportes de asistentes que recomendaron dominios de los atacantes, pero aclara que ese ejemplo es ilustrativo, no un fallo sistémico de una plataforma.

• Según La Razón, una investigación de Ask Silver difundida por The Guardian halló páginas fraudulentas que copiaban la imagen de comercios como Russell & Bromley o Dunelm y aparecían en las recomendaciones de compra de ChatGPT. Russell & Bromley dejó de operar como minorista independiente en enero de 2026, tras declararse en concurso de acreedores, y los atacantes habrían aprovechado ese vacío de marca.

• HP Wolf Security, en su Threat Insights Report, detectó entre abril y junio de 2026 tres campañas con falsos asistentes de IA para distribuir malware como Needle Stealer, que sustituye extensiones de monederos cripto por versiones falsas que capturan la contraseña.

La otra familia de riesgo es la inyección de prompts: el contenido de una web, un correo o un documento incluye instrucciones ocultas que el agente obedece como si fueran del usuario. OWASP la documenta en sus guías de referencia. La pieza enumera variantes: EchoLeak (CVE-2025-32711), que según Aim Security hacía que Microsoft 365 Copilot expusiera información interna con un correo, y que Microsoft corrigió en junio de 2025; PleaseFix, de Zenity Labs, con instrucciones ocultas en invitaciones de calendario que influían en Comet; BioShocking, de LayerX, que hace creer al agente que resuelve un juego para que copie credenciales; y BragJack, de Gal Weizman (Forever Security), que explota una extensión maliciosa ya instalada y generó dos CVE, uno parcheado en el panel de Gemini en Chrome.

Según TweakTown, en el test de BioShocking los afectados incluyeron ChatGPT Atlas, Comet, Fellou, Genspark Browser, Sigma Browser y la extensión de Claude en Chrome. Los proveedores fueron notificados entre octubre de 2025 y enero de 2026, y solo OpenAI implementó una corrección que los investigadores consideraron efectiva.

Hay también un giro defensivo. Según Ars Technica, investigadores de Tracebit plantaron inyecciones de prompts junto a credenciales falsas en entornos de AWS. En 152 ejecuciones sobre cinco modelos, la toma de control administrativo bajó del 57% al 5% y el compromiso total del 36% al 1%. El modelo más capaz de la prueba, Opus 4.8, pasó de lograr acceso de administrador en el 93% de las ejecuciones a fallar en todas.

OpenAI y Anthropic reconocen el problema. OpenAI afirma que el modo agente de ChatGPT pide confirmación antes de acciones de alto impacto y detecta intentos de manipulación, pero admite que no elimina los riesgos. Anthropic sostiene que ningún agente de navegador es inmune y que el problema está lejos de resolverse.

Nuestra lectura. La tesis es simple: la IA no inventó la estafa, quitó al humano del bucle. El envenenamiento SEO y el phishing existen desde hace años; lo que cambia es que antes alguien leía la página antes de pagar y ahora puede no hacerlo nadie. Esa fricción era un control de seguridad gratuito, y la comodidad del agente lo elimina sin que lo notemos.

Hay dos matices. Primero, buena parte de la evidencia son pruebas de laboratorio fechadas, con herramientas que se parchean rápido; conviene no extrapolarlas como el estado actual. Segundo, el resultado de Tracebit apunta a que la defensa también se beneficia de la IA: si el atacante automatiza, el defensor puede sembrar trampas igual de rápido.

En general, la lección sobre la superficie de ataque es la de los últimos meses: cada documento, correo o invitación que procesa un agente es una puerta nueva. Quien gana es quien diseña la seguridad como parte de la experiencia de usuario (permisos acotados, perfiles aislados sin tarjetas guardadas, confirmación antes de pagar). Pierden las marcas pequeñas, cuya identidad visual puede clonarse y colarse en una recomendación antes de que el cliente llegue a su tienda.

A corto plazo, será una transición incómoda: más fraude automatizado y más fricción en cada compra delegada. A largo plazo, la misma tecnología puede permitir agentes que gestionen nuestras tareas tediosas con garantías verificables, y eso es lo que liberaría tiempo para lo que importa. Pero llegar ahí exige tratar hoy la supervisión humana como el control más barato y efectivo, tal como recomienda la propia fuente.