Estas herramientas están evolucionando rápidamente y no se limitan a responder

Para muchas personas, consultar un asistente de inteligencia artificial ya es tan habitual como hacer una búsqueda en internet. Estas herramientas están evolucionando rápidamente y no se limitan a responder preguntas: también buscan inrmación en la web, recomiendan páginas y, en algunos casos, interactúan directamente con ellas. Los agentes de IA integrados en navegadores pueden abrir enlaces, navegar por sitios, hacer clic e incluso completar determinadas acciones en nombre del usuario. ESET Latinoamérica, compañía líder en detección proactiva de amenazas, advierte que, si bien esta capacidad aporta comodidad, también introduce nuevos riesgos y explica cómo los ciberdelincuentes pueden aprovechar asistentes y agentes de IA mediante resultados de búsqueda manipulados, sitios web maliciosos e instrucciones ocultas en distintos tipos de contenido.

Según una encuesta realizada por Ipsos para Google en 21 países, dos de cada tres personas (66%) afirman haber utilizado alguna herramienta o aplicación de IA en los últimos doce meses. Cuando la IA se convierte en una puerta de entrada a la búsqueda de información y a las decisiones de compra, también puede convertirse en un objetivo. “Aunque todavía no existen pruebas de que las estafas a través de chatbots sean un fenómeno, se documentaron dos técnicas conocidas: el envenenamiento SEO, que busca posicionar páginas fraudulentas entre los primeros resultados de búsqueda y que también puede afectar las respuestas generadas por asistentes de IA; y la inyección de prompts, en la que instrucciones ocultas en páginas web, correos electrónicos o documentos intentan influir en el comportamiento de agentes de IA”, comenta Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.

Los asistentes de búsqueda, como los chatbots tradicionales, pueden consultar páginas web y resumir su contenido, por lo que el principal riesgo es recibir información incorrecta o un enlace fraudulento. Los agentes de IA integrados en navegadores, en cambio, pueden abrir enlaces, hacer clic, descargar archivos y completar formularios en nombre del usuario. Según sus fabricantes, estas herramientas suelen solicitar confirmación antes de realizar acciones consideradas de alto riesgo. La diferencia está en lo que ocurre después de acceder al sitio. Leer una página fraudulenta puede derivar en desinformación o engaños, mientras que interactuar activamente con ella puede traducirse en pérdidas económicas o en la exposición de información personal.

En 2025, reportes de The Washington Post y Digital Trends documentaron casos en los que los resúmenes de IA de Google mostraban números telefónicos incorrectos o fraudulentos para el servicio de atención al cliente de algunas empresas. Google indicó que estaba al tanto de la situación y que había tomado medidas para corregir parte de los resultados.

Existe además otro riesgo que no depende de que la IA recomiende una dirección falsa. Cuando un agente de IA procesa una página, un mensaje o un archivo, puede interpretar instrucciones ocultas como si se tratara de órdenes legítimas del usuario. Este tipo de ataque se conoce como inyección de prompts prompt injection) y está documentado en guías de referencia como las de OWASP. Estas instrucciones pueden permanecer ocultas para las personas, por ejemplo, mediante texto invisible o elementos diseñados para pasar desapercibidos, pero seguir siendo interpretadas por la IA.

OpenAI menciona como ejemplo un escenario en el que un agente encuentra un comentario malicioso durante una búsqueda y recibe instrucciones para obtener un código de recuperación de contraseña y enviarlo a un sitio controlado por atacantes. Por su parte, Guardio Labs describió una variante llamada PromptFix, en la que instrucciones ocultas detrás de un CAPTCHA falso inducen al agente a hacer clic en un botón y descargar un archivo. En las pruebas realizadas por los investigadores, el archivo era inofensivo, aunque en un escenario real podría tratarse de malware. La IA cree estar realizando una acción legítima, como resolver una verificación de seguridad, cuando en realidad está interactuando con un sitio malicioso o de phishing.

Las invitaciones de calendario también pueden convertirse en un vector de ataque, especialmente contra agentes con capacidad de navegar y actuar por cuenta del usuario. En una investigación presentada en 2026, Zenity Labs describió una clase de vulnerabilidades denominada PleaseFix, en la que instrucciones ocultas dentro de una invitación de calendario lograban influir en el comportamiento de Comet, el agente de Perplexity, sin necesidad de interacción por parte del usuario. Según los investigadores, el verdadero riesgo surge cuando una instrucción maliciosa se mezcla con una tarea legítima hasta parecer un paso necesario para completarla.

“En otras palabras, las instrucciones engañosas ya no tienen por qué presentarse únicamente en una página web. También pueden esconderse en correos electrónicos, documentos, invitaciones de calendario o incluso enlaces compartidos a través de redes sociales”, agrega el investigador de ESET.