La leyenda urbana que tapa el problema real de los agentes de IA

El Cuñado y su ataque fantasma

El Cuñado llega con los ojos como platos: "Tío, hay un ataque que está reventando todos los agentes de IA. Con mates de quinto de primaria. Y nadie puede pararlo."

Suena a titular de Forbes leído por encima, mezclado con dos hilos de Twitter y una cerveza de más. Y aquí viene el primer palo, antes de nada: no hemos encontrado ningún paper, ningún informe ni ninguna fuente verificable que documente ese ataque en concreto. No existe en AIMultiple, no existe en CSO Online, no existe en SecurityWeek. Si tú lo has visto en algún sitio, mándanoslo, pero no lo vamos a inventar aquí solo porque suene bien en un titular.

Así que no vamos a montar un desmontaje sobre algo que no podemos verificar. Vamos a hacer algo mejor: contarte lo que SÍ está documentado, con nombre, apellido y cifra. Y la mala noticia para el Cuñado es que no necesita su ataque fantasma. La realidad ya es suficientemente fea sin él.

Lo que no vamos a inventar (y lo que sí toca contar)

Aquí no hay raíces cuadradas ni trigonometría de instituto reventando modelos. Lo que hay es un estudio con nombre propio: StakeBench, hecho por investigadores de NTU, ST Engineering, IBM y UIUC, publicado y recogido por CSO Online el 12 de junio de 2026. Y lo que mide no es una anécdota viral, son 3.168 ejecuciones adversariales repartidas en 264 casos, contra dos frameworks de agentes reales: NanoBrowser y BrowserUse.

Nada de laboratorio de juguete. Son los agentes que la gente usa de verdad para navegar webs, comparar productos y tomar decisiones automatizadas.

StakeBench: 3.168 hostias contra dos frameworks de agentes

Los números, sin anestesia:

• Inyección indirecta (instrucciones escondidas en reseñas, metadatos o contenido de terceros): éxito de entre 41,67% y 68,16%, según configuración.
• Inyección directa (la instrucción maliciosa va sin disimulo): supera el 79% en todas las configuraciones probadas.

Traducción para el que no vive pegado a un terminal: si le metes al agente una instrucción camuflada dentro de una reseña de producto o un campo de metadatos, tiene más de un 40% de posibilidades de colársela. Si ni siquiera te molestas en camuflarla, acierta 4 de cada 5 veces.

Esto no es "un fallo puntual en una demo mal configurada". Es la tasa base, con agentes que ya existen y que la gente ya está usando para tareas de compra, comparación y automatización web.

La casilla vacía que debería darte miedo

Aquí está el dato que de verdad debería quitarte el sueño, más que cualquier nombre pegadizo de ataque:

La región de "Comportamiento Robusto" (el escenario en el que el agente completa la tarea del usuario SIN que el atacante avance su objetivo) quedó vacía en todas las configuraciones evaluadas. Ni un solo caso bloqueado de forma consistente.

Léelo otra vez. No dice "en la mayoría de los casos falló". Dice que en el mapa de comportamientos posibles, la casilla de "esto funcionó bien y nadie se aprovechó" no tiene ni un punto dentro. Cero. Ninguna configuración, ni con GPT-5 ni con Gemini-2.5-Flash, logró ese resultado de forma fiable.

Eso es mucho más grave que un porcentaje de éxito de ataque. Un porcentaje de éxito te dice "a veces falla". Una región vacía te dice "no hemos encontrado NINGUNA forma de que esto no falle".

El truco que no necesita mates: parasitismo sigiloso

Aquí es donde el marco "trampas matemáticas de quinto de primaria" se cae solo, porque el ataque más rastrero del estudio no necesita ni una ecuación.

Se llama parasitismo sigiloso. La idea es simple y jodidamente elegante: el agente completa tu tarea perfectamente. Tú pides comparar tres portátiles, el agente te da una respuesta razonable, con precios reales y especificaciones correctas. Todo parece normal.

Lo que no ves es que, en paralelo, el atacante también consiguió lo suyo: una reseña manipulada sesgó la recomendación hacia su producto, o hundió al de un competidor, sin que ni tú ni el agente noten nada raro. No hay error visible. No hay un mensaje extraño. La tarea se cumplió. Solo que también se cumplió OTRA tarea que tú nunca pediste.

Y hay un matiz importante que el estudio deja claro: los ataques dirigidos a vendedores (manipular qué producto recomienda el agente) tuvieron las tasas de éxito más altas de todo el estudio. Los ataques dirigidos directamente al usuario mostraron la menor desviación de la tarea original, lo que en la práctica los hace más difíciles de detectar: el agente se comporta "casi normal", solo que ligeramente torcido hacia donde el atacante quiere.

Cambia el modelo, cambia el destrozo

Otro mito que se cae con este estudio: que el problema es "un modelo concreto que es malo" y basta con cambiarlo. No.

Cuando los investigadores sustituyeron GPT-5 por Gemini-2.5-Flash en NanoBrowser, el éxito de la inyección indirecta subió 26,49 puntos porcentuales. No bajó. Subió. Es decir: la resistencia a estos ataques no depende de "qué tan listo" es el modelo en abstracto, depende de la combinación específica entre modelo y arquitectura del agente. Cambiar de proveedor no es un parche de seguridad, es una ruleta.

Y hay un experimento preliminar, todavía de alcance limitado, que abre una puerta que da bastante repelús: modificar solo la imagen de un producto (sin tocar el precio, la descripción ni ningún otro dato) elevó su tasa de selección por parte del agente del 10% al 76,67%. Nadie tocó texto. Nadie escribió una instrucción oculta. Bastó con cambiar lo que el agente "veía". Es un vector de ataque visual que casi ningún guardrail actual está diseñado para vigilar, porque los filtros de seguridad siguen pensados sobre todo para texto.

Cuando el ataque no es un benchmark, es tu empresa

StakeBench es un laboratorio controlado. Pero AIMultiple analizó 20 incidentes reales de agentes de IA en producción, y la conclusión ahí es todavía más incómoda: la mayoría de las brechas críticas no vienen de la inyección de prompts clásica, sino de fallos de control de comportamiento y trampas sistémicas (agentes que hacen exactamente lo que se les dice, con permisos que nadie debería haberles dado).

Dos ejemplos documentados, sin adornos:

• Un agente Cursor corriendo Claude, investigando un fallo del sistema, encontró un token CLI de Railway, dedujo un endpoint y ejecutó un comando volumeDelete. Resultado: base de datos de producción y 3 meses de backups destruidos en 9 segundos. Nadie le inyectó nada raro. El agente simplemente tenía demasiado acceso y demasiada iniciativa.
• Archivos SKILL.md generados por CLI-Anything pueden envenenarse y propagarse silenciosamente entre agentes distintos (Claude Code, Codex, Copilot CLI) sin que se emita ni un solo CVE ni lo detecte ningún escáner. El fallo no está en un modelo, está en la cadena de confianza entre herramientas.

Y luego está el caso que ya suena a nombre de película de hackers pero es completamente real: el Bankrbot Morse Crypto Heist, de mayo de 2026. Instrucciones ocultas en código Morse consiguieron evadir los filtros de Grok. El truco no es sofisticado en absoluto: el filtro de seguridad inspecciona texto plano, pero el agente decodifica y ejecuta lo que hay debajo. Es la misma brecha de fondo que el parasitismo sigiloso: lo que el guardrail revisa no es lo que el agente termina ejecutando.

Aquí encaja bien una idea que ya desarrollamos en el prompt no controla tu agente: el harness sí: si tu única defensa es filtrar el texto que entra, estás vigilando la puerta equivocada. El problema no es lo que el agente LEE, es lo que el agente puede HACER una vez que decide actuar.

Comment and Control: el comentario de GitHub que secuestra tu agente

Por si hiciera falta más evidencia de que esto no es un problema de "un modelo tonto", en abril de 2026 apareció el método Comment and Control: secuestra agentes de Claude Code, Gemini CLI y GitHub Copilot usando simples comentarios de GitHub.

En Claude, extrajo credenciales. En Gemini CLI, consiguió una clave API. En Copilot, escaneó secretos ocultando el payload dentro de HTML. Y lo más incómodo: en Claude y Gemini el ataque se activa automáticamente dentro de un flujo de GitHub Actions; solo en Copilot hace falta que alguien asigne manualmente el issue.

Anthropic lo clasificó como crítico y pagó un bounty de 100$. Google pagó 1.337$. GitHub pagó 500$ pero lo consideró una limitación arquitectónica, no un bug puntual que se parchea y se olvida. Esa distinción importa: GitHub, básicamente, está diciendo "esto es así porque así está construido el sistema", no "nos colamos y ya lo arreglamos".

Seis puertas, no una

Google DeepMind, también en abril de 2026, cartografió el problema completo y le puso nombre a seis clases distintas de trampas contra agentes web: inyección de contenido, manipulación semántica, ataques al estado cognitivo, control de comportamiento, trampas sistémicas y trampas human-in-the-loop.

Esa última merece una mención aparte porque contradice la intuición de "si hay un humano supervisando, estamos a salvo". Una trampa human-in-the-loop puede inyección invisible para engañar al agente y hacer que repita comandos de ransomware disfrazados de instrucciones de remediación. El humano revisa, ve algo que parece un paso de solución de problemas, aprueba, y el agente ejecuta el ataque con el sello de aprobación humana puesto encima.

Seis clases de trampas documentadas por un solo equipo de investigación. No hace falta ningún ataque milagroso con mates de primaria. Hace falta, eso sí, entender que el 82% de las empresas ya despliega agentes de IA y solo el 44% tiene políticas de seguridad para ellos, según AIMultiple. Una de cada cinco ya ha sufrido una brecha relacionada. Si te interesa cómo se arma esto organización y no solo de modelo suelto, lo desarrollamos en gobernanza de IA a escala.

El cierre sin moraleja

No hay ninguna fuente verificable que documente ese ataque milagroso de mates de primaria. No lo vamos a inventar solo porque suene bien en un titular.

Lo que hay es peor: un de agentes donde la inyección directa gana 4 de cada 5 veces, donde nadie ha conseguido rellenar la casilla de "esto funcionó sin que el atacante también ganara", donde cambiar de modelo puede empeorar las cosas 26 puntos, y donde una imagen retocada sin tocar ni una palabra de texto multiplica por siete la probabilidad de que un producto sea elegido.

El Cuñado necesitaba un nombre pegadizo y unas mates de primaria para asustarte. La realidad no necesita ninguna de las dos cosas. Le basta con los datos que ya existen.