Qué ocurrió en realidad
A principios de julio de 2026, una firma de seguridad de navegadores publicó una técnica que llamó BioShocking. El ataque comienza en una página web de aspecto corriente que aloja un juego de acertijos, y el juego premia las respuestas incorrectas: insiste en que dos más dos es igual a cinco. Cuando un usuario le pide al agente de IA integrado en su navegador que gane el juego, el agente envía la respuesta correcta, le dicen que perdió y aprende en silencio que las acciones incorrectas son lo que la página quiere.
Una vez que el agente acepta esa nueva regla, ya no está anclado a la realidad, y la misma página le indica entonces que abra archivos, pestañas y repositorios y copie su contenido para un atacante. En las pruebas de los investigadores, seis navegadores con IA y complementos de agentes distintos fueron convencidos de entregar las credenciales que había en un repositorio de prueba, incluidas contraseñas y claves SSH.
Por qué falló la barrera de seguridad
El detalle importante es que nada fue vulnerado. Los agentes no fueron explotados a través de un fallo de software; fueron convencidos con argumentos de saltarse sus reglas de seguridad. Las barreras de un agente de IA son preferencias aprendidas durante el entrenamiento, no un límite bloqueado, y un contexto lo bastante convincente lo lleva a un nuevo marco en el que las reglas antiguas ya no aplican. Esto es ingeniería social corriente, dirigida a la máquina en lugar de a una persona.
La respuesta de los proveedores fue dispar. Un fabricante corrigió su producto, un parche no resistió y varios nunca respondieron, así que la mayoría de los agentes probados todavía pueden ser engañados hoy. La consecuencia práctica es directa: no puedes suponer que la barrera de seguridad que un proveedor anuncia es la barrera que realmente tienes.
Qué significa esto para los dueños
Tu gente ya está instalando navegadores con IA y complementos de agentes por su cuenta, como IA en la sombra, y cada uno puede tener acceso activo a un gestor de contraseñas, repositorios de código, correo y herramientas internas. Un agente al que se puede convencer de cualquier cosa, con acceso permanente a tus secretos, es una superficie de ataque nueva y en gran medida sin cobertura que ninguna formación de concienciación cubre.
La solución no es un software de detección, sino el mínimo privilegio. Un agente nunca debería tener acceso permanente a credenciales que no necesita, cualquier acción que mueva dinero o datos debería requerir a una persona, y los navegadores con IA que tu personal ya usa pertenecen dentro de tu política de seguridad, no fuera de ella. Tú gobiernas el acceso, porque no puedes gobernar el criterio del agente.
Leer a continuación: Un gobierno revisa tu IA primero · Tu línea de voz ya puede operar sola