Escrito por: Jerónimo Corregido
Los navegadores con IA se presentan y se venden como asistentes de trabajo totales, pero se ha descubierto que presentan brechas de seguridad considerables. Una investigación de la Universidad de Washington documentó casos de navegadores agénticos que ignoran la política de mismo origen y filtran datos vía prompt injection.
Los navegadores con IA podrían abrir las puertas a nuevos niveles de estafas.
Navegadores con IA: una puesta en contexto
Muchas personas ya los están usando, pero tantas otras recién se están enterando de qué son. Los navegadores con IA se postulan como el nivel superior de los chatbots. Ya no solo responden con texto, sino que los agentes tienen la capacidad de actuar en lugar del usuario.
Esto quiere decir que los así llamados “navegadores agénticos” están facultados para accionar lo que se ve en las pestañas. Los usuarios pueden delegar tareas como las de completar formularios, realizar compras o efectuar reservas.
El mercado los vende como la quintaescencia del trabajo online. OpenAI indica que su ChatGPT Atlas es un “superasistente”, Microsoft asegura que Copilot es el siguiente paso en la navegación, y Google difunde su versión de Gemini como el mejor modo de usar Chrome. Otros ejemplos: el agente Comet de Perplexity y el asistente Aria de Opera.
Es cierto que estas herramientas facilitan muchas tareas y permiten saltearse pasos que, para el grueso de los usuarios, pueden resultar engorrosos. ¿Entonces?
La brecha inherente de los navegadores agénticos
Entonces: resulta que los navegadores con IA no son tan impermeables al fallo como indican sus creadores. O al menos no brindan garantías absolutas contra los ataques. Así lo ha demostrado la Universidad de Washington, en un estudio presentado en el taller “Agents in the Wild” en Río de Janeiro, cuyos resultados fueron hechos públicos en junio de este año.
La investigación se basó en 7 navegadores agénticos y demostró que 4 de ellos presentaron fallos de seguridad graves por no respetar la política del mismo origen. Esta es una regla básica de internet, que supone la prohibición de que un sitio web obtenga información de otro que esté abierto en simultáneo.
Concretamente, al realizar una prueba de fallo sobre ChatGPT Atlas, se verificó que el sistema era susceptible a recibir una prompt injection. Esto es una técnica para colar instrucciones ocultas dentro de contenido que procesa una IA (texto de una web, un email, un documento), de modo que el modelo las ejecute como si fueran órdenes del usuario, sin que este las haya escrito ni sepa que existen.
Así se comandó que el navegador agéntico copiara y pegara datos de una pestaña en otra, explotando la falla de política del mismo origen. Las implicancias de esto son directas: los usuarios podrían estar sufriendo robo de datos con IA sin que tengan motivos para sospecharlo.
Automatización de tareas: un agravante para la prompt injection
El estudio de la Universidad de Washington señala que, si bien el riesgo de prompt injection es posible en cualquier momento, la amenaza crece cuando se automatizan las tareas. Esto es una configuración posible de cualquier navegador con IA, con la que se le deja el comando de acción al propio agente.
De esta forma, el navegador podría hacer click sin pedir permiso en cualquier tipo de enlaces, incluyendo aquellos que son maliciosos. A través de esa pestaña, se le podrían ejecutar comandos para que entregue información.
Pero la investigación también refiere que la prompt injection puede actuar dentro de una web aun con permiso y supervisión del usuario, sin que se encuentre en la configuración de automatizar tareas. El código malicioso puede estar oculto en el HTML de una web y ser invisible. Su acción podría pasar inadvertida.
El mantra de protección para evitar peligros online es no hacer click en enlaces sospechosos. Con los navegadores con IA, esto ya no está en manos del usuario. Quien decide es el agente. Esto no quiere decir que se espere una oleada de robos de datos con IA, pero sí representa un llamado de atención para las empresas que desarrollan los agentes.
