Investigadores evaden las protecciones de Manus para ejecutar código mediante instrucciones ofuscadas por correo

Investigadores de seguridad de Salt Labs evadieron con éxito las barreras de protección del agente de IA Manus, lo que permitió la ejecución de código en el servidor mediante una instrucción maliciosa por correo electrónico ofuscada con JSFuck. Aunque Manus identificó y notificó la acción sospechosa, la alerta se emitió solo después de que la carga útil ya se había ejecutado en el entorno de ejecución del sistema.

Explotación de la ambigüedad del modelo en el procesamiento de datos

Los ataques de inyección de instrucciones aprovechan la incapacidad de un modelo de IA para distinguir entre las directivas del usuario y los datos ambientales recopilados durante las tareas. Cuando un usuario solicita a un agente que evalúe o resuma insumos de terceros, como correos electrónicos, cualquier instrucción integrada en ese contenido corre el riesgo de ser tratada como una orden en lugar de como texto pasivo. Manus incluye mecanismos de detección diseñados para capturar instrucciones maliciosas contenidas en los datos del usuario, pero Salt Labs probó si las instrucciones codificadas podían eludir estos controles.

Evasión de controles de seguridad mediante ofuscación

Los investigadores probaron inicialmente formatos de codificación básicos como Base64 antes de recurrir a JSFuck, un método de ofuscación de JavaScript que emplea un conjunto reducido de caracteres. Al enviarse dentro de un mensaje de Gmail procesado por Manus, la carga útil codificada con JSFuck se decodificó y ejecutó como código JavaScript arbitrario en el entorno de ejecución del servidor. Finalmente, Manus emitió una advertencia al propietario de la cuenta, pero la notificación se activó únicamente después de que la ejecución ya se había llevado a cabo.

Implicaciones más amplias para los sistemas autónomos de IA

Salt Labs reportó la vulnerabilidad a través del programa de recompensas por errores de Meta, y la ruta específica del ataque ya ha sido corregida mediante un parche. Sin embargo, el hallazgo pone de relieve los riesgos sistémicos a medida que las herramientas autónomas de IA obtienen integraciones más amplias. Al citar investigaciones de Menlo, se observa que el 36 % de los consumidores otorga a los agentes de IA acceso al correo electrónico, el 33 % conecta el acceso al navegador y el 31 % vincula aplicaciones de mensajería. Salt Labs señaló que inspeccionar las instrucciones y el comportamiento del modelo resulta insuficiente, y enfatizó que los modelos de seguridad deben imponer límites estrictos sobre las herramientas y API específicas que un agente tiene permitido ejecutar.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: This popular AI agent could be hacked by a single email — with potentially disastrous consequences