Los navegadores de inteligencia artificial no llegaron al mercado prometiendo una simple pestaña más inteligente. Llegaron con algo mucho más ambicioso, y ahí empieza el problema. OpenAI habla de acercarse a un verdadero superasistente, Perplexity describe Comet como el navegador que trabaja por ti y Google presenta Gemini en Chrome como el comienzo de una nueva era. La idea de fondo es que dejemos de movernos solos por la web y empecemos a delegar parte del camino. Suena bien. El detalle es que esa misma promesa tiene una cara bastante más incómoda.
Una advertencia que llega desde la investigación
La Universidad de Washington puso el foco sobre este riesgo emergente. En un trabajo presentado en el workshop Agents in the Wild, y difundido el pasado 30 de junio, un equipo revisó siete navegadores agénticos populares para ver cómo se comportaban frente a una protección básica de la web actual, la política de mismo origen. La conclusión no dejó mucho margen a la duda. Cuatro de ellos abrían vías de riesgo relevantes, y los investigadores llegaron a ejecutar una prueba de concepto completa en ChatGPT Atlas en Agent Mode.
Para entender el salto conviene recordar cómo funciona un navegador de toda la vida. Nos muestra páginas y espera nuestras decisiones. Abrimos un servicio, copiamos un dato, lo pegamos en otro sitio, comparamos, rellenamos un formulario. Cada paso depende de nosotros. Los navegadores de IA rompen esa lógica porque incorporan sistemas capaces de interpretar lo que aparece en pantalla y actuar por su cuenta. Ya no se trata solo de resumir una página, sino de coordinar tareas entre pestañas y completar acciones que antes quedaban en nuestras manos.
Dónde está el punto débil
El peligro no aparece solo porque una web sea maliciosa. Aparece porque el agente puede leer esa página como si formara parte de sus instrucciones. Ahí entra el prompt injection, una técnica en la que un contenido externo intenta cambiar el comportamiento del modelo con órdenes escondidas o insertadas donde nadie las espera. En un chatbot ya es molesto. En un navegador agéntico el alcance cambia por completo, porque el sistema puede convertir esa información en acciones reales.
Link affiliatoY aquí entra otra pieza clave, la política de mismo origen. Es una de esas protecciones invisibles que sostienen buena parte de la web moderna. Su función, dicho fácil, es impedir que una página lea o manipule libremente información de otra solo porque ambas están abiertas. Gracias a eso, una web cualquiera no debería poder tocar lo que tenemos en el banco o en el correo. El problema llega cuando un agente reúne información que antes estaba bien separada.
Pensemos en una página aparentemente inofensiva. Le pedimos al agente que la resuma. Esa página puede incluir contenido de otro origen, como un iframe, junto a una instrucción maliciosa pensada para el modelo. Si el agente tiene permisos suficientes, podría acceder a datos que la web atacante no debería leer y trasladarlos a un formulario controlado por el atacante. La barrera no se rompe directamente. El agente actúa como puente.
Conviene un matiz. El estudio no dice que todos los usuarios vayan a sufrir un ataque ni que cualquier navegador con IA sea inseguro por definición. Se analizaron versiones concretas, en un momento concreto, con pruebas de concepto y sin datos reales de por medio. También hubo diferencias claras entre productos. Los que concedían menos permisos al agente tendían a reducir el riesgo. La paradoja es evidente. Esa misma capacidad que los hace atractivos es la que hace que un fallo pese mucho más, porque ya no ocurre en una pestaña aislada sino en un entorno con sesiones abiertas y datos personales a la vista.
Fuente
Imagen: xataka.com
Link affiliato