Para muchas personas, consultar un asistente de inteligencia artificial ya es tan habitual como hacer una búsqueda en internet. Se utiliza para planificar viajes, resolver dudas técnicas, comparar productos o resumir documentos extensos.
Sin embargo, estas herramientas están evolucionando rápidamente. Ya no se limitan a responder preguntas: también buscan información en la web, recomiendan páginas y, en algunos casos, interactúan directamente con ellas. Los agentes de IA integrados en navegadores pueden abrir enlaces, navegar por sitios, hacer clic e incluso completar determinadas acciones en nombre del usuario.
Esta capacidad aporta comodidad, pero también introduce nuevos riesgos. Después de todo, si la IA puede acceder a una página por nosotros, surge una pregunta inevitable: ¿qué ocurre cuando esa página es falsa?
En este artículo veremos cómo los ciberdelincuentes pueden aprovechar asistentes y agentes de IA mediante resultados de búsqueda manipulados, sitios web maliciosos e instrucciones ocultas en distintos tipos de contenido. Además, repasaremos qué riesgos han identificado investigadores y fabricantes, y qué medidas pueden ayudarte a protegerte.
Los delincuentes suelen ir donde está la atención de las víctimas, y esta está cambiando de lugar. Según una encuesta realizada por Ipsos para Google en 21 países, dos de cada tres personas (66%) afirman haber utilizado alguna herramienta o aplicación de IA en los últimos doce meses. A medida que estas herramientas se incorporan a actividades cotidianas como la búsqueda de información, la comparación de productos y la toma de decisiones de compra, también atraen el interés de los ciberdelincuentes.
Cuando la IA se convierte en una puerta de entrada a la búsqueda de información y a las decisiones de compra, también puede convertirse en un objetivo. Aunque todavía no existen pruebas de que las estafas a través de chatbots sean un fenómeno generalizado, ya se han documentado casos relacionados con dos técnicas conocidas: el envenenamiento SEO, que busca posicionar páginas fraudulentas entre los primeros resultados de búsqueda y que también puede afectar las respuestas generadas por asistentes de IA; y la inyección de prompts, en la que instrucciones ocultas en páginas web, correos electrónicos o documentos intentan influir en el comportamiento de agentes de IA. A continuación, repasamos algunos ejemplos.
¿Pueden los asistentes y agentes de IA abrir una web falsa?
Sí, dependiendo de la herramienta y del nivel de autonomía que tenga. Los asistentes de búsqueda, como los chatbots tradicionales, pueden consultar páginas web y resumir su contenido, por lo que el principal riesgo es recibir información incorrecta o un enlace fraudulento. Los agentes de IA integrados en navegadores, en cambio, pueden abrir enlaces, hacer clic, descargar archivos y completar formularios en nombre del usuario. Según sus fabricantes, estas herramientas suelen solicitar confirmación antes de realizar acciones consideradas de alto riesgo.
La diferencia está en lo que ocurre después de acceder al sitio. Leer una página fraudulenta puede derivar en desinformación o engaños, mientras que interactuar activamente con ella puede traducirse en pérdidas económicas o en la exposición de información personal. Tanto OpenAI como Anthropic reconocen estos riesgos, como veremos más adelante.
Las pruebas realizadas por empresas de seguridad muestran que este tipo de situaciones ya se ha producido en entornos controlados. En agosto de 2025, Guardio Labs, una empresa especializada en seguridad para navegadores, publicó una de las primeras investigaciones sobre navegadores impulsados por IA. En una de las pruebas, los investigadores pidieron a Comet, el navegador de Perplexity, que comprara un producto en una tienda falsa creada específicamente para el experimento. En algunos casos, la herramienta se negó a completar la acción o solicitó la intervención del usuario, pero en otros añadió productos al carrito y completó información previamente almacenada, como la dirección o los datos de pago.
En otra prueba, el navegador siguió el enlace de un correo electrónico fraudulento que se hacía pasar por una comunicación de Wells Fargo y abrió una página falsa de inicio de sesión, solicitando al usuario que ingresara sus credenciales. Como estas tecnologías evolucionan rápidamente, los investigadores señalan que los resultados reflejan el comportamiento observado en el momento de la prueba y no necesariamente el estado actual de las herramientas.
En mayo de 2026, Microsoft publicó una investigación que muestra cómo este tipo de escenarios puede desarrollarse fuera del laboratorio. Según sus investigadores, los atacantes crearon sitios web que imitaban programas legítimos como CrystalDiskInfo, HWMonitor y PDFgear, orientados a usuarios de equipos con tarjetas gráficas de alto rendimiento. Mediante técnicas de envenenamiento SEO, estos sitios lograron posicionarse entre los primeros resultados de búsqueda.
La investigación también menciona reportes de personas que, al solicitar recomendaciones de descarga a asistentes de IA, recibieron enlaces hacia dominios controlados por los atacantes. Los archivos descargados instalaban inicialmente ScreenConnect, una herramienta legítima de acceso remoto ampliamente utilizada por administradores de TI, que posteriormente era aprovechada para desplegar software de minería de criptomonedas.
Los propios investigadores señalan que sus conclusiones se basan en patrones observados y datos correlacionados. Además, aclaran que el ejemplo de respuesta de chatbot incluido en el informe es ilustrativo y no demuestra un problema sistémico en una plataforma específica de IA. Sin embargo, el caso muestra cómo una técnica que durante años afectó a los motores de búsqueda también puede trasladarse a los asistentes que utilizan información obtenida en la web.
El problema no se limita a páginas fraudulentas. En 2025, reportes de The Washington Post y Digital Trends documentaron casos en los que los resúmenes de IA de Google mostraban números telefónicos incorrectos o fraudulentos para el servicio de atención al cliente de algunas empresas. Google indicó que estaba al tanto de la situación y que había tomado medidas para corregir parte de los resultados.
¿Y si la página o documento en sí da órdenes a la IA?
Existe otro riesgo que no depende de que la IA recomiende una dirección falsa. En algunos casos, el propio contenido de una página web, un correo electrónico o un documento puede intentar influir en el comportamiento del asistente.
Cuando un agente de IA procesa una página, un mensaje o un archivo, puede interpretar instrucciones ocultas como si se tratara de órdenes legítimas del usuario. Este tipo de ataque se conoce como inyección de prompts prompt injection) y está documentado en guías de referencia como las de OWASP. Estas instrucciones pueden permanecer ocultas para las personas, por ejemplo mediante texto invisible o elementos diseñados para pasar desapercibidos, pero seguir siendo interpretadas por la IA.
OpenAI menciona como ejemplo un escenario en el que un agente encuentra un comentario malicioso durante una búsqueda y recibe instrucciones para obtener un código de recuperación de contraseña y enviarlo a un sitio controlado por atacantes. Por su parte, Guardio Labs describió una variante llamada PromptFix, en la que instrucciones ocultas detrás de un CAPTCHA falso inducen al agente a hacer clic en un botón y descargar un archivo. En las pruebas realizadas por los investigadores, el archivo era inofensivo, aunque en un escenario real podría tratarse de malware. La IA cree estar realizando una acción legítima, como resolver una verificación de seguridad, cuando en realidad está interactuando con un sitio malicioso o de phishing.
Los correos electrónicos y los documentos también pueden utilizarse como medio para este tipo de ataques. En 2025, investigadores de Aim Security dieron a conocer una vulnerabilidad crítica en Microsoft 365 Copilot denominada EchoLeak (CVE-2025-32711), mediante la cual un correo con instrucciones ocultas podía inducir al asistente a exponer información interna de una organización sin que el usuario tuviera que realizar ninguna acción. Microsoft corrigió el problema en junio de 2025 y no se reportaron evidencias de explotación en entornos reales.
Las invitaciones de calendario también pueden convertirse en un vector de ataque, especialmente contra agentes con capacidad de navegar y actuar por cuenta del usuario. En una investigación presentada en 2026, Zenity Labs describió una clase de vulnerabilidades denominada PleaseFix, en la que instrucciones ocultas dentro de una invitación de calendario lograban influir en el comportamiento de Comet, el agente de Perplexity, sin necesidad de interacción por parte del usuario. Según los investigadores, el verdadero riesgo surge cuando una instrucción maliciosa se mezcla con una tarea legítima hasta parecer un paso necesario para completarla.
En otras palabras, las instrucciones engañosas ya no tienen por qué presentarse únicamente en una página web. También pueden esconderse en correos electrónicos, documentos, invitaciones de calendario o incluso enlaces compartidos a través de redes sociales.
¿Qué opinan OpenAI y Anthropic sobre los agentes de IA?
Los principales desarrolladores de agentes de IA reconocen que estas herramientas incorporan nuevos riesgos. El modo agente de ChatGPT, desarrollado por OpenAI, utiliza un navegador para interactuar con sitios web y completar determinadas tareas en nombre del usuario. Según la compañía, incorpora medidas de seguridad como solicitudes de confirmación antes de acciones de alto impacto, mecanismos para detectar intentos de manipulación mediante inyección de prompts y controles adicionales en sitios considerados sensibles. Sin embargo, la empresa también reconoce que estas medidas no eliminan por completo los riesgos y recomienda limitar los permisos otorgados al agente y evitar operaciones sensibles siempre que sea posible.
Anthropic, que desarrolla Claude, describe el mismo problema en Claude en Chrome, una extensión capaz de hacer clic en botones y completar formularios. La empresa advierte que sitios web, correos electrónicos y documentos pueden ocultar instrucciones diseñadas para que la IA actúe sin que el usuario lo sepa, por ejemplo eliminando archivos, exponiendo información o realizando transacciones financieras. En una publicación de noviembre de 2025, Anthropic informó avances en sus mecanismos de protección, pero subrayó que el problema está lejos de estar resuelto y que ningún agente de navegador es inmune.
Ambas compañías apuestan por mantener al usuario en control. Anthropic señala que Claude solicita confirmación antes de realizar acciones de alto riesgo, como efectuar compras, publicar contenido o compartir información personal. Además, permite autorizar o bloquear el acceso a sitios web específicos. La empresa también recomienda evitar el uso de agentes de navegador en sitios financieros, legales o relacionados con la salud.
Como protegerse?
Para reducir el riesgo de acabar en una web falsa, ya sea que investigues por tu cuenta o con la ayuda de un asistente de IA, unas pocas medidas sencillas marcan una gran diferencia:
- Entra en la tienda a través de la app o escribiendo la dirección oficial, y no a través de un enlace sugerido por una IA o un anuncio.
- Revisa el dominio cuidadosamente antes de introducir cualquier dato, porque pequeños cambios en las letras son comunes.
- No confíes en la posición del resultado. Los sitios web falsos aparecen tanto en anuncios como entre resultados de búsqueda comunes.
- Para anuncios de Google, haz clic en los tres puntos junto al resultado para abrir el centro de anuncios y ver quién es el anunciante. Para resultados habituales, revisa la dirección cuidadosamente.
- Ten cuidado con las tiendas recién creadas, con precios muy por debajo del mercado y Pix como única forma de pago.
- Si usas un asistente o navegador de IA, prefieres un perfil separado para ello, sin tarjetas, contraseñas guardadas ni inicio de sesión automático en cuentas como correo electrónico y banca. Exige confirmación antes de cualquier acción y lee lo que se hará antes de aprobar.
- No pidas a un agente que abra enlaces, archivos, correos electrónicos o invitaciones de una fuente desconocida y limita su acceso a tus carpetas.
- Desconfía de los teléfonos, correos electrónicos, páginas web o datos de pagos informados por un asistente de IA y revisa siempre los canales oficiales de la empresa.
- Revisa las extensiones instaladas en el navegador y elimina las que no uses, especialmente aquellas que piden acceso amplio a los sitios web que visitas.
- Repórtalo a través del canal oficial de la marca.
La IA amplía la superficie de ataque y la supervisión humana sigue siendo esencial
Los asistentes de IA siguen siendo útiles para investigar y comparar, pero amplían la superficie de ataque: cada página, correo electrónico o documento que lee una IA puede convertirse en una vía para la estafa. Por lo tanto, la supervisión humana es y seguirá siendo muy importante. Conocer estos riesgos te permite aprovechar las nuevas posibilidades que la IA ofrece de forma segura. Antes de introducir datos o confirmar un pago, merece la pena comprobar el dominio, acceder a la tienda oficial y, si un agente actúa, llevar un control de lo que hace.
