Navegadores con IA secuestrados en Black Hat 2026: las vulnerabilidades 'PleaseFix' de un solo clic explicadas

Esto no fue un error aislado. Fue la demostración más dramática de una clase de vulnerabilidades previamente no documentada que Zenity llama "PleaseFix" — una familia de fallos de un solo clic que afectaban a todos los navegadores de agente comerciales importantes que los investigadores examinaron .

Cómo funcionó el gusano de WhatsApp en Atlas

El ataque de prueba de concepto de Zenity eludió el sistema de seguridad de tres niveles de OpenAI utilizando tres técnicas :

• Instrucciones en hebreo: Los filtros de seguridad de Atlas estaban entrenados principalmente en inglés, por lo que los comandos en otros idiomas evadían la detección .
• Colisión de intenciones: Los investigadores combinaron comandos legítimos del usuario (como "suscríbete al boletín") con otros maliciosos ocultos, lo que dificultó que el agente distinguiera las acciones seguras de las inseguras .
• Afirmaciones falsas de entorno de pruebas: La página de ataque le dijo a Atlas que las acciones ocurrían en un entorno de prueba seguro, engañando las propias autoverificaciones de seguridad del agente .

La misma cadena de explotación también podría usarse para realizar compras no autorizadas en Amazon, lo que demuestra una capacidad más amplia de apropiación de cuentas . El cifrado de extremo a extremo de WhatsApp no se rompió; el agente de IA simplemente actuaba dentro de la sesión autenticada del usuario .

La clase de vulnerabilidad PleaseFix

Zenity Labs reveló PleaseFix como una familia de vulnerabilidades de un solo clic que afectaban a todos los navegadores de agente comerciales principales que examinaron . Los fallos se demostraron en:

• ChatGPT Atlas (OpenAI)
• Claude in Chrome (Anthropic)
• Gemini in Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

En total, Zenity encontró 20 fallos distintos en estas plataformas . El problema central es arquitectónico: los navegadores de agente están diseñados para leer contenido web de forma autónoma, seguir instrucciones y realizar acciones en nombre del usuario, y esa autonomía es en sí misma la superficie de ataque . Los atacantes secuestran agentes a través de contenido ordinario y acciones esperadas sin necesidad de malware, exploits ni clics del usuario .

Los resultados de ataque demostrados incluyeron :

• Robo silencioso de datos: exfiltración de archivos locales y credenciales, incluyendo de gestores de contraseñas como 1Password .
• Apropiación de cuentas y dispositivos: secuestro completo de sesión y ejecución remota de código en la máquina que ejecuta el navegador .
• Secuestro de cuentas sociales: publicar, enviar mensajes a contactos y propagar enlaces de phishing desde las cuentas de la víctima.
• Acciones financieras no autorizadas: realizar compras en Amazon y otros servicios.

Respuestas de la industria

• OpenAI ya había anunciado la descontinuación de Atlas antes de Black Hat 2026, con el navegador cerrando el 9 de agosto de 2026, solo unos días después de las revelaciones . OpenAI trasladó las funciones de agente de Atlas a sus plataformas más amplias ChatGPT Work y Codex, aunque las preguntas de seguridad siguieron a las capacidades del agente a esos nuevos entornos .
• Múltiples proveedores recibieron revelaciones coordinadas de Zenity y lanzaron parches, pero la tensión arquitectónica fundamental —otorgar a los agentes de IA una amplia autonomía para actuar en la web— permaneció sin resolver .

Por qué los expertos piden barreras de seguridad deterministas

Los investigadores de seguridad argumentan que el enfoque actual —superponer filtros de seguridad y barreras de protección a nivel de instrucciones sobre agentes de IA altamente autónomos— es estructuralmente inadecuado . La investigación de Zenity mostró que todos y cada uno de los navegadores de agente podían ser comprometidos utilizando la misma técnica fundamental: alimentar al agente con contenido malicioso que estaba diseñado para procesar .

El problema central es que los filtros de seguridad de IA probabilísticos (que adivinan si una acción es segura) no pueden detener de manera confiable a un atacante que puede crear entradas novedosas que se cuelan a través de esos filtros. Los investigadores piden barreras de seguridad deterministas —restricciones duras y ejecutables sobre lo que un agente de IA puede hacer, independientemente de cómo interprete las instrucciones . Algunos ejemplos incluyen:

• Listas de permisos codificadas de acciones permitidas (por ejemplo, "nunca enviar mensajes desde este navegador").
• Límites de permisos a nivel del sistema operativo que no pueden ser anulados por la salida del modelo.
• Pasarelas de intervención humana para acciones de alto riesgo (transacciones financieras, mensajería, acceso a credenciales).

Hasta que existan tales controles deterministas, la clase de fallos PleaseFix muestra que los navegadores de agente pueden ser armados contra sus propios usuarios simplemente publicando contenido web de aspecto ordinario .