En Black Hat USA 2026, los investigadores de Zenity Labs presentaron una familia de vulnerabilidades que llaman PleaseFix. Suena técnico, pero lo que demuestran es bastante simple: si le das a un navegador con IA permiso para actuar por ti, un email, una invitación de calendario o un enlace en redes sociales puede convertirse en un ataque sin clics. Cero clics. Sin que pulses nada raro.
Y no hablamos de un producto cutre. Zenity probó agentes integrados en navegadores de OpenAI, Google, Microsoft, Anthropic y Perplexity. En todos encontraron cadenas de explotación. Algunos más fáciles que otros, sí, pero todos vulnerables a la misma lógica: el agente no distingue bien entre lo que tú quieres y lo que alguien ha escondido en el contenido que estás pidiendo que procese.
Lo llaman Intent Collision, colisión de intenciones. Tú le pides «resume este email» o «apúntame a esta newsletter». El contenido incluye instrucciones ocultas. El agente las mezcla con las tuyas y ejecuta lo que el atacante quiere. En la demo de ChatGPT Atlas, bastaba con un enlace bajo un post popular en X: el agente abría WhatsApp Web y mandaba el mismo mensaje a todos tus contactos. Una campaña de phishing desde tu propia cuenta, usando tu sesión autenticada.
OpenAI tenía más controles que la competencia, según los propios investigadores. Aun así, los saltaron. En otro escenario, Atlas añadió una tablet al carrito de Amazon y puso la dirección del atacante. Cuando los guardrails bloquearon el pago directo, pidió a Rufus —el asistente de compras de Amazon— que completara la compra con tu tarjeta. Un agente reclutando a otro para terminar el fraude. Si eso no te pone los pelos de punta, es que llevas poco tiempo gestionando webs para clientes.
En Perplexity Comet, una invitación de calendario envenenada bastó para acceder al sistema de archivos local, robar credenciales vía 1Password y dejarte fuera de tu propia cuenta. Perplexity parcheó el acceso a file://. Zenity lo saltó dos veces más: primero con URLs view-source:file://, después añadiendo un sufijo #.pdf que pasaba el filtro. Parchear un camino concreto no es lo mismo que cerrar la vulnerabilidad, y eso debería sonarte si llevas años peleando con plugins de WordPress mal actualizados.
Michael Bargury, CTO de Zenity, lo resumió sin rodeos: «han nerfeado los controles de seguridad del navegador — estamos otra vez viendo ataques de hace veinte años». Same-origin policy, sandboxing, décadas de hardening… todo eso se erosiona cuando metes un agente con permisos reales sobre pestañas, archivos locales y gestores de contraseñas. Y la industria lo vende como productividad.
Lo peor es el timing. OpenAI deprecó Atlas el 9 de agosto y movió las capacidades de navegador al escritorio de ChatGPT. Google empuja Gemini en Chrome. Microsoft mete Copilot en Edge. Anthropic tiene Claude in Chrome. Perplexity sigue con Comet. Ninguno ha resuelto el prompt injection; OpenAI lo reconoce como «problema de seguridad sin resolver». Pero todos compiten por ser el primero en darte un agente que «haga cosas por ti».
¿Qué significa esto si gestionas webs, hosting o proyectos para pymes? Primero, que recomendar a un cliente que active un navegador con IA con acceso a sus cuentas de trabajo es una responsabilidad que casi nadie está asumiendo. Segundo, que la superficie de ataque de tu organización ya no es solo la web que mantienes: es el navegador del comercial, del diseñador, del dueño de la tienda online, con sesiones abiertas en Gmail, Slack, AWS y el panel de WordPress.
Tercero — y aquí me pongo más cínico — que los parches de los fabricantes llegan después de las demos en Black Hat, no antes. Zenity reportó los hallazgos de Atlas a OpenAI en enero. Las demos públicas fueron en agosto. Seis meses en los que el problema existía y el producto seguía en beta abierta. Eso no es precaución, es lanzar primero y contener después.
No digo que la IA en el navegador no tenga utilidad. Digo que la están empaquetando como si el riesgo fuera marginal cuando la evidencia apunta a lo contrario. Los investigadores recomiendan barreras deterministas — reglas duras, no clasificadores de IA que otro modelo puede engañar— y limitar drásticamente qué puede tocar el agente. Consejos sensatos. Ninguno encaja con el discurso comercial de «tu asistente que hace todo mientras duermes».
En ticweb llevamos años diciendo a clientes que actualicen plugins, que usen contraseñas de aplicación, que no instalen cosas raras en el servidor. Ahora hay que añadir: no le des a un chatbot permiso para operar tu navegador con sesiones abiertas. Suena obvio escrito así. Pero mira cuantas empresas ya están probando Copilot, Gemini o ChatGPT con conectores a Google Workspace y no han pasado por seguridad ni una vez.
La pregunta no es si PleaseFix es el fin del mundo. Es más sutil: si mañana un proveedor te ofreciera integrar un agente de IA con acceso a tu panel de hosting, tu correo y tus repos de GitHub para «automatizar el mantenimiento», ¿lo activarías antes o después de que tu responsable de seguridad firmara un informe de riesgo — sabiendo que Zenity acaba de demostrar en Black Hat que ninguno de los navegadores líderes aguanta un enlace envenenado sin clics?