La regla de seguridad más importante de internet tiene 30 años y acaba de romperse.
Un estudio de la Universidad de Washington, presentado en el ICLR 2026 Workshop on Agents in the Wild, evaluó siete navegadores con IA agéntica y descubrió que cuatro de ellos permiten que sitios web maliciosos eludan la política de mismo origen.
Si tienes tu banco abierto en una pestaña y visitas un sitio sospechoso en otra, ese sitio podría leer tus datos bancarios. Eso es exactamente lo que la política de mismo origen ha impedido desde 1995. Hasta ahora.
Cuáles son vulnerables y cuáles no
Los siete navegadores evaluados fueron ChatGPT Atlas, Chrome con Gemini, Claude for Chrome, Perplexity Comet, Microsoft Edge con Copilot, Brave Leo y Firefox AI Mode. Cuatro resultaron vulnerables: Atlas, Gemini en Chrome, Claude for Chrome y Comet.
Los tres más seguros fueron Copilot en Edge, Brave Leo y Firefox AI Mode —aunque Firefox es también el más limitado en capacidades.
El patrón es claro: cuanto más capaz es el navegador, mayor es el riesgo. Los agentes necesitan leer contenido cruzado entre pestañas para funcionar, y esa necesidad crea un conflicto inherente entre utilidad y seguridad.
Cómo funciona el ataque
Los investigadores identificaron dos métodos. El primero es prompt injection: una página web maliciosa esconde instrucciones secretas en texto o imágenes aparentemente normales.
El agente de IA, entrenado para seguir instrucciones en lenguaje natural, las obedece sin darse cuenta de que ha sido manipulado. Podría reenviar correos, hacer clic en links de phishing o extraer datos sin que el usuario se entere.
El segundo es memory poisoning: las instrucciones maliciosas se almacenan en la memoria del agente y se activan horas después, incluso después de que la página original se cerró. Los investigadores lograron un proof-of-concept exitoso contra ChatGPT Atlas usando ambas técnicas.
La respuesta de la industria revela una brecha preocupante. Perplexity y OpenAI se negaron a tomar medidas, argumentando que los investigadores no tenían una demostración completa end-to-end. Anthropic y Firefox no respondieron. En contraste, Google, Microsoft y Brave cooperaron con los investigadores.
El director de seguridad de OpenAI, Dane Stuckey, reconoció en X que “la prompt injection sigue siendo un problema de seguridad fronterizo y no resuelto”. Perplexity admitió que los ataques “manipulan el proceso de decisión del agente, volviendo sus capacidades contra el usuario”. Pero neither empresa actuó.
Este no es el primer aviso. En marzo 2026, Zenity Labs demostró que Perplexity Comet podía ser engañado para leer archivos locales, navegar directorios y extraer información a través de un simple invite de calendario. Un exploit previo llamado BioShocking mostró cómo los navegadores con IA podían ser manipulados por contexto.
Gartner aconsejó a organizaciones con baja tolerancia al riesgo bloquear o pausar los navegadores AI autónomos. Los agentes heredan los defectos de los chatbots —alucinaciones, comportamiento desalineado, fuga de datos— mientras ganan autonomía sobre sesiones sensibles.
Según el reporte de HiddenLayer sobre amenazas de IA 2026, basado en más de 500 profesionales de seguridad, el 65% de las empresas enfrentó incidentes de agentes de IA este año. Muchos a través de herramientas personales no autorizadas o extensiones.
La IA prometió hacer la navegación más inteligente. Cumplió. Pero también abrió puertas que llevaban cerradas 30 años por una razón. La pregunta ya no es si los navegadores con IA son útiles —lo son—, sino si la seguridad alcanza a llegar antes de la primera brecha mayor.
Fuentes
- Digital Trends: Yet another research breaks the hype bubble for AI browsers
- WebProNews: AI Browsers Promise Smarter Surfing. They Also Open Dangerous New Doors
- Infobae: Algunos navegadores con IA pueden eludir la política de mismo origen
- UW News: Some agentic AI browsers come with major cybersecurity risks
