En abril de 2026, un equipo de investigadores de la Universidad de Washington se presentó ante una sala llena de expertos en seguridad en Río de Janeiro y entregó un diagnóstico que debería inquietar a cualquiera que haya delegado su navegación a un asistente de IA. El problema no es un error. No hay ningún parche en camino. La tensión atraviesa directamente la arquitectura de todos los navegadores impulsados por IA en el mercado actual.
Un muro antiguo, recién demolido
Para entender lo que los investigadores descubrieron, hay que entender la política del mismo origen. Es una de las reglas más antiguas y consecuentes de la web, construida durante más de 30 años, capa por capa, en respuesta a cada gusano, script entre sitios y filtración de datos que los atacantes le han lanzado. La regla es simple: el contenido cargado desde un sitio web, digamos el portal en línea de su banco, no puede leer datos cargados desde otro sitio web que se ejecuta en la misma pestaña del navegador. Un iframe publicitario en un sitio de noticias no puede acceder a su sesión de Gmail. Este cortafuegos invisible es la razón por la que puede tener 10 pestañas abiertas sin que cada una saquee a las demás.
Los agentes de navegación impulsados por IA destruyen ese cortafuegos deliberadamente.
Los investigadores, David Kohlbrenner, Franziska Roesner y sus colaboradores, probaron siete navegadores con IA: ChatGPT Atlas, Claude para Chrome, Perplexity Comet, Brave Leo AI, Chrome con Gemini, Microsoft Edge con Copilot y Firefox AI Mode. Lo que encontraron fue un panorama de seguridad sin ninguna posición segura. Para ser útil, un agente de IA debe ver todo lo que el usuario ve. Eso incluye contenido de iframes de origen cruzado, widgets de barra lateral, publicaciones de redes sociales incrustadas y anuncios de terceros. Sin acceso completo, el agente no puede resumir una página, responder preguntas sobre su contenido ni ejecutar tareas complejas. Pero con acceso completo, cada sitio que el usuario visita obtiene un canal potencial hacia los datos de todos los demás sitios, enrutado a través de los permisos del agente.
Los dos vectores de ataque
El equipo de Kohlbrenner identificó dos formas concretas en que los atacantes pueden explotar esta concesión arquitectónica. La primera es la inyección de instrucciones. Una línea de texto maliciosa oculta dentro de un anuncio, un hilo de comentarios o un iframe aparentemente benigno puede engañar a la IA para que malinterprete datos como instrucciones. El agente lee el contenido envenenado, cree que se le está dando un comando legítimo y actúa en consecuencia, potencialmente reenviando información sensible, haciendo clic en enlaces peligrosos o ejecutando acciones que el usuario nunca pretendió.
Esto no es hipotético. Los investigadores demostraron ataques de inyección funcionales en múltiples navegadores con IA. El agente no puede distinguir entre el contenido que el usuario quiere analizar y el contenido que está intentando activamente manipularlo, porque desde la perspectiva del agente, ambos son solo texto en la misma vista unificada de la página.
El segundo vector es el envenenamiento de memoria. Los agentes de IA no procesan una página y luego la olvidan. Almacenan información en la memoria para construir contexto, realizar un seguimiento de tareas y mejorar respuestas futuras. Los investigadores descubrieron que estos agentes mezclan rutinariamente información extraída de diferentes orígenes en el mismo almacén de memoria. Un fragmento de texto de un sitio web malicioso puede enredarse con datos de una sesión bancaria segura. Una vez mezclados, esos datos almacenados son vulnerables a la extracción mediante una solicitud posterior desde cualquier origen que el agente tenga permiso de leer.
La trampa de la agencia
Esta es la verdad incómoda que la presentación de Río de Janeiro dejó al descubierto: cuanto más útil es un navegador con IA, peor es su perfil de seguridad. Los productos más agentivos del estudio, ChatGPT Atlas, Claude para Chrome y Perplexity Comet, también fueron los más vulnerables. Ofrecen automatización más rica, integración más profunda con cuentas de usuario y memoria más persistente. Cada capacidad añadida amplía la superficie de ataque.
Por el contrario, los navegadores que obtuvieron mejores resultados en el análisis de seguridad fueron los que hacen menos. Brave Leo AI, Microsoft Edge con Copilot y Firefox AI Mode obtuvieron informes relativamente más limpios, pero solo porque adoptan un enfoque más cauteloso hacia las funciones agentivas. Son más seguros por ser menos ambiciosos. Esa no es una solución. Es una compensación que ninguna ingeniería ha resuelto todavía.
Las empresas que invierten fuertemente en la navegación con IA dicen que son conscientes de los riesgos y están trabajando en mitigaciones. Pero los investigadores se mostraron escépticos de que el problema pueda resolverse mediante ingeniería dentro de la arquitectura actual del navegador.
“Los agentes de navegación no están listos para el público”, dijo Kohlbrenner al público del taller.
Roesner enmarcó el desafío más profundo en términos de dinámicas competitivas. “Las empresas están lanzando estos navegadores porque están bajo presión competitiva. Pero cómo hacerlos seguros sigue siendo una pregunta abierta”.
Una contradicción estructural
El problema central no es que los ingenieros no hayan logrado implementar correctamente la sanitización de instrucciones o que el aislamiento de memoria necesite un esquema de cifrado más sólido. Es que el diseño fundamental de los agentes de navegación con IA contiene una contradicción. Para actuar en la web, un agente necesita permiso para leer y escribir a través de los mismos límites que 30 años de ingeniería de seguridad fueron construidos para hacer cumplir. No se puede dar a un agente agencia, la capacidad de tomar decisiones y ejecutar acciones en nombre del usuario, sin darle también el acceso que esa agencia requiere. Y no se le puede dar ese acceso sin desmantelar la política del mismo origen que ha evitado que la web caiga en el caos.
Esto es lo que los investigadores quieren decir cuando afirman que el problema es arquitectónico. No es un defecto en una implementación específica que pueda corregirse en una versión menor. Es una tensión entre la agencia y la contención que está incorporada en la definición misma de lo que se supone que debe hacer un navegador con IA.
El correo electrónico, el calendario, la cuenta bancaria y los registros médicos del usuario residen todos en orígenes diferentes. Un agente verdaderamente útil necesita leer de todos ellos para programar citas, realizar un seguimiento de gastos o resumir comunicaciones. Pero en el momento en que el agente puede leer a través de orígenes, también se convierte en un vector potencial para que los datos fluyan del banco a la red publicitaria, sin pasar por todos los límites de seguridad que el usuario creía que estaban en su lugar.
Lo que viene después
Kohlbrenner, Roesner y su equipo han publicado los resultados completos bajo el título “Security Analysis of AI-Powered Web Browsing Agents”, presentado en el taller Agents in the Wild en Río de Janeiro el 26 de abril de 2026. El artículo no ofrece una solución, y los autores no pretenden tener una. Cataloga el problema con precisión y deja que la industria lide con las implicaciones.
Las mitigaciones propuestas incluyen agentes en entornos aislados con almacenes de memoria por origen, confirmación explícita del usuario para acciones entre orígenes y nuevas API de navegador para acceso estructurado a datos. Pero cada enfoque reduce la utilidad del agente. La compensación es ineludible.
La cuestión de interés público es si el mercado permitirá a las empresas retroceder de las funciones agentivas agresivas el tiempo suficiente para construir algo seguro. La presión competitiva que describió Roesner no está disminuyendo. Todos los principales proveedores de navegadores ahora incluyen un asistente de IA, y cada uno compite por añadir más capacidades. El navegador con IA más seguro del mercado hoy es el que hace menos, pero ese no es el producto que los equipos de marketing quieren vender.
La presentación de Río de Janeiro no terminó con una solución, sino con una advertencia. La política del mismo origen tardó tres décadas en endurecerse. Los navegadores con IA la han desactivado en tres años. Y nadie ha descubierto cómo reconstruirla mientras se mantiene la inteligencia en su interior.
Referencia
Kohlbrenner, D., Roesner, F. et al. “Security Analysis of AI-Powered Web Browsing Agents.” Agents in the Wild Workshop, Río de Janeiro, abril de 2026.
Traducido por Alessandra