Un agente de IA que navega por ti lee todo lo que aparece en la pantalla, y no siempre sabe distinguir tus órdenes de las que alguien ha escondido en una web. Ese fallo tiene nombre, inyección de instrucciones (prompt injection), y las propias empresas que venden estos agentes reconocen que no está resuelto. Esta guía es para quien ya usa, o piensa usar, una extensión o un modo agente que hace clic, rellena formularios y compra. Al terminar sabrás qué permisos estás concediendo, cómo funciona el ataque y qué hábitos reducen el daño si ocurre.Qué es la inyección de instruccionesEs un ataque en el que alguien mete órdenes maliciosas dentro del contenido que el agente procesa: una web, un correo, un documento o incluso una imagen. OpenAI lo define así en su análisis sobre cómo blindar su navegador contra este ataque: «un ataque de inyección de instrucciones apunta a los agentes de IA incrustando instrucciones maliciosas en el contenido que el agente procesa». Su ejemplo: un correo trampa que ordena al agente enviar una carta de dimisión al consejero delegado del usuario.El OWASP GenAI Security Project, que publica una lista de los diez riesgos principales de las aplicaciones con modelos de lenguaje, coloca este fallo en el primer puesto de su lista vigente a octubre de 2026, la edición 2025, como LLM01:2025. Su ficha del riesgo distingue dos tipos:Directa: el propio usuario escribe algo que altera el comportamiento del modelo.Indirecta: el modelo «acepta entradas de fuentes externas, como sitios web o archivos». Es la que afecta a los agentes que navegan.El detalle inquietante está en la misma ficha: las instrucciones inyectadas «no tienen por qué ser visibles o legibles para un humano», basta con que el modelo las procese. OWASP menciona expresamente instrucciones escondidas en imágenes. Tú ves una reseña normal de un producto; el agente puede estar leyendo otra cosa.Por qué no se arregla como un fallo normalPorque no es un fallo de programación, sino de la forma en que funcionan estos modelos. El NCSC, el centro nacional de ciberseguridad británico, lo explicó el 8 de diciembre de 2025 en un texto titulado «La inyección de instrucciones no es una inyección SQL (puede ser peor)»: los modelos «no imponen una frontera de seguridad entre instrucciones y datos dentro de un prompt».La inyección SQL se corrigió separando técnicamente el código de los datos. Con los modelos de lenguaje no existe esa separación: todo es texto que predice el siguiente texto. Por eso el NCSC concluye que este ataque «puede que nunca se mitigue del todo» y pide desconfiar de cualquier producto que prometa «detenerlo».Las empresas que fabrican agentes dicen lo mismo con sus propias palabras:OpenAI (22 de diciembre de 2025): «Es improbable que la inyección de instrucciones, igual que las estafas y la ingeniería social en la web, llegue a estar completamente resuelta».Anthropic (24 de noviembre de 2025), en su informe sobre defensas: «Ningún agente de navegador es inmune». Con su modelo Claude Opus 4.5 y nuevas salvaguardas, la versión de su extensión de navegador lanzada ese día bajó la tasa de éxito de los ataques al 1 % en sus pruebas internas, con un atacante adaptativo de 100 intentos por entorno. La propia empresa lo describe como una mejora que «sigue representando un riesgo significativo».OpenAI, en un texto de marzo de 2026, añade que los ataques más eficaces en el mundo real «se asemejan cada vez más a la ingeniería social» y cita un ataque de 2025 contra ChatGPT, comunicado por investigadores de seguridad externos, que en las pruebas funcionó el 50 % de las veces.Mi lectura: un 1 % suena tranquilizador hasta que piensas en cuántas páginas visita un agente en una tarde de compras. Y ese 1 % es la mejor cifra publicada por el fabricante en su propio laboratorio, no una auditoría independiente.¿Qué permisos le estás dando a un agente?Básicamente los mismos que tienes tú en el navegador donde lo instalas. Si estás conectado a tu banco, a tu correo o a una tienda con la tarjeta guardada, el agente opera dentro de esas sesiones. El NCSC da la regla para medir el riesgo: hay que asumir que el modelo puede ser manipulado y calcular el impacto como si un atacante tuviera acceso directo a todas las herramientas que el agente puede usar. Y la lista de herramientas crece rápido desde que existen estándares como el Model Context Protocol, que conecta asistentes de IA con aplicaciones y datos: cada conector nuevo es una puerta más que una instrucción escondida puede intentar abrir.Los fabricantes han añadido frenos, y conviene conocerlos para no desactivarlos por comodidad:Claude in Chrome, la extensión de Anthropic, está disponible, a octubre de 2026, para todos los planes de pago (Pro, Max, Team y Enterprise), según su página de ayuda. Arranca en modo «aprobar automáticamente», en el que el propio Claude decide cuándo pedirte permiso. Su guía de uso seguro recomienda cambiar a «aprobar manualmente» si quieres revisar cada acción, y desaconseja «encarecidamente» usarlo para gestionar finanzas, documentos legales o información médica.Chrome con Gemini: Google explicó en su blog de seguridad (8 de diciembre de 2025) que el agente pide confirmación antes de entrar en webs sensibles como banca o salud, antes de iniciar sesión con el gestor de contraseñas («el modelo no tiene acceso directo a las contraseñas guardadas») y antes de completar una compra o un pago. Un segundo modelo, aislado del contenido web, revisa cada acción propuesta y puede vetarla. La función de navegación automática (auto browse) llegó a Android en agosto de 2026, inicialmente solo para suscriptores de AI Pro y AI Ultra en Estados Unidos, según el anuncio de Google.OpenAI ha retirado su navegador ChatGPT Atlas, cuyo cierre estaba programado para el 9 de agosto de 2026, y ha trasladado la navegación con agente a la aplicación de escritorio de ChatGPT y a su extensión para Chrome, según su centro de ayuda. Sus consejos publicados siguen siendo válidos para cualquier agente: usar el modo sin sesión iniciada cuando no haga falta estar conectado, dar tareas concretas y acotadas, y revisar con calma cada solicitud de confirmación.Cinco hábitos que reducen el dañoNinguno elimina el riesgo; todos limitan lo que un atacante puede conseguir.Usa un perfil de navegador aparte para el agente. Lo recomienda Anthropic: un perfil sin acceso a banca, salud ni administraciones públicas. Si el agente cae en una trampa, no encuentra nada valioso abierto.Encarga tareas cerradas. «Busca vuelos Madrid-Lisboa del 3 al 7 y enséñame los tres más baratos» deja menos margen que «organízame el viaje». OpenAI lo justifica: las instrucciones amplias dan más espacio a que el contenido malicioso desvíe al agente.El pago, siempre tú. Que el agente prepare el carrito; la confirmación final, la haces a mano. Si el servicio te deja elegir, activa la aprobación manual de acciones.Vigila las señales raras. La guía de Anthropic pide detener la tarea si el agente cambia de tema, visita webs que no esperabas o te pide datos sensibles. Esa última es la más clara: un agente que te pide la contraseña o el código de un SMS se parece mucho a un phishing, solo que esta vez el mensajero es tu asistente.Nada de contraseñas en el chat. Que las credenciales las rellene tu gestor de contraseñas o las escribas tú; no se las dictes nunca al agente.El panorama general de estos agentes, y por qué la web no estaba preparada para ellos, lo analizamos en la fiebre de los agentes de IA y las barandillas que le faltan a la web.Creo que la industria está vendiendo estos agentes con una contradicción incómoda: el marketing habla de delegar, y la letra pequeña te pide vigilar cada paso, no usarlos con tu banco y desconfiar de lo que lean. Las dos cosas no caben en el mismo producto. Hasta que la tasa de éxito de los ataques no la mida alguien independiente, trataría a un agente de compras como a un becario el primer día: útil para buscar y comparar, pero sin la tarjeta.La noticia Agentes de IA que navegan y compran por ti: qué permisos les das y qué es la inyección de instrucciones fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.