Los navegadores con inteligencia artificial ya no se limitan a resumir una página: pueden leer varias pestañas, rellenar formularios, pulsar botones y ejecutar tareas en nombre del usuario. Ese salto convierte una visita web aparentemente normal en una superficie de ataque distinta, porque una página maliciosa puede intentar dar instrucciones al agente como si fueran órdenes legítimas.
La técnica se conoce como prompt injection indirecta. El contenido hostil puede estar visible, oculto en el DOM, incrustado en una descripción o incluso aparecer después de que el agente haya cargado la página. El objetivo puede ser robar información, cambiar una compra, enviar un formulario o desviar al asistente hacia un dominio controlado por el atacante.
Qué cambia cuando el navegador puede actuar por ti
En un navegador tradicional, una página puede intentar engañarte, pero la decisión final la toma una persona. En un navegador agentico, el sistema interpreta la página, decide el siguiente paso y puede interactuar con servicios donde ya tienes una sesión iniciada. Por eso el riesgo no depende solo del malware clásico: también importa la autoridad que tenga el agente.
El problema se vuelve especialmente serio cuando el agente dispone de cookies, acceso a correo, permisos de compra, paneles de administración o herramientas conectadas mediante extensiones. Un texto malicioso no necesita “romper” el navegador si consigue que el modelo trate una instrucción externa como si fuera parte de la tarea.
Las cuatro amenazas que debes controlar
| Amenaza | Qué intenta hacer | Control prioritario |
|---|---|---|
| Prompt injection indirecta | Modificar la conducta del agente mediante texto de una página | Aislar instrucciones y contenido no confiable |
| Exfiltración de datos | Enviar secretos, documentos o cookies a un dominio externo | Lista de destinos permitidos y bloqueo de formularios |
| Escalada de acciones | Pasar de leer a comprar, borrar o publicar sin confirmación | Permisos por acción y aprobación humana |
| Manipulación de página | Cambiar botones o formularios mientras el agente actúa | Revisión de origen, destino y estado antes de confirmar |
Configuración segura paso a paso
1. Separa la cuenta personal de la cuenta de trabajo
No uses el mismo perfil del navegador para banca, correo personal, paneles corporativos y pruebas con agentes. La separación reduce el impacto de una sesión comprometida y evita que un agente experimental herede todas tus cookies y extensiones.
Para automatizaciones de prueba, crea un perfil específico sin tarjetas guardadas, sin contraseñas sincronizadas y con una cuenta de correo secundaria. Si el agente solo necesita leer documentación pública, no le des acceso a un perfil autenticado.
2. Empieza en modo lectura
La primera fase debe permitir buscar, resumir y clasificar, pero no enviar formularios ni ejecutar cambios. El agente puede preparar un borrador de compra, correo o ticket, mientras la última acción queda bloqueada hasta que la apruebes.
Esta separación entre read y write es más importante que la marca del navegador. Un modelo excelente sigue siendo peligroso si puede pulsar “Comprar”, “Eliminar” o “Publicar” sin una barrera adicional.
3. Usa una lista de dominios permitidos
La navegación agentica debería limitarse a los sitios necesarios para la tarea. Una allowlist evita que una instrucción inyectada redirija al asistente a un dominio externo para subir datos o iniciar una sesión falsa.
Para una tarea de facturación, por ejemplo, permite solo el ERP, el proveedor de pagos y el repositorio documental que necesites. Bloquea el resto por defecto y registra cualquier intento de salida.
4. Exige confirmación para acciones irreversibles
El navegador debe pedir confirmación antes de enviar credenciales, publicar contenido, borrar información, aceptar cambios de contrato, realizar compras o transferir datos a un nuevo origen. La confirmación debe mostrar el destino, los campos que se enviarán y el efecto esperado.
No basta con un mensaje genérico como “¿Quieres continuar?”. Una confirmación útil indica, por ejemplo: “Se enviará el archivo nóminas-septiembre.pdf a facturacion.ejemplo.com con tu sesión corporativa”.
5. Reduce el alcance de las credenciales
El agente no debería trabajar con una cuenta administradora si la tarea solo necesita consultar pedidos. Usa usuarios de mínimo privilegio, tokens temporales y credenciales limitadas por origen. Si el navegador o la plataforma permiten credenciales ligadas a un dominio, actívalas.
Cómo detectar una prompt injection antes de que cause daños
Hay señales que deben tratarse como contenido no confiable:
- La página pide ignorar instrucciones anteriores o cambiar de objetivo.
- Solicita copiar secretos, tokens o cookies a un chat o formulario.
- Ordena desactivar controles, instalar una extensión o pegar código en la consola.
- Intenta ocultar instrucciones con texto diminuto, color de fondo, caracteres Unicode o elementos fuera de pantalla.
- Presiona para actuar con urgencia y sin revisión humana.
Un agente seguro debe interpretar esas señales como datos de la página, no como órdenes del sistema. Si el navegador no distingue ambas capas, el usuario debe asumir que el contenido web puede influir en la ejecución.
Qué controles buscar si comparas herramientas de navegador con IA
No te quedes con la etiqueta “protección contra prompt injection”. Comprueba estas capacidades concretas:
- Inspección del DOM y del árbol de accesibilidad: detectar instrucciones ocultas que no aparecen visualmente.
- Políticas de salida: bloquear formularios, peticiones y copiado de datos hacia destinos no autorizados.
- Identidad y trazabilidad: saber qué usuario y qué agente ejecutaron cada acción.
- Separación de permisos: permitir lectura sin conceder escritura.
- Registro auditable: conservar URL, acción, destino, datos enviados y decisión de política.
- Parada inmediata: pausar el agente sin cerrar toda la sesión del navegador.
Las plataformas empresariales que están apareciendo en 2026 se mueven precisamente en esa dirección: inspeccionar la actividad del agente en tiempo de ejecución, controlar herramientas y aplicar políticas antes de que una llamada se ejecute. El criterio útil no es cuántos modelos soportan, sino qué acciones pueden bloquear y qué evidencias dejan.
Configuración mínima para usuarios domésticos
Si utilizas un navegador con IA en casa, aplica al menos este nivel:
- Perfil separado para pruebas.
- Sin tarjetas guardadas ni contraseñas sincronizadas en ese perfil.
- Extensiones reducidas al mínimo.
- Confirmación manual para compras, envíos y borrados.
- Desactivación del acceso a correo y almacenamiento cuando no sea necesario.
- Revisión de permisos después de cada actualización del agente.
También conviene revisar el historial de sesiones y las extensiones instaladas. Los ataques no siempre buscan controlar el modelo; a veces intentan abusar del contexto que el navegador ya tiene abierto.
Errores frecuentes que debes evitar
Confiar en que el modelo “sabrá distinguir” una orden maliciosa
La seguridad no puede descansar solo en el razonamiento del modelo. Las reglas de red, los permisos del navegador y las confirmaciones de usuario deben actuar como barreras independientes.
Dar acceso completo para ahorrar unos clics
El ahorro de tiempo no justifica una sesión con acceso simultáneo a banca, correo, CRM y almacenamiento. Divide las tareas por perfiles y permisos.
Instalar extensiones de seguridad sin revisar su privacidad
Una extensión que inspecciona cada página puede ver información sensible. Antes de instalarla, comprueba quién la mantiene, qué datos procesa localmente, qué envía a sus servidores y cómo se actualiza.
Conclusión
La seguridad de un navegador con IA depende menos de que el modelo sea “inteligente” y más de que esté acotado. El diseño correcto combina perfiles separados, privilegios mínimos, destinos permitidos, modo lectura, confirmaciones explícitas y registros de auditoría.
La regla práctica es sencilla: cualquier agente que pueda leer una página y actuar en tu nombre debe tratar la web como una entrada no confiable. Si no puedes ver qué va a enviar, a qué dominio y con qué permisos, todavía no está preparado para trabajar sin supervisión.
Preguntas frecuentes
¿Qué es una prompt injection indirecta?
Es una instrucción maliciosa incluida en una página, documento o resultado web que intenta cambiar el comportamiento del agente que lo está leyendo.
¿Basta con usar un navegador conocido?
No. El riesgo depende de los permisos, las extensiones, las credenciales disponibles y los controles que existan antes de ejecutar una acción.
¿Debo bloquear todos los agentes de navegador?
No necesariamente. Para tareas de bajo riesgo pueden ser útiles, pero empieza con lectura, perfiles aislados y confirmación humana para cualquier acción irreversible.
Para ampliar la parte de ciberseguridad, puedes consultar también las estafas que suplantan a ChatGPT y Copilot y nuestra guía sobre cómo funcionan las passkeys. Como referencias externas, revisa el análisis de Cloudflare sobre agentes de código en sandboxes y la documentación de Surface Security sobre guardrails para agentes.
Deja una respuesta