Un enlace de ChatGPT bastaba para colar un agente de IA infiltrado con tus permisos de empleado

Por The Register · 23 de julio de 2026.

Un clic en lo que parecía un enlace normal de ChatGPT podía plantar, dentro del área de trabajo de una empresa, un agente de IA controlado por un atacante y con acceso a las cuentas conectadas del empleado. Así lo documentó Zenity Labs, firma de seguridad que bautizó el fallo como "AgentForger" tras demostrar que era posible crear, configurar, publicar y programar en secreto un agente malicioso dentro de la cuenta de ChatGPT de la víctima.

La clave del fallo estaba en el "agent builder" de ChatGPT, la función que permite montar asistentes capaces de operar entre correo, chat, calendarios y otras aplicaciones de empresa. Según Zenity, el creador de agentes aceptaba instrucciones ocultas dentro de un enlace con apariencia normal: bastaba un clic para que, en nombre del atacante, el sistema conectara las cuentas ya vinculadas de la víctima, desactivara los avisos de aprobación, publicara el nuevo agente y lo programara para ejecutarse solo. Si el empleado tenía enlazados Outlook, Teams, Slack, SharePoint o Google Drive —y la organización permitía esas acciones—, el agente heredaba ese acceso.

Lo más inquietante del diseño no era el acceso en sí, sino el mecanismo de control remoto. En lugar de contactar con una infraestructura de mando y control convencional, el agente simplemente revisaba la bandeja de entrada de la víctima buscando correos del atacante con "TASK" en el asunto: cada mensaje se convertía en una nueva orden, ya fuera rebuscar en archivos corporativos, reunir documentos sensibles o enviar los resultados por correo. En sus pruebas de concepto, Zenity usó el agente para mapear personas y proyectos de una organización rastreando Outlook, Slack, Teams, calendarios y repositorios de archivos, buscar contraseñas y claves de API filtradas en conversaciones, y enviar mensajes de phishing convincentes desde la propia cuenta de Teams de la víctima, incluyendo variantes de compromiso de correo corporativo (BEC).

"Esto no es una solicitud falsificada, es un infiltrado falsificado", resumió Michael Bargury, cofundador y director de tecnología de Zenity, a The Register. "Con un clic, un atacante consigue un agente totalmente autónomo dentro de tu empresa, con la identidad y el acceso de tu gente, y sin barreras. Los atacantes ya no tienen que entrar a robar tus datos: pueden fabricar un infiltrado que vaya a buscarlos por ellos."

Zenity reportó el fallo a OpenAI a través de Bugcrowd el 4 de junio; la compañía lo reconoció al día siguiente y lo corrigió cuatro días después eliminando el parámetro de URL que permitía el ataque, antes de que se hiciera público. OpenAI no respondió a las preguntas de The Register sobre el caso.

El episodio en sí quedó resuelto rápido y sin daño conocido, gracias a una divulgación responsable que funcionó como debe funcionar. Pero el fallo importa menos por lo que fue que por lo que anticipa: a medida que los agentes de IA dejan de limitarse a responder preguntas y empiezan a actuar sobre sistemas corporativos reales —correo, chat, archivos compartidos—, la superficie de ataque deja de parecerse a software y empieza a parecerse a la plantilla. Un agente con permisos de empleado no necesita robar una contraseña ni secuestrar una sesión de navegador: le basta con existir dentro del perímetro de confianza que la organización ya le concedió a esa persona.

Esta es, en nuestra lectura, la cara más inmediata y menos glamurosa del riesgo de la IA agéntica, y conecta con algo que ya veníamos señalando: el peligro urgente no es una superinteligencia lejana, sino la industrialización de fraudes y espionaje mediante agentes que actúan con identidad ajena, a escala y sin fatiga. Los controles de seguridad actuales —basados en detectar accesos anómalos de credenciales robadas— no fueron diseñados para reconocer un agente que opera con permisos legítimos porque un empleado, sin mala intención, cedió tácitamente la llave. Es un fallo de confianza en el agente, no un fallo de contraseña, y exige un modelo distinto: revocación instantánea de agentes, permisos que caducan, y tratamiento de cada asistente autónomo como si fuera un empleado más al que hay que dar de alta, auditar y despedir.

A largo plazo seguimos convencidos de que delegar tareas administrativas y rutinarias en agentes es justamente el camino hacia esa abundancia que libera a las personas de las tareas rutinarias del back-office. Pero ese futuro solo llega si la gobernanza de los agentes madura al mismo ritmo que su capacidad de actuar. Casos como AgentForger son la prueba, todavía manejable, de que ese trabajo de gobernanza apenas ha empezado.