Consultar un asistente de inteligencia artificial se volvió tan habitual como realizar una búsqueda en internet, pero la evolución de estas herramientas abrió un nuevo frente de riesgo: que sus recomendaciones o acciones conduzcan a sitios web falsos. Eset Latinoamérica advirtió que los asistentes de IA pueden sugerir enlaces y que los agentes integrados en navegadores incluso pueden navegar e interactuar con páginas en nombre del usuario, una combinación que puede ser aprovechada por ciberdelincuentes.

La diferencia no es menor. Mientras los asistentes que resumen contenido web pueden exponer al usuario a información incorrecta o a un enlace fraudulento, los agentes con capacidad de actuar —abrir enlaces, hacer clic, descargar archivos y completar formularios— pueden escalar el impacto hacia pérdidas económicas o exposición de información personal. Según sus fabricantes, estas herramientas suelen solicitar confirmación antes de acciones consideradas de alto riesgo, pero el problema aparece una vez que el agente accede al sitio.

Dos técnicas en foco

El contexto de adopción masiva amplifica el problema. Una encuesta realizada por Ipsos para Google en 21 países indicó que 66 % de las personas utilizó alguna herramienta o aplicación de IA en los últimos 12 meses. En ese marco, Eset puso el foco en dos técnicas que ya se encuentran documentadas.

Mario Micucci, investigador de Seguridad Informática de Eset Latinoamérica, señaló: “Aunque todavía no existen pruebas de que las estafas a través de chatbots sean un fenómeno”. En el mismo análisis, el directivo describió el envenenamiento SEO, que busca posicionar páginas fraudulentas entre los primeros resultados de búsqueda y puede afectar también las respuestas generadas por asistentes de IA, y la inyección de prompts, que utiliza instrucciones ocultas en páginas web, correos electrónicos o documentos para influir en el comportamiento de agentes.

En 2025, reportes de The Washington Post y Digital Trends documentaron casos en los que los resúmenes de IA de Google mostraban números telefónicos incorrectos o fraudulentos para el servicio de atención al cliente de algunas empresas. Google indicó que estaba al tanto de la situación y que había tomado medidas para corregir parte de los resultados.

Instrucciones ocultas y nuevos vectores

La inyección de prompts no depende de que la IA recomiende una dirección falsa: cuando un agente procesa una página, un mensaje o un archivo, puede interpretar instrucciones ocultas como si fueran órdenes legítimas del usuario. Este tipo de ataque está documentado en guías de referencia como las de OWASP. OpenAI mencionó un escenario en el que un agente encuentra un comentario malicioso durante una búsqueda y recibe instrucciones para obtener un código de recuperación de contraseña y enviarlo a un sitio controlado por atacantes. Guardio Labs describió PromptFix, con instrucciones ocultas detrás de un CAPTCHA falso que inducen a descargar un archivo.

Las invitaciones de calendario también pueden convertirse en un vector de ataque. En una investigación presentada en 2026, Zenity Labs describió PleaseFix, una clase de vulnerabilidades en la que instrucciones ocultas dentro de una invitación lograban influir en el comportamiento de Comet, el agente de Perplexity, sin interacción del usuario. “En otras palabras, las instrucciones engañosas ya no tienen por qué presentarse únicamente en una página web”, agregó Micucci.

Entre las medidas recomendadas figuran entrar a tiendas desde la app o escribiendo la dirección oficial, revisar el dominio antes de cargar datos, no confiar en la posición del resultado —incluidos anuncios— y, si se usan agentes, hacerlo con un perfil separado, sin tarjetas ni contraseñas guardadas y con confirmación previa para cada acción.