Los navegadores con inteligencia artificial prometen una interacción web más autónoma y eficiente, delegando tareas al software. Sin embargo, una reciente investigación de la Universidad de Washington ha identificado vulnerabilidades significativas en varios de estos navegadores. El estudio advierte que la capacidad de los agentes de IA para interpretar y actuar sobre el contenido de la web podría comprometer la política de mismo origen, una protección fundamental en la seguridad en línea.
Los navegadores basados en inteligencia artificial (IA) no se limitaron a ofrecer pestañas más inteligentes o resultados de búsqueda mejorados. Su ambición es considerablemente mayor: OpenAI aspira a un “verdadero superasistente”, Perplexity describe Comet como “el navegador que trabaja para ti”, y Google presenta Gemini en Chrome como el inicio de una nueva era de navegación. La promesa es clara: delegar parte de la interacción en línea al sistema, en lugar de que los usuarios se muevan de forma independiente por la web. No obstante, esta misma promesa comienza a revelar aspectos más delicados.
La Universidad de Washington ha centrado su atención en este riesgo emergente. En una investigación presentada en el workshop Agents in the Wild y divulgada por la universidad el 30 de junio, un equipo analizó siete navegadores agénticos populares para evaluar su interacción con una protección esencial de la web moderna: la política de mismo origen. La conclusión fue contundente: cuatro de ellos presentaban vías de riesgo significativas, y los investigadores lograron ejecutar una prueba de concepto completa en ChatGPT Atlas en Agent Mode.
Un navegador convencional simplemente muestra páginas y espera las decisiones del usuario. Es el usuario quien abre servicios, copia datos, los pega en otros sitios, compara opciones o completa formularios, dependiendo cada paso de su intervención. Los navegadores agénticos modifican esta lógica al integrar sistemas capaces de interpretar el contenido en pantalla y avanzar de forma autónoma dentro del propio navegador. Esto va más allá de resumir una página; implica coordinar tareas entre pestañas, operar sobre páginas abiertas y ejecutar acciones que antes eran responsabilidad del usuario.
El riesgo no surge únicamente de una página maliciosa, sino de la posibilidad de que el agente interprete esa página como parte de sus instrucciones. Aquí entra en juego la inyección de prompt (prompt injection), una técnica donde contenido externo busca alterar el comportamiento del modelo mediante órdenes ocultas, camufladas o ubicadas donde el usuario no esperaría encontrarlas. Aunque esto ya es un problema en un chatbot, en un navegador agéntico el alcance es mayor, ya que el sistema puede procesar información de una página y transformarla en acciones dentro del navegador.
La política de mismo origen es una de esas protecciones que, aunque rara vez visibles, son fundamentales para gran parte de la web moderna. Su función principal es evitar que una página pueda leer o manipular libremente información de otra solo porque ambas están abiertas en el navegador. Gracias a esta separación, una web cualquiera no debería poder acceder sin permiso a datos de una cuenta bancaria, un correo electrónico o un servicio privado. El problema surge cuando un agente agrupa información que antes estaba mucho más aislada.
Imaginemos que visitamos una página aparentemente inofensiva y solicitamos al agente que la resuma o que nos ayude a completar una tarea en ella. Bajo ciertas condiciones, esa página podría contener contenido de otro origen, como un iframe, junto con una instrucción maliciosa dirigida al modelo de IA, no al usuario. Si el agente posee los permisos suficientes, podría acceder a contenido que la web atacante no debería leer directamente y transferir parte de esa información a un formulario controlado por el atacante. De esta manera, la web no rompería la barrera directamente, sino que utilizaría al agente como un intermediario.
Es importante destacar que el estudio no afirma que todos los usuarios sufrirán un ataque, ni que cualquier navegador con IA sea inherentemente inseguro. Los investigadores analizaron versiones específicas en un momento dado y trabajaron con pruebas de concepto, no con ataques reales a servicios o datos sensibles de usuarios. También observaron diferencias significativas entre productos: los navegadores que otorgaban menos permisos al agente tendían a reducir el riesgo.
La paradoja reside en que estos navegadores son atractivos por su promesa de simplificar pasos, comprender páginas, relacionar información y ejecutar tareas con menor intervención del usuario. Sin embargo, esa misma capacidad es la que magnifica el impacto de un fallo: no se limita a una pestaña aislada, sino que ocurre en un entorno donde pueden haber sesiones abiertas, datos personales y acciones pendientes. Aunque aún no son un hábito masivo, el debate sobre su seguridad ya está presente, precisamente porque su propuesta se basa en otorgarles una mayor autonomía.
