Los navegadores con IA agente ya han sido hackeados dos veces. En tu empresa probablemente nadie lo sabe

Un navegador con IA agente no es un buscador con un chatbot al lado: es un programa que ve lo que tú ves en la pantalla, entra con tus sesiones ya iniciadas y actúa por sí solo —rellena formularios, abre el correo, hace compras— sin que tengas que tocar el ratón en cada paso. Herramientas como Perplexity Comet, Microsoft Copilot Mode en Edge o ChatGPT Atlas ya se usan en empresas para tareas repetitivas: comparar presupuestos, gestionar reservas, revisar facturas. El problema, confirmado dos veces por investigadores de seguridad independientes en menos de tres meses, es que estos navegadores no distinguen una orden de su usuario de una instrucción escondida en una página web cualquiera. Y eso ya se ha usado para robar contraseñas sin que el usuario hiciera absolutamente nada.

Qué es exactamente un navegador con IA agente

No es una extensión que sugiere texto: es un asistente con permiso para operar el navegador como lo haría una persona, usando las sesiones ya abiertas (correo, banca, CRM) para completar tareas de varios pasos sin supervisión constante. Los principales en 2026 son:

• ChatGPT Atlas (OpenAI): lanzado en octubre de 2025. OpenAI anunció en julio de 2026 que deja de funcionar el 9 de agosto de 2026 —menos de diez meses después— y trasladó sus funciones a la app de escritorio de ChatGPT.
• Perplexity Comet: sigue activo y es, junto con Atlas, el más estudiado por investigadores de seguridad.
• Microsoft Copilot Mode (en Edge): integrado en el navegador que ya usan muchas empresas españolas por defecto.
• Claude para Chrome (Anthropic): en pruebas limitadas, con los mismos riesgos reconocidos por su propio fabricante.

El ataque que ya ha funcionado, dos veces en tres meses

Comet: un comentario de Reddit le roba una contraseña de un vistazo

El 20 de agosto de 2025, el equipo de seguridad de Brave hizo pública una prueba de concepto contra Comet. Escondieron instrucciones dentro de una etiqueta de «espóiler» de un comentario de Reddit, invisibles para cualquier persona que navegara con normalidad. Cuando un usuario le pidió a Comet que «resumiera esta página», el asistente leyó también esas instrucciones ocultas y las ejecutó como si fueran una orden legítima: entró en la configuración de la cuenta de Perplexity, extrajo el correo del usuario, provocó el envío de un código de un solo uso, abrió Gmail, leyó ese código y publicó ambos datos como respuesta en el mismo hilo de Reddit, donde el atacante podía recogerlos. Brave explicó que el fallo de fondo es que, para un navegador agente, no existe hoy una forma fiable de separar lo que pide el usuario de lo que dice cualquier página que visita.

Atlas: la memoria que se contamina y te sigue a todos tus dispositivos

Dos meses después, el 27 de octubre de 2025, la firma de seguridad LayerX (hoy parte de Akamai) encontró un fallo distinto en Atlas: un ataque de tipo CSRF que aprovecha la sesión ya iniciada del usuario para inyectar instrucciones ocultas directamente en la memoria persistente de ChatGPT, la función pensada para recordar preferencias entre conversaciones. Una vez «contaminada» esa memoria, las instrucciones maliciosas sobreviven a sesiones distintas, a dispositivos distintos e incluso a cambios de navegador, porque viajan con la cuenta, no con el equipo. En las mismas pruebas, LayerX enfrentó Atlas a 103 ataques de phishing reales que circulan hoy: Atlas bloqueó solo el 5,8 %, frente al 47 % de Chrome y el 53 % de Edge, es decir, casi un 90 % más expuesto que los navegadores convencionales.

Ni el más cuidadoso se libró: Claude para Chrome

Incluso Anthropic, que ha sido pública al afirmar que la inyección de instrucciones es «el mayor riesgo de los navegadores con IA» y que esa probabilidad «nunca es cero», tuvo su propio fallo: investigadores externos encontraron que cualquier subdominio que coincidiera con el patrón de dominios de confianza de Claude podía enviarle órdenes directamente a la extensión de Chrome, por un permiso configurado de forma demasiado abierta. El parche redujo el problema, pero no lo cerró del todo.

Por qué esto no se arregla con una actualización

Tres fabricantes distintos, tres fallos distintos, en menos de siete meses. No es que a uno se le haya escapado un detalle: es que un navegador con IA agente procesa, por el mismo canal, la orden de su usuario y el contenido de cualquier página que visita, sin una frontera segura entre «instrucción de confianza» y «texto que puede decir cualquier cosa». Mientras esa arquitectura no cambie, cada parche cierra un caso concreto, no la categoría de ataque. Esperar a que «la próxima versión lo arregle» no es una estrategia de seguridad: lo hemos visto ya con los agentes de IA en general —en los permisos que se les conceden de más y en las herramientas de IA que el personal usa sin pasar por TI— y el navegador agente es, simplemente, el punto de entrada más directo a las cuentas reales de la empresa.

Qué significa para una empresa en España

Si un navegador agente conectado a la cuenta de un empleado filtra datos de clientes o credenciales corporativas, eso es una brecha de seguridad a efectos del RGPD exactamente igual que si lo hubiera hecho una persona: la obligación de notificarlo a la autoridad de control en 72 horas (art. 33 RGPD) no depende de si quien pulsó el botón fue un humano o un asistente que actuaba en su nombre. Y la superficie de riesgo no es solo el dato que se filtra una vez: es cada sesión abierta —correo, CRM, banca, portales de proveedores— que ese navegador puede usar sin que nadie en la empresa lo esté mirando en tiempo real.

5 puntos para auditar ya, antes del primer incidente

• Averiguar qué navegadores con IA usa de verdad el personal, no qué política dice que está permitido.
• Revisar si esos navegadores tienen sesión abierta en herramientas con datos de clientes: CRM, correo, banca, proveedores.
• Comprobar si hay memoria persistente activada (tipo ChatGPT Memory) y qué información guarda sobre la empresa.
• Definir por escrito qué tareas no se delegan nunca a un agente autónomo: pagos, envío de datos personales, acceso a contratos.
• Pedir una auditoría externa antes de aprobar el uso corporativo, no después del primer incidente.

Preguntas frecuentes

¿Qué es la inyección de prompt en un navegador con IA? Es una técnica por la que un atacante esconde instrucciones dentro de una página web, un comentario o un documento. El navegador agente las lee junto con la orden real del usuario y, al no distinguir una cosa de la otra, las ejecuta como si fueran legítimas.

¿Esto afecta solo a Comet y Atlas, o a cualquier navegador con IA? Afecta a la categoría entera. Brave lo documentó en Comet, LayerX en Atlas y hasta Claude para Chrome, de Anthropic, tuvo su propio fallo. El propio fabricante de Claude reconoce públicamente que el riesgo nunca llega a cero.

¿Un ataque así cuenta como brecha de datos bajo el RGPD? Si se exponen datos personales de clientes o empleados, sí, con independencia de que la acción la ejecutara un asistente de IA y no una persona directamente.

¿Debo prohibir estos navegadores en mi empresa? No necesariamente, pero sí decidirlo de forma consciente: qué tareas se les permiten, con qué sesiones pueden operar y qué se auditará, en lugar de dejar que cada empleado decida por su cuenta.

¿Cómo sé si ya se están usando en mi empresa sin que yo lo sepa? Es exactamente el mismo problema que la IA en la sombra: herramientas que el personal adopta porque ahorran tiempo, sin pasar por ningún control. Una auditoría de ciberseguridad lo detecta antes de que se convierta en un incidente.

Antes de que decida otro, decide tú

Un navegador con IA agente conectado a las cuentas reales de tu empresa no es una herramienta de productividad más: es una puerta nueva a tus datos que, por ahora, ningún fabricante ha cerrado del todo. En Optima Quantum hacemos auditorías de seguridad que revisan también este tipo de herramientas antes de que causen un incidente, como parte de nuestros servicios de ciberseguridad para empresas. Si quieres saber qué navegadores y agentes de IA están ya operando dentro de tu empresa, contacta con nosotros.

Fuentes consultadas: Brave, «Agentic Browser Security: Indirect Prompt Injection in Perplexity Comet» (20-ago-2025); LayerX / Akamai, «LayerX identifies vulnerability in new ChatGPT Atlas browser» (27-oct-2025); The Register, cobertura de la vulnerabilidad de memoria de Atlas (27-oct-2025); The Hacker News y SecurityWeek, cobertura del fallo «ClaudeBleed» en Claude para Chrome; MacRumors, anuncio del cierre de ChatGPT Atlas (10-jul-2026).