Lo que la investigación de Salt Labs sobre Manus significa para quienes implementan agentes de IA y cómo cerrar la brecha que dejó al descubierto
Salt Labs demostró recientemente que un solo correo electrónico podía secuestrar la plataforma de agentes de IA Manus y acceder a las cuentas conectadas de la víctima. El desglose técnico completo, con pruebas, cargas útiles y capturas de pantalla, se encuentra en el informe de nuestro equipo de investigación, y Dark Reading fue el primero en informar sobre el hallazgo en una exclusiva. Esta publicación es la versión resumida: qué significa el hallazgo y qué le indica a toda organización que esté implementando agentes de IA actualmente.
Para obtener todos los detalles técnicos, lea el blog de investigación de Salt Labs.
La conclusión principal
Manus tenía una barrera de seguridad. Funcionó. Detectó la actividad maliciosa y emitió una advertencia. El ataque tuvo éxito de todos modos porque la advertencia llegó después de que el código ya se había ejecutado.
En un sistema autónomo, no hay ningún humano entre la alerta y la acción. Un control que se activa un paso demasiado tarde es un control que no se activó.
Esa es la verdadera lección del hallazgo, y se aplica mucho más allá de una sola plataforma. La mayor parte de la seguridad de la IA actual está diseñada para inspeccionar las instrucciones y el comportamiento del modelo, es decir, la conversación. Pero un agente no solo habla. Actúa, accediendo a herramientas, API y cuentas conectadas a velocidad de máquina. Cuando el daño ocurre en lo que hace el agente y no en lo que dice, una barrera que vigila la conversación está vigilando el lugar equivocado en el momento equivocado.
Por qué este es un problema de todos, no solo de Manus
El problema específico ha sido solucionado. El patrón no, porque es arquitectónico. Cualquier agente que lea entradas no confiables (un correo electrónico, un documento, una página web, un registro) y pueda actuar sobre sistemas conectados tiene el mismo tipo de exposición. Las barreras que coinciden con patrones maliciosos conocidos siempre pasarán por alto el patrón que no han visto, y los atacantes tienen un suministro ilimitado de nuevos disfraces. Mientras tanto, el agente a menudo tiene un amplio acceso a los mismos sistemas a los que un atacante quiere llegar.
Esta no es una preocupación hipotética para el futuro. Las empresas están conectando agentes al correo electrónico, almacenamiento, repositorios de código y sistemas empresariales hoy en día, a menudo con más acceso del que requiere la tarea y poca visibilidad sobre lo que esos agentes realmente hacen una vez que comienzan a actuar.
Qué pueden hacer las organizaciones
Cerrar esta brecha no significa ralentizar la adopción de la IA. Significa ser capaz de ver y gobernar lo que hacen sus agentes. En la práctica, eso se reduce a unas pocas disciplinas:
- Asuma que las entradas no confiables llegarán a la ruta de ejecución. Trate todo lo que un agente pueda leer como una fuente potencial de instrucciones maliciosas, porque lo es.
- No confíe solo en las barreras de seguridad. Los filtros de coincidencia de patrones son una capa necesaria, no una defensa completa. Diseñe pensando en el caso en que se eluda una barrera.
- Aplique el control antes de la acción, no después. Una detección que llega después de que se ha ejecutado una acción de alto impacto no ha evitado nada. Los controles deben limitar las acciones sensibles antes de que se ejecuten.
- Aplique el principio de menor privilegio a cada agente. El radio de impacto en el hallazgo de Manus provino de un único entorno que albergaba tokens activos para cada servicio conectado. Un acceso limitado y con alcance definido reduce el alcance de cualquier posible vulneración.
- Obtenga visibilidad de toda la ruta. El ataque se propagó desde un correo electrónico, pasando por el modelo, hacia una herramienta, un entorno de ejecución, el sistema operativo, los tokens almacenados y, finalmente, las cuentas de terceros.
Ningún control individual detectó la totalidad del incidente. Usted necesita poder hacerlo.
Cómo ayuda Salt
Este es exactamente el problema que la Plataforma de Seguridad Agéntica de Salt Security está diseñada para resolver. Salt descubre los agentes, servidores MCP y API que operan en un entorno, mapea las conexiones y permisos entre ellos, y monitorea el comportamiento de los agentes en tiempo de ejecución, para que los equipos de seguridad puedan ver la ruta completa que sigue un agente y actuar cuando su comportamiento se desvía de lo previsto.
Mientras que las barreras de seguridad en la capa del modelo supervisan la conversación, Salt protege lo que el agente realmente hace a través de las herramientas y API a las que accede, que es precisamente el nivel donde el ataque de Manus, y otros similares, causan daño. Esa combinación de visibilidad en toda la ruta agéntica y aplicación de políticas en el punto de acción transforma una detección tardía en un ataque detenido.
Lea la investigación completa
El análisis técnico completo, con las pruebas que respaldan cada afirmación, se encuentra en el blog de Salt Labs: Inside the Manus Exploit. Para ver cómo Salt brinda a los equipos de seguridad visibilidad y control totales en su entorno agéntico, visite salt.security y/o solicite una demostración hoy mismo.