Video El Navegador IA Comet de Perplexity Puede Ser Secuestrado Mediante Instrucciones Maliciosas

En el navegador IA Comet de Perplexity, cuando se le pide al Asistente de IA que resuma una página web, no separa claramente la instrucción confiable del usuario del contenido de la página. Si una página web contiene prompts maliciosos, ambos se pasan juntos al modelo de IA. Esto permite a los atacantes secuestrar al asistente de IA y forzarlo a realizar acciones dañinas.

Para demostrar el problema de seguridad, los investigadores de Brave mostraron cómo una página de Reddit con un comentario malicioso podría engañar al asistente de Comet. En lugar de simplemente resumir la página, la IA siguió instrucciones ocultas, navegó a Gmail, recuperó una contraseña de un solo uso (OTP) y la reveló de vuelta al atacante en el hilo de comentarios.

Dado que el agente de IA tiene acceso a todo dentro de tu navegador, desde Gmail hasta cuentas bancarias, puede ser manipulado fácilmente con nada más que un prompt en lenguaje natural oculto en cualquier página web.

Los investigadores de Brave escribieron: "Este ataque presenta desafíos significativos para los mecanismos de seguridad web existentes. Cuando un asistente de IA sigue instrucciones maliciosas de contenido de página web no confiable, protecciones tradicionales como la política del mismo origen (SOP) o el intercambio de recursos de origen cruzado (CORS) son efectivamente inútiles."

"La IA opera con todos los privilegios del usuario a través de sesiones autenticadas, proporcionando acceso potencial a cuentas bancarias, sistemas corporativos, correos electrónicos privados, almacenamiento en la nube y otros servicios."

Los investigadores advierten que los sitios web pueden incrustar instrucciones maliciosas ocultas en texto blanco sobre un fondo blanco para hacerlo invisible a los ojos humanos, pero visible para el agente de IA. De esta manera, los agentes de IA pueden ser secuestrados fácilmente y se les puede pedir que realicen ataques dañinos. Es por eso que OpenAI ha lanzado su Agente ChatGPT en un navegador en la nube aislado y no permite que se ejecute en tu navegador personal local.

Google, por otro lado, ha adoptado un enfoque similar integrando el agente de IA Project Mariner en sus productos, en lugar de incrustarlo directamente en Chrome. El riesgo de la inyección de prompts es bastante grande y sigue siendo uno de los mayores desafíos en el campo de la seguridad de la IA.

Por cierto, el equipo de Brave reportó el problema a Perplexity en julio de 2025, y el navegador Comet fue parcheado en cuestión de días. Sin embargo, las pruebas posteriores demostraron que el parche era incompleto. Según Brave, el problema de inyección de prompts en el navegador Comet de Perplexity no está completamente mitigado.