Investigadores de Zenity detectaron fallas de seguridad en los navegadores agénticos Claude en Chrome y ChatGPT Atlas que permiten tomar control de cuentas, realizar compras no autorizadas y robar información sin que la víctima haga clic en nada (Fuente SecurityWeek).
La firma de seguridad Zenity dio a conocer dos investigaciones que exponen vulnerabilidades serias en los navegadores potenciados con inteligencia artificial agéntica, específicamente en Claude en Chrome, de Anthropic, y en ChatGPT Atlas, de OpenAI. Ambos casos permiten a un atacante secuestrar el comportamiento del asistente sin que el usuario realice ninguna acción sospechosa.
En el caso de ChatGPT Atlas, el problema surge de una característica de diseño y no de un error de programación puntual. Estos navegadores agénticos operan como una única entidad que abarca múltiples pestañas autenticadas al mismo tiempo, lo que en la práctica revive un esquema de ataque similar al de falsificación de solicitudes entre sitios. Los investigadores demostraron que con solo un comentario malicioso publicado en un hilo de X es posible desviar una tarea inocente que el usuario le pidió al asistente, como suscribirse a un newsletter, y redirigirlo hacia una página con instrucciones ocultas. Desde ahí, el asistente puede terminar leyendo la lista de contactos de WhatsApp Web de la víctima y enviando mensajes de phishing a cada uno de ellos. En otro escenario, lograron que el asistente agregara productos a un carrito de Amazon, cambiara la dirección de envío a la del atacante y, para sortear la restricción que le impide confirmar compras directamente, hiciera que el propio asistente de compras de Amazon completara la operación en su lugar.
En el caso de Claude en Chrome, la cadena de ataque también arranca sin ninguna interacción sospechosa por parte de la víctima. Alcanza con que la persona le pida al asistente que resuma sus correos más recientes: si uno de esos mensajes contiene estructuras de instrucciones invisibles, el asistente las interpreta como órdenes directas. Para sortear los mecanismos de seguridad que deberían bloquear la ejecución de scripts maliciosos, los atacantes recurren a paquetes NPM alojados en una red de distribución de contenido fraudulenta, lo que permite ejecutar código dañino de forma silenciosa a través de una importación aparentemente inofensiva. A partir de ahí, operando dentro de la sesión activa de la víctima, el atacante puede extraer el contenido completo de la bandeja de entrada de Gmail y compartir todos los archivos de Google Drive con una cuenta bajo su control. Los investigadores también lograron tomar control de cuentas de Slack y X, interceptando los códigos de verificación que llegan por correo durante un proceso de restablecimiento de contraseña.
Ambos hallazgos fueron reportados a Anthropic y OpenAI entre fines de 2025 y principios de 2026. OpenAI reconoció el reporte, aunque remarcó que no existe una solución sencilla porque el problema está ligado a la capacidad central de estos navegadores de leer contenido web y actuar en consecuencia dentro de sesiones autenticadas. Por su parte, Anthropic clasificó el reporte sobre Claude en Chrome como informativo. Hasta el momento, ninguna de las dos vulnerabilidades cuenta con una corrección definitiva.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.