Navegadores que actúan por ti: qué no deberías dejarles

Un navegador con agente no es un buscador que responde. Es un programa al que le das permiso para hacer cosas dentro de tus sesiones ya abiertas: navegar, pulsar, rellenar formularios, entrar en tu correo, poner productos en un carrito y pagarlos.

Suena cómodo. Y lo es. El problema es que esa comodidad viene con un fallo de diseño que los propios fabricantes reconocen por escrito y dicen que probablemente no se arregle nunca.

Qué hay disponible de verdad hoy

Aquí conviene separar dos cosas que el marketing mezcla: una IA que te ayuda mientras navegas y un agente que navega solo. La primera está disponible en España. La segunda, casi nada.

• Comet, de Perplexity. Es el único con agente completo y disponible en todo el mundo desde octubre de 2025, gratis, en Mac, Windows, iPhone y Android.
• Gemini en Chrome. El asistente sí funciona en España y en español. Pero la parte que navega sola, que Google llama auto browse, sigue siendo solo Estados Unidos y solo para quien paga.
• Copilot en Edge. Igual: el modo está en muchos países, pero las acciones —hacer clic, escribir, moverse por pestañas— siguen siendo solo Estados Unidos y para suscriptores de pago.
• ChatGPT Atlas ya no existe. OpenAI lo cerró el 9 de agosto de 2026 y llevó lo agéntico a su aplicación de escritorio. Si lees un artículo que te lo recomienda, está desactualizado.

Lo que puede hacer cuando le das las llaves

No son promesas de folleto: es lo que los fabricantes describen en su propia documentación. Google enumera rellenar formularios, gestionar suscripciones y pagar facturas, renovar el carné, reunir documentos fiscales y usar el gestor de contraseñas de Chrome para iniciar sesión. Microsoft habla de reservar mesa, hacer pedidos y darse de baja de boletines. Perplexity, de ordenar el correo, hacer la compra y llevar las finanzas.

Fíjate en lo que tienen en común: todo eso ocurre dentro de tus sesiones ya iniciadas. El agente no necesita robarte la contraseña de Gmail. Ya está dentro de tu Gmail.

El fallo: cualquier página puede darle órdenes

A un ordenador no le pasa lo que a ti. Tú distingues entre lo que te pide tu jefe y lo que pone un cartel en la calle. Estos programas, no.

Cuando le pides a un navegador con agente que te resuma una página, el programa le pasa el texto de esa página a su modelo de lenguaje. Y ahí dentro no hay ninguna frontera entre «esto me lo ha pedido mi dueño» y «esto lo dice una web cualquiera de internet». Si alguien esconde instrucciones en la página, el agente las lee como si fueran tuyas.

Se llama inyección indirecta de instrucciones. La Agencia Española de Protección de Datos lo explica así en sus orientaciones sobre IA agéntica de febrero de 2026: se pueden «introducir en un fichero PDF, un correo electrónico o una página web instrucciones invisibles para el humano, pero que el LLM del agente interpreta como comandos legítimos».

Un caso real, paso a paso

No es una hipótesis. Lo publicó Brave el 20 de agosto de 2025, sobre el navegador Comet.

Caso documentado por Brave · agosto de 2025

1. El atacante escribe un comentario en Reddit. Dentro esconde un bloque de instrucciones, tapado con una etiqueta de spoiler. Para una persona es un comentario más.
2. El usuario abre esa página y pulsa «resumir». Es lo único que hace. No pincha ningún enlace del atacante ni descarga nada.
3. El navegador obedece las instrucciones escondidas. Entra en la página de cuenta de Perplexity y saca la dirección de correo del usuario. Provoca el envío de un código de un solo uso. Abre Gmail, donde el usuario ya tenía la sesión iniciada, y lee el código.
4. Publica el correo y el código en el propio comentario de Reddit. El atacante solo tiene que ir a recogerlos.

Por qué importa

La víctima no se equivocó en nada. No hay enlace en el que picar ni contraseña que teclear en una web falsa. Las defensas de siempre del navegador seguían funcionando: el agente las atravesó legítimamente, porque el usuario le había dado permiso.

Brave avisó a Perplexity el 25 de julio. Perplexity corrigió el 27. Brave comprobó el 28 que la corrección era incompleta. Al publicar, el 20 de agosto, el ataque seguía sin estar del todo tapado.

No es un caso aislado. Brave repitió el hallazgo con instrucciones escondidas dentro de imágenes y en HTML invisible, y encontró lo mismo en Opera Neon. La empresa Guardio Labs probó Comet con tres trampas: compró en una tienda falsa rellenando la tarjeta él solo, siguió un correo de phishing bancario y ayudó a meter las credenciales.

Lo que dicen los fabricantes

Esto es lo más honesto que vas a leer sobre el tema, y lo firman ellos:

• OpenAI: «la inyección de instrucciones, igual que las estafas y la ingeniería social en la web, es improbable que llegue a resolverse del todo».
• Perplexity: «la inyección maliciosa de instrucciones sigue siendo un problema sin resolver en toda la industria».
• Google: es «la principal amenaza nueva a la que se enfrentan todos los navegadores con agente», y puede llevar al agente a «iniciar transacciones financieras o extraer datos sensibles».
• Microsoft: sin protecciones, «los atacantes pueden crear fácilmente contenido que robe datos de los usuarios o realice transacciones no deseadas».

Ninguno dice que esté resuelto. Y la recomendación de todos, en el fondo, es la misma: vigila tú.

Hay un detalle que conviene notar. Cuando un fabricante compara este fallo con «las estafas de toda la vida», está moviendo parte de la responsabilidad hacia ti. Pero una estafa clásica necesita que tú te equivoques. Esto no.

Entonces, ¿qué hago?

No hace falta renunciar a la IA en el navegador. Hace falta separar dos usos.

Lo que sí puedes dejarle: resumir un artículo largo, comparar dos productos, explicarte una página en otro idioma, buscar algo entre muchas pestañas. Todo lo que sea leer y contarte.

Lo que no deberías dejarle todavía: entrar en tu correo, en tu banco o en tu historia clínica; comprar con una tarjeta guardada; iniciar sesión por ti; gestionar suscripciones o pagar facturas.

Y tres cosas prácticas:

1. Usa un navegador aparte para lo importante. Tu banco y tu correo, en un navegador donde no haya ningún agente. Es la separación más barata y la más eficaz.
2. Encárgale cosas concretas, no encargos amplios. Lo recomienda OpenAI. «Resume esta página» es más seguro que «ocúpate de mis recados».
3. Lee las confirmaciones antes de aceptar. Todos piden permiso para comprar o enviar correos. Esa ventana es lo único que hay entre una instrucción escondida y tu tarjeta.

Si además tienes una contraseña distinta en cada sitio, un fallo como el de Comet se queda en el servicio afectado y no abre los demás. Y conviene tener claro de antemano qué información no le das nunca a una IA, porque un agente con permisos puede ir a buscarla él solo.

Fuentes consultadas

• Inteligencia artificial agéntica desde la perspectiva de protección de datos (PDF) — AEPD
• Agentic Browser Security: Indirect Prompt Injection in Perplexity Comet — Brave, en inglés
• Understanding prompt injections — OpenAI, en inglés
• Mitigating Prompt Injection in Comet — Perplexity, en inglés
• Considerations for Safe Agentic Browsing — Microsoft, en inglés
• LLM01:2025 Prompt Injection — OWASP, en inglés

Relacionados

• Información que nunca debes dar a una IA
• El sistema de contraseñas actual

Revisión

Responsable de la publicación: Ibrahin. Fecha: 2026-09-04. Última comprobación: 2026-09-04. La disponibilidad de cada navegador, las citas de los fabricantes y el caso de Comet se comprobaron en sus fuentes originales el 4 de septiembre de 2026. El cierre de ChatGPT Atlas consta en la documentación de OpenAI.