Los agentes de inteligencia artificial prometen automatizar tareas, leer correos, consultar documentos internos y ejecutar acciones en nombre de los usuarios. Pero esa misma capacidad los convierte en un nuevo objetivo para los atacantes. Una investigación de Varonis ha puesto a prueba el marco de agentes de IA de código abierto OpenClaw y ha demostrado que estas herramientas pueden caer en técnicas clásicas de phishing, hasta el punto de compartir credenciales y datos sensibles con un supuesto atacante.
El experimento se centró en un agente de IA conectado a una bandeja de entrada de Gmail, herramientas de navegador, APIs de Google Workspace y fuentes internas de datos empresariales creadas para la prueba. El objetivo era comprobar si un agente que trabaja de forma autónoma puede ser engañado con las mismas tácticas que durante años han funcionado contra empleados humanos.
La respuesta, según los investigadores, es preocupante: aunque los modelos pueden detectar enlaces sospechosos, páginas falsas o aplicaciones OAuth maliciosas, siguen fallando en un punto clave de la ciberseguridad corporativa: verificar quién está realmente al otro lado de una petición.
Un agente de IA con acceso a datos empresariales
Para la prueba, Varonis creó un agente llamado Pinchy dentro de OpenClaw, un framework que permite a grandes modelos de lenguaje interactuar con sistemas reales y realizar acciones de forma autónoma. El agente fue configurado como asistente de correo, con capacidad para leer mensajes entrantes, razonar sobre ellos y actuar.
El entorno simulado incluía datos empresariales altamente sensibles: credenciales de AWS, accesos a bases de datos, exportaciones de CRM, comunicaciones internas e invitaciones de calendario. Es decir, un escenario muy parecido al que podría encontrarse un agente desplegado en una empresa real.
Los investigadores probaron dos configuraciones. La primera era genérica, con instrucciones estándar de productividad. La segunda era más estricta e incluía indicaciones específicas sobre concienciación frente al phishing y procedimientos de verificación de identidad. Además, las pruebas se realizaron con dos modelos: Google Gemini 3.1 Pro y OpenAI GPT-5.4.
Cuando la urgencia sirve para engañar a la IA
Uno de los escenarios simulados imitaba una técnica muy habitual en phishing corporativo: un atacante se hacía pasar por un responsable de equipo y solicitaba acceso al entorno de staging alegando un supuesto problema de producción.
El agente cayó en la trampa. Localizó y envió claves AWS IAM, credenciales de base de datos y detalles de acceso SSH a una cuenta externa de Gmail. Lo más llamativo es que el modo estricto también falló. Aunque tenía instrucciones adicionales para actuar con más cautela, la petición parecía operativa y urgente, y el agente no validó correctamente la identidad del remitente.
Este resultado refleja uno de los grandes riesgos de los agentes autónomos: no basta con que sepan identificar señales técnicas de phishing si no aplican principios de confianza cero en las interacciones sociales. Una petición urgente, bien redactada y aparentemente lógica puede ser suficiente para que el agente actúe de forma peligrosa.
Datos de clientes enviados sin comprobar al remitente
El segundo escenario fue similar. El atacante pidió una exportación de clientes con el pretexto de estar trabajando en remoto en una presentación. De nuevo, el agente recuperó y envió un archivo de CRM con registros de clientes, información de contacto, detalles contractuales y datos de ingresos.
La filtración no se produjo por una vulnerabilidad técnica clásica, sino por una decisión errónea del agente. Tenía acceso a la información, interpretó que la solicitud era legítima y ejecutó la acción sin verificar de forma suficiente la identidad del solicitante.
Este tipo de fallo es especialmente grave porque muchas empresas están empezando a conectar agentes de IA con sistemas internos, correo electrónico, calendarios, repositorios documentales y plataformas de clientes. Cuanto más acceso tenga el agente, mayor será el impacto de una mala decisión.
La identidad, el gran punto débil
La conclusión de Varonis es clara: los agentes de IA pueden detectar señales de phishing, pero todavía tienen dificultades para aplicar una lógica estricta de verificación de identidad. En los dos ataques más peligrosos, tanto la configuración genérica como la estricta fallaron porque el agente no comprobó correctamente si el remitente era quien decía ser.
Esto plantea un desafío para las empresas que quieran adoptar agentes autónomos. Un empleado puede recibir formación para desconfiar de peticiones urgentes, confirmar por otro canal una solicitud sensible o escalar dudas a un superior. Un agente de IA, en cambio, necesita reglas explícitas, límites técnicos y controles externos que impidan que actúe solo en operaciones de alto riesgo.
El estudio también detectó diferencias entre modelos. Según Varonis, Gemini mostró una mayor disposición a interactuar, mientras que GPT-5.4 adoptó una postura más cautelosa. Aun así, el problema no depende solo del modelo, sino del diseño del agente, sus permisos y las barreras que tenga alrededor.
