Por Redacción TechnoCatcher. Artículo redactado con asistencia de IA a partir de fuentes públicas verificadas.
Los navegadores con agentes de inteligencia artificial quieren convertirse en el siguiente gran atajo digital. La propuesta es tentadora: pedirle al navegador que resuma una página, compare productos, rellene formularios, reserve un viaje o salte entre varias pestañas para completar una tarea sin que el usuario tenga que hacerlo manualmente. El problema es que esa comodidad también cambia una regla básica de la web: ya no es solo la persona quien navega, sino un sistema automatizado con permisos para leer, resumir y actuar.
Ese cambio está empezando a preocupar a los investigadores de seguridad. Un estudio de la Universidad de Washington, difundido por la propia universidad a finales de junio y acompañado por un trabajo académico en arXiv, concluye que varios navegadores agénticos actuales pueden debilitar la política del mismo origen, una de las defensas clásicas del navegador moderno. Dicho de forma simple: una página abierta en el navegador no debería poder leer sin permiso el contenido sensible de otra. Si ese muro se agrieta, la promesa del navegador inteligente se convierte en un riesgo real.
Qué ha descubierto la investigación y por qué importa
La Universidad de Washington explica que su equipo analizó siete navegadores o modos de navegación con agente integrado. Según ese resumen oficial, en cuatro de ellos encontraron condiciones que podían permitir a actores maliciosos esquivar la política del mismo origen. Además, los investigadores lograron una prueba de concepto funcional sobre ChatGPT Atlas y señalaron que también observaron precondiciones de ataque en Chrome con Gemini, Claude for Chrome y Perplexity Comet.
La relevancia de este hallazgo no está en un fallo aislado, sino en lo que toca. La política del mismo origen existe desde los años noventa y sigue siendo una pieza central de la seguridad web. Es la razón por la que una pestaña con contenido malicioso no puede, en condiciones normales, entrar a leer tu correo abierto en otra sesión o extraer datos de una cuenta bancaria cargada en otra página. Cuando el navegador incorpora un agente con capacidad para observar y actuar en varias páginas, esa separación deja de ser tan automática como antes.
El artículo académico disponible en arXiv va en la misma dirección. Sus autores sostienen que el propio navegador agéntico puede convertirse en un canal automatizado de flujo de datos entre orígenes distintos. También proponen un sistema de mitigación llamado SOPGuard, pensado para preservar la utilidad de estos agentes sin romper esa barrera de seguridad. Que la investigación incluya una propuesta de defensa es importante, porque sugiere que el problema no es puramente teórico: hace falta rediseñar cómo se dan permisos a estos sistemas.
Cómo funciona el riesgo: inyección de instrucciones y memoria contaminada
El mecanismo más llamativo es la llamada prompt injection, o inyección de instrucciones. Según la explicación pública del equipo de Washington, una página maliciosa puede esconder texto o instrucciones en su contenido o en su código para intentar que el agente las interprete como órdenes legítimas. Si después el usuario pide al navegador que resuma esa página o que complete una tarea relacionada, el agente podría obedecer la instrucción maliciosa y acabar revelando información que no debería tocar.
En el ejemplo descrito por los investigadores, una página atacante incrusta contenido de otro origen y manipula al agente para que incluya ese contenido en un resumen que luego se envía automáticamente a un formulario controlado por el atacante. No hace falta que el usuario copie y pegue nada: precisamente ese trabajo lo hace el agente. La automatización, que es el gran valor de estos navegadores, es también la superficie de ataque.
El segundo riesgo es menos vistoso pero igual de serio: el memory poisoning, o envenenamiento de memoria. Muchos agentes guardan contexto para ser más útiles después. Esa memoria sirve para recordar tareas, resumir sesiones previas o mantener continuidad entre páginas. El problema, según la investigación de la Universidad de Washington, es que algunos sistemas pueden mezclar información procedente de distintos orígenes durante ese proceso de compresión y reorganización. Si ocurre, el agente puede perder la pista de dónde venía cada dato y reutilizarlo donde no debe.
La carrera comercial va más rápido que la seguridad
La propia universidad recoge otro detalle relevante: los navegadores menos arriesgados en su prueba eran también los más limitados en capacidades. No es una sorpresa. Cuanto más poder se concede al agente para leer, interpretar y actuar en nombre del usuario, más útil resulta la experiencia, pero más difícil es mantener intactas las garantías clásicas del navegador. La industria quiere demostrar que sus agentes son capaces de “hacer cosas”, y esa presión competitiva empuja a abrir permisos que hace pocos años habrían parecido excesivos.
En este contexto, no conviene leer el problema como un tropiezo puntual de una sola empresa. El interés comercial por convertir el navegador en un asistente autónomo es general: OpenAI, Google, Anthropic, Perplexity, Microsoft, Brave y Mozilla están explorando variantes con grados distintos de integración. La conclusión práctica es incómoda para todos: la carrera por lanzar funciones puede ir por delante del modelo de seguridad necesario para sostenerlas.
También importa cómo respondieron las compañías. La nota de la Universidad de Washington indica que los investigadores compartieron su trabajo con las empresas implicadas. Según esa misma fuente, hubo intercambios útiles con Google, Microsoft y Brave, mientras que OpenAI y Perplexity rechazaron el informe y Anthropic y Firefox no respondieron a tiempo para ese comunicado. Eso no equivale a una condena definitiva, pero sí refleja que el sector todavía está buscando cómo gestionar este tipo de hallazgos.
Qué debería hacer un usuario ahora mismo
La lección no es dejar de usar para siempre cualquier función con IA en el navegador, pero sí bajar el entusiasmo y subir la cautela. Si un agente tiene acceso a sesiones abiertas de correo, banca, documentos privados o paneles de trabajo, lo sensato es no darle por defecto permisos amplios para navegar libremente y ejecutar acciones encadenadas. En especial, conviene evitar usar estas funciones en paralelo con cuentas especialmente sensibles.
También merece la pena separar contextos. Una opción razonable es reservar el navegador agéntico para búsquedas, comparativas o tareas de bajo riesgo, y dejar la banca, el correo principal o los servicios críticos en sesiones distintas. Cuanto menos contexto sensible tenga disponible el agente, menor será el impacto de un posible fallo. Y como siempre, las actualizaciones importan: en un terreno tan nuevo, los cambios de seguridad pueden llegar rápido.
La idea de un navegador que actúe por nosotros no es mala. De hecho, probablemente acabará siendo normal dentro de unos años. Pero ahora mismo el mensaje de fondo de esta investigación es bastante claro: la web llevaba décadas reforzando barreras para que una página no se entrometiera en otra, y los agentes están poniendo a prueba esas barreras desde dentro. Antes de celebrar que el navegador ya puede hacerlo todo, conviene asegurarse de que también sabe cuándo no debe hacerlo.
Fuentes verificadas en esta sesión: Universidad de Washington (comunicado del 30 de junio de 2026 sobre riesgos en navegadores agénticos), página del proyecto “Agentic Browsers and the Same-Origin Policy” del equipo investigador y artículo académico Same-Origin Policy for Agentic Browsers en arXiv (2606.14027). Como contexto adicional de tendencias no elegidas, también se revisaron búsquedas y cobertura reciente de TechCrunch sobre hardware de OpenAI, presión de la IA sobre la memoria para smartphones y el nuevo chip de Google para Gemini.
Este artículo ha sido redactado con asistencia de inteligencia artificial a partir de fuentes públicas verificadas, y queda pendiente de revisión editorial antes de su publicación definitiva.