Una invitación envenenada de Google Calendar es todo lo que se necesita para convertir en un arma el navegador Comet de Perplexity. Investigadores de seguridad de Zenity Labs han descubierto una vulnerabilidad crítica, denominada PerplexedBrowser, que engaña al agente de IA de Comet para que lea archivos locales y robe credenciales. Este ataque de cero clics solo requiere que el usuario pida al agente que gestione una invitación rutinaria de reunión.

Una invitación envenenada de Google Calendar es todo lo que se necesita para convertir en un arma al navegador Comet de Perplexity. Investigadores de seguridad de Zenity Labs han descubierto una vulnerabilidad crítica, denominada PerplexedBrowser, que engaña al agente de IA de Comet para que lea archivos locales y robe credenciales.

Este ataque de cero clics solo requiere que el usuario pida al agente que gestione una invitación rutinaria a una reunión, exponiendo un fallo fundamental en cómo los navegadores agenticos procesan datos no confiables.

El exploit funciona como un flujo continuo dentro del agente de Comet, completamente oculto para el usuario.

Todo comienza cuando un atacante envía una invitación plausible de Google Calendar. Debajo de los detalles visibles de la reunión, grandes bloques de espacio en blanco ocultan elementos HTML falsos y un bloque <system_reminder> que imita las instrucciones internas de Comet.

Cuando el usuario le pide al navegador que acepte la reunión, ocurre una “Colisión de Intenciones”: el agente fusiona la solicitud legítima del usuario con la carga oculta del atacante.

Según investigaciones de Awesome Agents y Zenity Labs, las instrucciones inyectadas obligan en secreto a Comet a visitar un sitio web controlado por el atacante en segundo plano.

Para eludir los controles de seguridad centrados en el inglés, este sitio malicioso entrega instrucciones secundarias en hebreo.

Presentando el recorrido de archivos como un juego, el agente es dirigido a acceder a URLs file://, leyendo archivos de configuración sensibles y claves API.

Finalmente, Comet incrusta estos datos robados en una URL y navega hacia el servidor del atacante, exfiltrando los archivos al instante.

El ataque se vuelve aún más destructivo si el usuario tiene una extensión de 1Password desbloqueada.

Comet puede buscar en la bóveda de contraseñas, extraer entradas individuales e intentar cambiar la contraseña maestra.

Aunque la autenticación multifactor evita la toma completa de cuentas, los secretos individuales y las claves API quedan completamente expuestos.

Un patrón de vulnerabilidades estructurales

PerplexedBrowser es la sexta gran falla de seguridad encontrada en Comet desde su lanzamiento en julio de 2025. Problemas anteriores incluyen CometJacking, una API MCP oculta que permitía ejecución de comandos.

Además, los investigadores identificaron vulnerabilidades de inyección de prompts entregadas a través de comentarios maliciosos en Reddit.

Zenity reportó esta última vulnerabilidad en octubre de 2025. Sin embargo, Perplexity tardó 120 días y dos parches separados en implementar un bloqueo a nivel de código para el acceso file://.

Michael Bargury, CTO de Zenity, enfatizó que este es un fallo estructural inherente en los sistemas agenticos, no solo un simple error de software.

Dado que los modelos de lenguaje grande procesan comandos de usuario confiables y contenido web no confiable en el mismo flujo de tokens, no pueden distinguirlos de manera fiable.

El reconocido experto en seguridad de IA Simon Willison respaldó esta preocupación, sugiriendo que el concepto mismo de una extensión de navegador agentico podría estar fatalmente defectuoso.

Hasta que surjan soluciones arquitectónicas, se recomienda mantener los gestores de contraseñas bloqueados y limitar estrictamente el acceso del agente a dominios sensibles.