La inteligencia artificial está cambiando la forma en que la gente navega por internet. Los navegadores impulsados por IA ya no solo muestran páginas web: leen contenido, realizan acciones y completan tareas por el usuario.

Estas herramientas, llamadas navegadores LLM agenticos, permiten a los usuarios dar comandos simples como “reserva una reunión” o “resume mis correos”, y el navegador se encarga del resto. Aunque esto suena útil, conlleva un grave coste de seguridad que solo ahora empieza a hacerse visible.

Los navegadores LLM agenticos funcionan conectando un modelo de IA directamente a los sistemas internos del navegador, otorgando a la IA la capacidad de hacer clic en botones, rellenar formularios e interactuar con archivos sin pedir aprobación al usuario en cada paso.

Algunos ejemplos conocidos incluyen Comet de Perplexity, Atlas de OpenAI, Microsoft Edge Copilot y Brave Leo AI.

Cada producto está construido de manera diferente, pero todos comparten el mismo problema: para funcionar correctamente, deben romper las barreras de seguridad que los navegadores tradicionales han construido durante décadas.

Investigadores de Varonis Threat Labs identificaron vulnerabilidades arquitectónicas en estos navegadores agenticos. Su investigación descubrió que las mismas decisiones de diseño que hacen poderosas estas herramientas también las hacen fáciles de explotar.

Al vincular el modelo de IA a procesos locales del navegador mediante extensiones privilegiadas y canales internos, estos navegadores crean un camino de control que los marcos de seguridad nunca estuvieron diseñados para manejar.

La superficie de ataque expuesta es amplia. Una vulnerabilidad web como Cross-Site Scripting (XSS), que en un navegador estándar afecta típicamente a un solo sitio web, ahora puede dar a un atacante control completo sobre toda la sesión de navegación.

Mediante un método llamado inyección indirecta de prompts, una página web maliciosa inserta instrucciones ocultas en la vista de la IA —que el usuario nunca ve, pero la IA sigue sin cuestionar—. Estos comandos pueden obligar al agente a leer archivos privados, enviar correos como el usuario, navegar a páginas de phishing o descargar malware en silencio en el dispositivo, superando con creces el daño de cualquier ataque tradicional a navegadores.

Estos ataques son difíciles de detectar, ya que el agente actúa usando credenciales reales del usuario. La actividad maliciosa parece idéntica al comportamiento normal del navegador, dando a los atacantes tiempo para operar sin ser detectados.

Cómo el puente de comunicación se convierte en un arma

El elemento más peligroso en los navegadores LLM agenticos es el canal de comunicación de confianza entre el backend de la IA y los componentes internos del navegador.

Comet utiliza una función llamada externally_connectable, que permite a dominios aprobados como perplexity.ai enviar comandos directamente a una potente extensión en segundo plano. Esa extensión tiene el permiso de debugger, que otorga control programático completo sobre el navegador, incluyendo la capacidad de hacer clic, desplazarse, escribir y leer contenido en cualquier pestaña abierta.

Esta extensión se ejecuta en silencio y no puede desactivarse mediante la configuración estándar del navegador. Si un atacante ejecuta JavaScript malicioso en cualquier dominio aprobado, puede usar ese origen de confianza para enviar comandos no autorizados a través del mismo canal.

Varonis Threat Labs confirmó durante las pruebas que un XSS en un dominio de confianza podría permitir a un atacante invocar la herramienta GetContent y extraer archivos locales de la máquina del usuario.

Microsoft Edge Copilot enfrenta el mismo riesgo: los investigadores llamaron a la herramienta Edge.Context.GetDocumentBody en un bucle continuo, capturando datos de páginas en tiempo real y reenviándolos a un servidor externo, convirtiendo una herramienta básica de lectura en un instrumento de vigilancia en vivo.

Los equipos de seguridad deberían monitorizar los procesos del navegador en busca de lecturas inesperadas de archivos, conexiones salientes inusuales o acciones del navegador que lleven autoridad de nivel de usuario sin una instrucción clara del usuario.

Los desarrolladores deberían aplicar políticas de mínimo privilegio para todas las extensiones con permisos elevados y validar rigurosamente cualquier dato externo que procese la IA.

Los usuarios individuales deberían mantener sus navegadores siempre actualizados, ya que Varonis confirmó que una vulnerabilidad de inyección de prompts descubierta a través de títulos de páginas incrustados fue parcheada durante el período de investigación.

Se recomienda a las organizaciones desplegar herramientas de detección conscientes de los datos que puedan identificar actividad del navegador que parezca legítima en la superficie pero carezca de intención genuina del usuario.