Tu asistente digital es un nuevo objetivo de intrusión — y no necesita ser engañado por ti
Investigadores de seguridad han revelado tres vulnerabilidades graves en Agentforce, el agente de IA de Salesforce — donde comandos ocultos incrustados en formularios web ordinarios podrían engañar al agente para que enviara datos sensibles de clientes directamente a atacantes, sin necesidad de errores humanos en el camino. El método de ataque, llamado exfiltración de cero clics, no requiere ni usuarios engañados ni archivos adjuntos abiertos. Es una señal de alerta de que cuanto más autónomos se vuelven nuestros asistentes digitales, más vulnerable se vuelve toda la organización detrás de ellos.
El asistente que se convirtió en un arma
Imagina un asistente confiable que tiene acceso a todo tu sistema CRM, todos los datos de clientes y todos los canales de comunicación internos. Ahora imagina que alguien del exterior puede susurrarle instrucciones al oído a ese asistente — sin que siquiera te des cuenta. Esto es exactamente lo que los investigadores de seguridad de Zenity Labs revelaron cuando examinaron Agentforce, el agente de IA de Salesforce.
Según SecurityWeek, los investigadores identificaron tres vulnerabilidades graves agrupadas bajo el nombre SalesBleed. El vector de ataque era casi elegante en su simplicidad: instrucciones ocultas se incrustaban en los formularios web-to-lead propios de Salesforce — una herramienta estándar que innumerables organizaciones de ventas utilizan diariamente. Cuando un empleado pedía a Agentforce que manejara un envío de formulario entrante, el agente obedientemente ejecutaba los comandos maliciosos. Sin ningún enlace por hacer clic. Sin archivos adjuntos que abrir. Sin ningún usuario que necesitara cometer un error.
Este es el núcleo de lo que se conoce como exfiltración de cero clics — y es uno de los tipos de ataque más inquietantes que ha surgido a medida que los agentes de IA han ganado mayor autonomía y acceso a sistemas empresariales sensibles. Dos de las tres vulnerabilidades permitían precisamente esto: que datos empresariales sensibles se enviaran directamente al servidor del atacante sin ninguna interacción humana. La tercera vulnerabilidad afectaba la integración con la herramienta de comunicación Slack — un recordatorio de que cada conexión entre sistemas también es una apertura potencial.
Un detalle que destaca de manera particularmente clara: Salesforce tenía una función de protección integrada destinada a limitar qué dominios externos podía contactar el agente. Zenity Labs demostró que el mecanismo tenía defectos fundamentales — no reconocía dominios de nivel superior y podía ser eludido con combinaciones específicas de caracteres. La protección que debería haber detenido la fuga de datos estaba, simplemente, llena de agujeros.
El sector financiero en la mira
La revelación de Salesforce no es un caso aislado. Refleja una tendencia más amplia y profundamente preocupante con la que el sector financiero está lidiando en este momento. De cara a la conferencia de la industria Sibos 2026, expertos en Finextra destacan cómo estafadores y actores criminales explotan exactamente el mismo avance tecnológico en el que las propias instituciones financieras están invirtiendo. Identidades de voz y video falsificadas, ataques de phishing automatizados a escala industrial, patrones de transacciones generados por IA que son casi imposibles de distinguir de flujos legítimos — la amenaza ha cambiado fundamentalmente.
El modelo de seguridad tradicional, basado en reglas fijas y reconocimiento de patrones, simplemente ya no es suficiente cuando los adversarios juegan con herramientas igualmente sofisticadas. Se requiere, como expresan los expertos, una gobernanza más coordinada y dinámica — donde diferentes mecanismos de protección trabajen juntos de manera fluida en lugar de funcionar de forma aislada en sus propios silos.
La autonomía requiere responsabilidad
Al mismo tiempo, la expansión de agentes de IA en contextos financieros se acelera. La empresa de fintech Bluwhale anunció recientemente, según Finextra, el lanzamiento de agentes de negociación automatizados con la capacidad de manejar de manera independiente acciones tokenizadas y materias primas — oro, plata, petróleo — sin que el usuario necesite estar activo en cada transacción individual. Es una posibilidad emocionante y potencialmente transformadora.
Pero es también exactamente el tipo de sistema que la revelación de SalesBleed debería hacernos examinar con ojos más atentos. Cuanta más autonomía le damos a un agente, más importante es que comprendamos qué es lo que realmente se le puede hacer hacer — y por quién.
No se trata de frenar el desarrollo. Los agentes de IA son una tecnología genuinamente poderosa que puede crear un valor enorme en sistemas empresariales, mercados financieros y relaciones con clientes. Pero la autonomía sin una arquitectura de seguridad robusta es como dar a un nuevo empleado acceso ilimitado a todos los sistemas — sin verificación de antecedentes, sin control de permisos y sin auditoría.
El equipo de Salesforce ha remediado las vulnerabilidades después de que Zenity Labs las reportara de manera responsable. Pero la pregunta persiste: ¿cuántos agujeros similares existen en este momento en los agentes de IA a los que confiamos diariamente datos sensibles y decisiones críticas?