El complemento que olvidaste espiaba tus conversaciones con IA

Cuando el ayudante se convierte en vigilante

Vivimos en una época en la que las herramientas de IA se integran en absolutamente todo: extensiones de navegador, clientes de correo, aplicaciones de productividad. Es una evolución que celebro personalmente. Pero también trae consigo una responsabilidad que el sector todavía no se ha tomado completamente en serio: cada nueva superficie de integración es también una posible vulnerabilidad.

Las noticias de esta semana de SecurityWeek lo ilustran con una claridad brutal.

Un bloqueador de anuncios que espiaba tus conversaciones con IA

Lo que más reacciones despierta es la revelación sobre la extensión Poper Blocker, un bloqueador de anuncios con millones de usuarios. Investigadores de Bay Area Labs han descubierto que la extensión recopilaba en secreto las conversaciones con IA de los usuarios. Conviene detenerse un momento en ello.

Muchos de nosotros tenemos este tipo de extensiones funcionando de forma automática, instaladas hace tiempo y luego olvidadas. Compartimos discusiones de negocio delicadas, ideas estratégicas y reflexiones personales con servicios de IA, y dábamos por hecho que se quedaban ahí. Pero una extensión de navegador aparentemente inofensiva puede actuar como un oyente silencioso en segundo plano, completamente fuera de nuestro control consciente.

Este no es un problema aislado. Es un problema estructural de cómo distribuimos y confiamos en el software. El modelo de permisos de los navegadores modernos da a las extensiones acceso a mucho más de lo que la mayoría de los usuarios imagina, y a medida que las conversaciones con IA se han vuelto cada vez más sensibles, esa superficie de ataque ha crecido de forma espectacular.

El fallo de iCloud que burló a todo el sistema de correo

Igual de notable es la revelación sobre iCloud y la falsificación de correos. El investigador de seguridad Timo Longin, de SEC Consult, encontró dos vulnerabilidades que permitían a los atacantes enviar correos desde direcciones arbitrarias de icloud.com, y los mensajes superaban los controles de SPF, DKIM y DMARC, precisamente los mecanismos de verificación diseñados para detectar este tipo de falsificación.

Es una hazaña técnica tan impresionante como inquietante. Se eludieron tres capas de seguridad a la vez. El error se notificó ya en mayo de 2024, pero la primera solución de Apple resultó incompleta, y el problema no se resolvió por completo hasta diciembre de 2025. Apple pagó 15 000 dólares en recompensa por error al investigador, una cifra modesta teniendo en cuenta la gravedad de la vulnerabilidad.

En la práctica, el fallo significaba que un atacante podía enviar un correo que parecía proceder de una dirección de iCloud de confianza, y que el cliente de correo del destinatario no tenía ninguna posibilidad técnica de revelar la falsificación. En un momento en que el phishing ya es la forma de intrusión más común, es una combinación que me deja a la vez impresionado por el trabajo del investigador y profundamente preocupado por las consecuencias.

El phishing se acelera, con la IA como cómplice

El contexto es importante aquí. El último informe de seguridad de Microsoft muestra que la proporción de intrusiones iniciadas mediante phishing ha pasado del 7 % al 23 % en el último año. Los ataques de voz a través de Teams aumentaron un 502 %. Y quizá lo más preocupante: la IA está reduciendo el tiempo entre el descubrimiento de una vulnerabilidad y su explotación a menos de 24 horas.

Ese es el verdadero significado de las amenazas integradas con IA. Ya no se trata de actores estatales avanzados con recursos ilimitados. Se trata de que la capacidad ofensiva se democratiza y se automatiza a un ritmo que la defensa tiene dificultades para igualar.

La oportunidad en medio de la preocupación

Quiero ser claro: esto no es motivo para dar marcha atrás en la transición hacia la IA. Sería una conclusión equivocada. La conclusión correcta es que debemos incorporar la mentalidad de seguridad desde el principio: en cómo evaluamos las extensiones, cómo gestionamos los permisos y cómo exigimos responsabilidades a los proveedores.

Las organizaciones que asuman estas lecciones en serio ahora están construyendo una infraestructura digital más resiliente para el futuro. Las que las ignoren corren el riesgo de convertirse en el próximo ejemplo de advertencia en un informe de seguridad.