MyPublicGPT: Tu huella digital en los Generative Search Engines basados en IA dentro de MyPublicInbox.

Con la llegada de los buscadores de Inteligencia Artificial, los usuarios ya no buscan en los buscadores tradicionales. De hecho, ya no hablamos de SEO, sino de GEO por Generative Engine Optimization, porque los Agentes AI están automatizando el tráfico de Internet en función de la información que tienen en los modelos de IA. 

Figura 1: MyPublicGPT: Tu huella digital en los Generative Search Engines

basados en IA dentro de MyPublicInbox.

Teniendo esto presente, en MyPublicInbox, estamos viendo cómo dar la información a los Perfiles Públicos de la plataforma, para que sepan qué es lo que los Agentes AI, y los usuarios de los Generative Search Engines van a encontrar sobre ellos, y eso es lo que estamos testeando en MyPublicGPT Playbook. 

Figura 2: Servicio de Huella Digital en buscadores de IA 

De momento, este servicio se está poniendo disponible a los Perfiles Públicos por fases, así que si no lo tienes aún, lo tendrás dentro de poco, en la sección de Mi Impacto en Internet -> MyPublicGPT, para que puedas solicitar el informe de tu presencia en los en los GSE.

Figura 3: Playbook en MyPublicGPT

El informe muestra un Playbook de cómo se ve en los GSE la presencia de cada uno de los perfiles públicos de la plataforma, en un informe PDF que puedes descargar. En mi caso, el informe detecta el problema de homónimos con otras personas, aunque muestra que mi huella es fuerte en Tecnología /Ciberseguridad.

Figura 4: Playbook de Chema Alonso en MyPublicGPT

El objetivo es conocer cuánto de bien está diseñada tu huella digital para cualquiera que te busque, te perfile, o busque información concreta de ti mismo, algo que puede afectar a tu vida personal y profesional, así como potenciar tu carrera ... o no.

Figura 5: Narrativa Predominante de tu huella Digital

Como podéis ver, el informe enfoca también cuál es la narrativa predominante asociada a tu perfil. En i caso, mi trabajo en Ciberseguridad y Tecnología, pero también mi paso de trabajo como CDO, Telefónica y Cloudflare, asociado también a divulgación y conferencias.

Figura 6: Señales que merecen revisión

También se buscan aquellas señales que merecen revisión, que en mi caso tiene que ver con homónimos en el mundo del fútbol - hay un par de "Chema Alonso"s en el mundo del fútbol, y mi colaboración con los árbitros seguro que ayuda a la confusión.

Figura 7: Descarga del Playbook en formato PDF

Por supuesto, al final te puedes descargar el informe del Playbook con tu Huella Digital en los motores GSE, y además, si lo deseas, te podemos ayudar trabajando para cambiar esos datos utilizando estrategias GEO, pero con tu perfil. 

Figura 8: Solicitud de nuevos Plabybook periódicamente.

El informe se puede hacer periódicamente, así que puedes revisar cómo evoluciona tu Huella Digital a lo largo del tiempo, y ver si tus estrategias de GEO están funcionando en la dirección que quieres. Y por supuesto, si tienes algún caso concreto que quieras que se trabaje, puedes contactar con el equipo. MyPublicInbox está virando hacia el mundo de la IA hace tiempo, y veréis muchos cambios y servicios en esa dirección en breve, pero ya os los iré contando. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Senior fellow advisor en el Máster de IA de Jon Hernández en Big School

Hace tiempo colaboré con Jon Hernández en un podcast sobre cómo sería el futuro de la IA en el mundo laboral y profesional, lógicamente con mis intereses personales en la parte de ciberseguridad y hacking, y la verdad es que quedó muy chulo, y me lo pasé muy bien trabajando con él.

Figura 1: Senior fellow advisor en el Máster de IA de Jon Hernández en Big School

La grabación del podcast la puedes ver en su canal Youtube - que aún no he hecho backup en mi canal -, y puedes ver de todas las cosas que hablamos hace un año, y así ves de todo lo que hablábamos, y te darás cuenta que todo sigue de máxima actualidad.

Figura 2: Chema Alonso y Jon Hernández

Ahora voy a tener la oportunidad de trabajar con Jon Hernández otra vez, en Máster de Inteligencia Artificial que tienen en Big School, donde voy a colaborar como Senior Fellow Advisor en algunos programas, dando alguna sesión.

Figura 3: Máster de IA con acceso vitalicio de Jon Hernández

La formación da su inicio en tres días, así que no es que os quede mucho tiempo para pensaros si queréis apuntaros, pero sí que quería contároslo, que ya sabéis que me gusta contar todo lo que voy haciendo en mi blog.

Figura 4: Máster de IA con acceso vitalicio de Jon Hernández

En este programa yo hablaré de la parte de Ciberseguridad e Inteligencia Artificial, que aunque es una formación para conocer en profundidad las tecnologías de IA y cómo aplicarla en el mundo empresarial, yo tengo que sentar algunas bases de los riesgos y protecciones.

Figura 5: Masterclasses en el Máster de IA con acceso vitalicio de Jon Hernández

Como podéis ver, hay una lista de ponentes en este programa enorme, y además profesionales que vienen a contar sus experiencias desde diferentes carreras profesionales a compartir cómo usan la Inteligencia Artificial en su día a día.

Figura 6: Profesores del Máster de IA con acceso vitalicio de Jon Hernández

Además, para todos los asistentes del programa de Big School del Máster de IA tendremos un chat en MyPublicInbox para consulta de dudas de que tengan que ver con la parte de Ciberseguridad & IA de la que yo daré mi sesión, así que si vas a estar aquí, podremos estar en contacto.

Figura 7: Contactar con Jon Hernández

Si os digo que todas las semanas me toca dedicar más de ocho o diez horas de lectura y aprendizaje de cosas nuevas que tienen que ver con Inteligencia Artificial debido a la velocidad que va esto, seguro que me entendéis, porque estamos todos igual, así que este participar como Senior Fellow Advisor aquí en este programa me ayuda a poner orden en ese aprendizaje y "destilar" lo leído y aprendido en conocimiento accionable, que es lo que todos necesitamos.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Cloudflare Radar 2025: ¿Qué país tiene el Internet más rápido? ¿Cuál es el tamaño de los ataques DDoS en Internet? ¿Cuando de Internet va con IPv6? ¿Y con Cifrado Post Cuántico?

Ya os he hablado muchas veces de Cloudflare Radar, un servicio de Open Data que permite a cualquiera tener una foto de lo que está sucediendo en Internet. Saber cuándo se están produciendo ataques, cómo están evolucionando las tecnologías, los nuevos protocolos o la adopción de estándares de ciberseguridad. 

Con el comienzo del año, se publicó el informe de "Cloudflare Radar 2025: Year in Review", donde hay algunos datos muy interesantes, vamos a verlos.

Figura 1: Cloudflare Radar 2025: ¿Qué país tiene el Internet más rápido? ¿Cuál es el tamaño de los ataques DDoS en Internet? ¿Cuando de Internet va con IPv6? ¿Y con Cifrado Post Cuántico?

El primero de los datos que llama la atención es sobre cómo se ha expandido Internet, cómo ha aumentado el tráfico durante el año 2025, y que como podéis ver es casi del veinte por ciento. Un total del 19% de crecimiento sobre la base que ya teníamos.

Figura 2: Internet Traffic Growth

Sobre esto hay un dato que a los que somos de España nos hizo especial ilusión, ya que tienen que ver con la Calidad de la Conexión a Internet, y nuestro país es el Número 1 en velocidad de descarga y en velocidad de tráfico de subida, gracias entre otras cosas al despliegue masivo de redes de fibra hecho por las empresas de telecomunicaciones.

Figura 3: España es el país con mayor velocidad de descarga

Se miran cuatro parámetros, y España es el primero en velocidad de bajada y subida de Internet, y está entre los 10 primeros en latencia, por lo que probablemente tiene ¿el mejor Internet del mundo? Tal vez me esté dejando por la emoción un poco, pero reconocedme que es espectacular.

Figura 4: España es el país con mayor velocidad de subida

Otro de los puntos que también es de interés tiene que ver con cómo estamos evolucionando los protocolos core de Internet, como es el IPv6, donde el IPv6 Council lleva años trabajando, y ya estamos casi con un 30% de adopción. Poco a poco.

Figura 5: Adopción de IPv6

Por supuesto, otro de los temas de importancia es el de la adopción de Post-Quantum Cryptography, donde como sabéis Cloudflare juega un rol muy relevante, como os conté en el artículo de: "Cómo ser Quantum Safe y desplegar Post-Quantum Cryptography (PQC) con Cloudflare" En el año 2025 hemos conseguido alcanzar el 52%, lo que es un "milestone" a celebrar. Parece imparable.

Figura 6: Más de la mita del tráfico TLS está usando PQC

Por supuesto, aprovecho para recomendarte que, si quieres aprender de este mundo, te compres el libro de "Quatum Security: Tecnología Cuántica & Ciberseguridad. Criptográfica Cuántica y Post-Cuántica" donde hablamos de todo este mundo de Quantum Security para que te lo sepas de memoria.

Figura 7: Quatum Security: Tecnología Cuántica & Ciberseguridad.

Criptográfica Cuántica y Post-Cuántica. 

Nuestro nuevo libro en 0xWord escrito por: Chema Alonso,

Pablo González, Fran Ramírez, Carmen Torrano, Daniel Romero,

Javier Álvarez, Mario Piattini, Iker Pastor, Pablo García Bringas

Pero si hablamos de ciberseguridad en Internet, hay que hablar de cómo han evolucionado los ataques de Denegación de Servicio Distribuida (DDoS), donde cada vez hay más ataques y más grandes, por eso hay que tomar soluciones grandes a grandes problemas.

Figura 8: Evolución de los ataques Híper-Volumétricos de Denegación de Servicio

El informe trata de muchos otros temas, por eso os recomiendo que entréis a revisar vosotros el "Cloudflare Radar 2025: Year in Review" pero yo he extraído algunos que me han llamado la atención, sobre todo con el mundo de la IA. 

Figura 9: Servicios de GenAI más populares

Los servicios de GenAI más populares en el año 2025, donde ChatGPT de OpenAI es el Número 1 y Claude de Anthropic el segundo, con Perplexity y Google Gemini cerca. Esa popularidad ha hecho que OpenAI se haya llevado no solo los datos, sino también el modelo de negocio de Ads de la web.

Figura 10: Ratios de Crawler-to-Refer en los diferentes bots

Como vemos en la gráfica de Crawl-to-Refer, los bots se están llevando los datos, entrenando los modelos y luego están enviando muy poco tráfico a las webs. Por eso como parte de AI Security Suite de Cloudflare en el Bot Framework se lanzó el servicio de Pay-Per-Crawl, ya que una vez recogidos los datos está devolviendo muy poco tráfico a las webs que generan el contenido. Y también a la creación de Honeypots con AI Labirynth.

Figura 11: Google Bot es el Verified Bot que más consume

Si miramos los bots que más tráfico generan, GoogleBot es el número uno. Es decir, es el que más tráfico genera y además envía mucho menos tráfico que Google Search, así que el desequilibrio es grande. En Radar tienes todos los detalles de los Verified Bots.

Figura 12: Países que generan más tráfico de Bots

La última de las gráficas que he querido dedicar tiene que ver con los países que más tráfico de bots generan, que tiene mucho que ver con la carrera por la construcción de la Súper Inteligencia Artificial de la que os hablaba el verano pasado.  Si podéis, echarle un ojo al informe completo de "Cloudflare Radar 2025: Year in Review" que os va a gustar, y encontraréis datos interesantes que os permitirán ver cómo se mueve Internet.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Cómo evitar el ataque de la "Triada Letal" en Agentic AI" con la "Rule of 2"

Hace tiempo que sigo el blog de Simon Willison- ya sabéis que los mayores seguimos leyendo RSS, blogs, y si te pones e-zines en FTPs, news, y BBSs -, y en él habla de seguridad, IA, y de lo que él consideró la "Lethal Trifecta" o "Triada Letal" en la construcción de Agentic AI, y que debe ser una regla de todos los Blue Team a seguir en la fortificación de Agentes AI. 

Figura 1: Cómo evitar el ataque de la "Triada Letal"

en Agentic AI" con la "Rule of 2"

La idea es muy sencilla, y si revisas todos los caso de ejemplos de exploits en Agentic AI de los que os ido hablando en los últimos meses, todos los entornos acaban cumpliendo la Triada Letal de la que habla Simon Willison.

Figura 2: Triada Letal de Simon Willison

O lo que es lo mismo, la explotación es posible porque:

1.- El Agentic AI: analiza datos inseguros como contenido en una web, mensajes en un buzón, ficheros con datos escondidos, repositorios de código con mensajes puestos por terceros, etcétera.

2.- El Agentic AI: realiza tareas automáticamente sin supervisión humana accediendo a herramientas o funciones que le dotan de poderes especiales.

3.- El Agentic AI: puede comunicarse exteriormente de alguna manera. 

Figura 3: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso, 

Si revisas los casos de los que he hablado en estos artículos, verás que todos ellos cumplen sistemáticamente estas tres circunstancias, y por tanto, el atacante fue capaz de conseguir enlazar diferentes debilidades para lograr su objetivo.

• EchoLeak: Un Cross Prompt Injection Attack (XPIA) para Microsoft Office 365 Copilot
• Google Gemini para Gmail: Cross-Domain Prompt Injection Attack (XPIA) para hacer Phishing
• Hacking Gitlab Duo: Remote Prompt Injection, Malicious Prompt Smuggling, Client-Side Attacks & Private Code Stealing
• Hacking IA: Indirect Prompt Injection en Perplexity Comet
• ShadowLeak Attack para Agentes IA de Deep Research en ChatGPT
• ForcedLeak: Indired Prompt Injection en Salesforce AgentForce
• AgentFlayer exploit para ChatGPT: Prompt Injection para exfiltrar datos de tus almacenes conectados
• Indirect Prompt Injection en Perplexity Comet para atacar tu Stripe y el riesgo de los AI-First Web Browsers con ChatGPT Atlas
• Perplexity Comet: Indirect Prompt Injection con textos invisibles in imágenes
• ChatGPT Atlas: Client-Side Attack CSRF para Contaminar la Memoria con un Prompt Injection que te hackea tu Windows con Vibe Coding
• Prompt Injection en ChatGPT Atlas con Malformed URLs en la Omnibox
• HackedGPT: Cómo explotar "Weaknesses" en ChatGPT para hacer Phishing o Exfiltrar Datos

Teniendo la "Triada Letal" en la cabeza, el equipo de seguridad de Meta ha propuesto que se cumpla siempre la Rule of 2, o lo que es lo mismo que todos los Agentic AI tengan que elegir qué dos de las tres cosas quieren hacer sin supervisión, y que elijan solo dos de ellas.

Figura 4: Rule of 2. Sólo puedes elegir 2.

Si pensamos en los diferentes casos, utilizar esta regla a la hora de diseñar los Agentic AI incrementa drásticamente la seguridad de los sistemas, y ayuda a mitigar el impacto de cualquier debilidad del sistema, donde ya sabemos que los modelos LLM vienen con Prompt Injection, Jailbreak, Un-Alligment y Hallucinations por defecto.

Figura 5: Las tres categorías de acciones

Teniendo en cuenta estas tres opciones A, B y C, el equipo de Meta ha puesto el caso de varios ejemplos de diseño de agentes para ver cómo impactaría la aplicación de la Rule of 2 en todos ellos. El primer ejemplo es un Agentic AI para hacer de asistente de viaje, se le permite buscar info en Internet, y acceder a los datos personales del usuario, pero se le prohibe hacer acciones con comunicaciones externas, así se evita que haga acciones externas.

Figura 6: Travel Agent con Rule of 2

Dicho esto, al tener la posibilidad de buscar en la web, el ejemplo de HackedGPT donde utilizan búsquedas en BING con Static-Links para exfiltrar datos seguiría siendo posible. Eso sí, no compraría ni realizaría ninguna acción sin consentimiento del usuarios. Para garantizar la privacidad, no se le debería realizar ninguna búsqueda después de haber accedido a datos sensibles privados.

El siguiente caso es un Agentic AI para hacer búsquedas en la web, al estilo de los utilizados en ChatGPT Atlas o Perplexity Comet, donde ya hemos visto varios casos peligrosos. En este caso, se le restringe a los datos personales y la información privada más allá de los datos iniciales del Prompt. Lógicamente, hacer acciones en el correo electrónico donde hay datos personales no debería estar permitido, porque si no se pueden acceder a contraseñas como hemos visto en casos anteriore.

Figura 7: Web Browsing Research Asistant con Rule of 2

El último caso es un Agentic AI para programar, y en este caso se le prohibe acceder a fuentes inseguras como la web, el correo electrónico donde haya posible Spam o repositorios de código no controlados, para evitar el envenenamiento del modelo y la creación de código troyanizado o inseguro como hemos visto en algunos trabajos.

Figura 8: Agente AI de Programación con Rule of 2

No es una Silver Bullet, pero sí que ayuda a mejorar la seguridad de la plataforma de Agentic AI que estes desarrollando para tu empresa, así que, dale mucho cuidado a los permisos de tus agentes. Si te interesa la IA y la Ciberseguridad, tienes en este enlace todos los posts, papers y charlas que he escrito, citado o impartido sobre este tema: +300 referencias a papers, posts y talks de Hacking & Security con Inteligencia Artificial.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Perplexity Comet: Indirect Prompt Injection con textos invisibles in imágenes

Ayer os decía que esto de tener un Agentic AI en tu navegador con acceso a tus cuentas y servicios digitales no me parecía una gran idea de seguridad. Os dejaba un caso de Prompt Injection en Perplexity Comet y el disclaimer de ChatGPT Atlas al respecto, que no es nada halagüeño desde el punto de vista de tu protección personal. Hoy, otro Prompt Injection en Perplexity Comet explotado en este caso a partir de textos ocultos en imágenes, que el ojo humano no es capaz de ver.

Figura 1: Perplexity Comet: Indirect Prompt Injection con textos invisibles in imágenes

La vulnerabilidad, junto con una similar para el navegador Fellou que también es un AI-First Web Browser, ha sido reportada por el equipo de Brave, y la tienes en el artículo: "Unseeable prompt injections in screenshots: more vulnerabilities in Comet and other AI browsers", que merece la pena que te leas si te interesa el mundo del Hacking & Pentesting con Inteligencia Artificial. 

Figura 2: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso, 

Como su nombre indica, el Prompt Injection se encuentra en una imagen que está publicada en una web, donde el ojo humano no aprecia nada, pero que si la víctima, desde Perplexity Comet pide que se analice, se ejecuta completamente.

Figura 3: Se pide Perplexity Comet que analice

la imagen y busque al autor de la foto

Cuando se solicita a Perplexity Comet que analice la fotografía, el Prompt Injection está en ella, invisible para el ojo humano, pero no para los servicios de Artificial Vision de Perplexity Comet, lo que hace que el Agentic AI comience a ejecutar el ataque.

Figura 4: Leyendo y ejecutando el Prompt

Como se puede ver en la imagen anterior, el Agentic AI ha accedido a la cuenta de Perplexity Pro, ha buscado cuando es la dirección de correo electrónico del usuario y va a solicitar que se envíe un código de recuperación para cambiar la contraseña. En este caso el atacante sabe cuál es el nombre de usuario, así que solo quiere pedir el cambio de contraseña para robar luego el código de verificación del cambio de contraseña.

Figura 5: Navegando a una página para exfiltrar el código

Para conseguir que el Agentic AI de Perplexity Comet exfiltre el código de seguridad, se le pide que navegue a una página y en la URL ponga el código que tiene que recoger del correo de Gmail, para conseguir quién es el autor de la fotografía. Lógicamente el código que va a enviar es el de seguridad de Perplexity.

Figura 6: Con las instrucciones dadas, esa web le dirá

el autor, pero sólo si envía el código.

Como tiene acceso a la cuenta de Gmail, Perplexity Comet accede al correo, selecciona el código del mensaje que ha recibido, y lo prepara para enviárselo a la web que supuestamente va a decirle quién es el autor de la imagen que se preguntó al principio.

Figura 7: Accediendo a Gmail para conseguir

el código de seguridad de Perplexity

Y como vemos en el Agentic AI, Perplexity Comet nos informa de que ha podido acceder perfectamente al código en la cuenta de Gmail, para que ahora lo pueda exfiltrar tal y cómo se le ha pedido, enviándolo como parámetro GET de la URL.

Figura 8: Código de seguridad accedido en el correo de Gmail

Y, cómo no, el modo de navegación automático para hacer acciones, envía el código exfiltrado com parámetro GET en la URL del atacante. La cuenta acaba de ser robada de manera automática.

Figura 9: Código exfiltrado por GET

Al final, el ataque son unos segundos, y el Agentic AI hace todas estas acciones en nombre del usuario, así que si te roban cuentas de banco, cuentas de servicios digitales, redes sociales, etcétera, no vengas luego diciendo que tú no sabías, porque como os dije, queda claro en el disclaimer de ChatGPT Atlas.

Figura 10: ChatGPT Atlas Disclaimer en Español

Aquí tienes el vídeo completo publicado por los investigadores, que en menos de un minuto se puede ver completamente cómo funciona este ataque de manera exitosa (para el que ataca, no para la víctima). Aquí lo tienes:

Figura 11: PoC Indirect Prompt Injection en Perplexity Comet

con textos invisibles in imágenes

Si quieres más ejemplos de esto, aquí tienes otros casos similares en AI First Web Browsers, Agentes AI en plataformas, y de grandes fabricantes de software:

• EchoLeak: Un Cross Prompt Injection Attack (XPIA) para Microsoft Office 365 Copilot
• Google Gemini para Gmail: Cross-Domain Prompt Injection Attack (XPIA) para hacer Phishing
• Hacking Gitlab Duo: Remote Prompt Injection, Malicious Prompt Smuggling, Client-Side Attacks & Private Code Stealing
• Hacking IA: Indirect Prompt Injection en Perplexity Comet
• ShadowLeak Attack para Agentes IA de Deep Research en ChatGPT
• ForcedLeak: Indired Prompt Injection en Salesforce AgentForce
• AgentFlayer exploit para ChatGPT: Prompt Injection para exfiltrar datos de tus almacenes conectados
• Indirect Prompt Injection en Perplexity Comet para atacar tu Stripe y el riesgo de los AI-First Web Browsers con ChatGPT Atlas

Si te interesa la IA y la Ciberseguridad, tienes en este enlace todos los posts, papers y charlas que he escrito, citado o impartido sobre este tema: +300 referencias a papers, posts y talks de Hacking & Security con Inteligencia Artificial.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Indirect Prompt Injection en Perplexity Comet para atacar tu Stripe y el riesgo de los AI-First Web Browsers con ChatGPT Atlas

Antes de ayer salía el anuncio de ChatGPT Atlas, el nuevo AI-First Web Browser de OpenAI. Basado en Agentic AI actions, siguiendo la estela de Perplexity Comet. Al mismo tiempo, se publicaba una nueva PoC de un Indirect Prompt Injection en Perplexity Comet que permitía cargarse todas las suscripciones en Stripe de una compañía, publicada por Eito Miyamura.

Figura 1: Indirect Prompt Injection en Perplexity Comet

para atacar tu Stripe y el riesgo de los

AI-First Web Browsers con ChatGPT Atlas

Y digo que es el segundo Indirect Prompt Injection en Perplexity Comet, porque ya tuvimos una PoC de cómo robar con un Indirect Prompt Injection en Perplexity Comet la mismísima cuenta de Perplexity, pero podría haber sido al de cualquier otro servicio online conectado a la cuenta de Gmail con la que tuvieras iniciada sesión en Perplexity Comet. 

Figura 2: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso, 

En este caso, la PoC de Indirect Prompt Injection en Perplexity Comet para atacar tu Stripe es similar, pero en lugar de lanzarse desde el resumen de una página web, como era el caso anterior, lo hace desde un invitación de calendario que no debe ni de ser aceptada.

Figura 3: Check my accounting event today en Perplexity Comet

La gracia es que haciendo una comprobación del Invite, si le dejas a Perplexity que te ayude a preparar la reunión, y dices que sí, se lanza el ataque de Prompt Injecion oculto den los detalles de la convocatoria. 

Figura 4: Nos ofrece ayuda para preparar la reunión

Una vez que se diga que sí, lo que hace el ataque de Prompt Injeciton que se oculta en los detalles de la invitación al evento, es conectarse a la cuenta de Stripe asociada al navegador de Perplexity Comet, y comenzar a borrar las suscripciones de los clientes.

Figura 5: Al acceder a la ayuda, se borran las suscripciones de Stripe

Este proceso se realiza una a una con todas y cada una de las suscripciones que hubiera logrado esa empresa, dejándola sin poder cobrar ese mes a sus clientes. Solo por haber usado Perplexity Comet para ayudar a preparar una reunión.

Figura 6: Se eliminan todas las suscripciones

El resultado final es que la cuenta de Stripe se queda como podéis ver, totalmente pelada. La organización ha perdido todas las suscripciones, y tocará recrear todo este trabajo, que ha sido ejecutado automáticamente por el Agentic AI de tu Perplexity Comet.

Figura 7: Cuenta de Stripe totalmente vacía de clientes

Vamos, que podría haber hecho cualquier otra cosa en tu cuenta de Stripe, y si tienes concedido derechos de pago a tu Agentic AI de Perplexity Comet te podría haber robado todo el dinero. Un auténtico "Show me the (e-)money".

Figura 8: Show me the (e-)money. Hacking a sistemas de pagos digitales
por Salvador Mendoza (Netxing)

Al final, este tipo de ataques basados en AI-First Web Browsers va a ser muy común hasta que esta tecnología sea segura. Y va a pasar aún un tiempo. Para que os hagáis una idea, en el Bug Bounty de OpenAI para sus productos, la parte que tiene que ver con Prompt Injection / Jailbreak, así como todo lo que tiene que ver con Hallucinations, está fuera de objetivo.

Figura 9: Bug Bounty de OpenAI

Es decir, ya se sabe que estas tecnologías adolecen por diseño de seguridad, y por eso estamos teniendo tantos problemas de seguridad explotable en todas las plataformas que están haciendo uso de ellos, como vimos en:

• EchoLeak: Un Cross Prompt Injection Attack (XPIA) para Microsoft Office 365 Copilot
• Google Gemini para Gmail: Cross-Domain Prompt Injection Attack (XPIA) para hacer Phishing
• Hacking Gitlab Duo: Remote Prompt Injection, Malicious Prompt Smuggling, Client-Side Attacks & Private Code Stealing
• Hacking IA: Indirect Prompt Injection en Perplexity Comet
• ShadowLeak Attack para Agentes IA de Deep Research en ChatGPT
• ForcedLeak: Indired Prompt Injection en Salesforce AgentForce
• AgentFlayer exploit para ChatGPT: Prompt Injection para exfiltrar datos de tus almacenes conectados

OpenAI Atlas  AI-First Web Browser

Pero es que ChatGPT Atlas, sucede lo mismo, y si miramos el texto de la publicación de ChatGPT Atlas AI-First Web Browser tenemos un disclaimer como el que podéis ver en la imagen siguiente, que, traducido al Español para que se entienda claramente es lo que antes sería un gran problema de seguridad.

Figura 10: ChatGPT Atlas Disclaimer

Pero hemos pasado de recomendarle a los usuarios que naveguen con usuarios No Administradores de la máquina, a poner en sus manos AI First Web Browsers que tienen acceso y control a toda tu vida digital, incluidas tus cuentas bancarias si les dejas. Mi recomendación por ahora... no lo hagas.

Figura 11: ChatGPT Atlas Disclaimer en Español

Si te interesa la IA y la Ciberseguridad, tienes en este enlace todos los posts, papers y charlas que he escrito, citado o impartido sobre este tema: +300 referencias a papers, posts y talks de Hacking & Security con Inteligencia Artificial.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)