El vector de ataque suena casi absurdamente simple. Un empleado hace clic en lo que parece ser un enlace legítimo de ChatGPT, tal vez incrustado en un correo electrónico sobre la actualización de sus herramientas de IA o la prueba de una nueva característica. Ese solo clic activa el constructor de agentes de ChatGPT para construir un asistente de IA malicioso usando parámetros ocultos en la propia URL. El agente se conecta a los servicios corporativos que el empleado ya haya conectado (Outlook, Teams, Slack, Google Drive, SharePoint), desactiva los avisos de aprobación, se publica a sí mismo y comienza a ejecutarse en un horario. Todo sin que la víctima sepa que algo ha sucedido. Zenity Labs, la empresa de seguridad que descubrió esta vulnerabilidad, la llama AgentForger porque forja a un infiltrado en lugar de robar credenciales. Los ataques de phishing tradicionales capturan contraseñas o tokens de sesión. Esta técnica crea algo mucho más persistente: un IA autónoma que opera a través de los permisos legítimos de la víctima y sigue funcionando mucho después del compromiso inicial. El agente malicioso ni siquiera necesita comunicarse con un servidor de comando y control. En cambio, simplemente monitorea la bandeja de entrada de la víctima en busca de correos electrónicos con TASK en la línea de asunto, tratando cada uno como una nueva tarea. Los escenarios de prueba de concepto que Zenity demostró se leen como una lista de verificación de espionaje corporativo. El agente rebelde podría mapear la estructura de una organización examinando calendarios, historiales de chat y comparticiones de archivos. Podría buscar contraseñas y claves de la Interfaz de Programación de Aplicaciones (API) enterradas en mensajes de Slack. Podría enviar correos electrónicos de phishing que parecieran provenir de la propia cuenta de Teams de la víctima, haciéndolos casi imposibles de detectar como fraudulentos. Los ataques de Compromiso de Correo Electrónico Comercial (BEC), donde atacantes se hacen pasar por ejecutivos para autorizar pagos fraudulentos, se vuelven triviales cuando el atacante controla una IA que ya tiene acceso a los canales de comunicación del ejecutivo. OpenAI solucionó la vulnerabilidad dentro de los cuatro días posteriores al informe de Zenity el 4 de junio de 2026. La compañía eliminó el parámetro de URL que permitía a los atacantes inyectar instrucciones en el constructor de agentes antes de cualquier divulgación pública. Esa es una respuesta notablemente rápida, lo que sugiere que OpenAI comprendió la gravedad de inmediato. Pero el parche solo aborda esta explotación específica. El problema más amplio permanece: los agentes de IA están pasando de responder preguntas a tomar acciones en los sistemas corporativos, y los equipos de seguridad no tienen un manual para esto. Michael Bargury, cofundador y Director de Tecnología (CTO) de Zenity, lo define como una falla de confianza en el agente. Los controles de seguridad existentes monitorean para credenciales robadas, ubicaciones de inicio de sesión sospechosas o transferencias de datos inusuales. No están diseñados para detectar un asistente de IA que opera dentro de sus permisos otorgados, usando el acceso legítimo de la víctima, y comportándose exactamente como cualquier otra herramienta de automatización en el lugar de trabajo. La superficie de ataque ya no se parece a las vulnerabilidades de software o intrusiones de red. Parece su fuerza laboral, y la distinción entre un asistente de IA útil y uno malicioso se vuelve incómodamente borrosa.