Computer use: antes de dejar que tu agente de IA opere la pantalla, revisa la trifecta letal

El 3 de septiembre de 2026 OpenAI presentó GPT-6 Astra y empezó a desplegarlo de forma progresiva al día siguiente, primero a un grupo limitado de organizaciones y después a ChatGPT Work, Codex y la API, según el anuncio oficial de OpenAI. Su función central es "computer use": navega internet, llena formularios, actualiza un CRM y encuentra alojamiento en 10 minutos en lugar de las 6 horas que le tomaría a una persona hacer esa misma búsqueda, según la cobertura de Infobae. No llama a un endpoint: opera el mouse y el teclado como si fuera la persona sentada frente a la pantalla.

Esa diferencia es la que debe revisar quien decide si se activa. No es el debate de si conviene adoptar IA. Es qué controles exigir antes de darle a un agente el mismo acceso visual y de control que tiene un empleado con sesión abierta.

Por qué "computer use" es un riesgo distinto a una integración por API

Cuando un sistema se conecta a otro por API, el contrato de lo que puede hacer está definido de antemano: estos campos, estos métodos, estos permisos. Un agente de computer use no tiene ese contrato. Ve la pantalla igual que la vería una persona: un correo, una página web, un documento compartido. Y ahí está el problema estructural que describe OWASP en su reporte sobre el estado de la seguridad en IA agéntica: el modelo trata el system prompt, la instrucción del usuario y cualquier texto que lee en pantalla como un solo flujo de tokens, sin forma confiable de distinguir cuál es una orden legítima y cuál es contenido que alguien más puso ahí para manipularlo.

Esto tiene nombre desde junio de 2025. El investigador de seguridad Simon Willison lo llamó la "trifecta letal": un agente que combina acceso a datos privados, exposición a contenido no confiable (una página web, un correo, un documento) y capacidad de comunicarse hacia afuera. Ninguno de los tres elementos es un problema por sí solo. Juntos, un atacante ya no necesita romper un perímetro: le basta con dejar instrucciones escondidas donde el agente las va a leer.

Tres CVE críticas que ya pasaron de la teoría al parche

Esto no es un escenario hipotético. En los últimos dieciséis meses la trifecta letal produjo vulnerabilidades críticas en tres herramientas que ya usan equipos de desarrollo y operación:

Producto	CVE	CVSS	Qué permitía
Microsoft 365 Copilot	CVE-2025-32711 ("EchoLeak")	9.3	Exfiltrar archivos internos con un solo correo malicioso, sin clic de la víctima
GitHub Copilot Chat	CVE-2025-59145 ("CamoLeak")	9.6	Robar secretos de repositorios privados vía instrucciones ocultas en comentarios HTML de un pull request
Cursor IDE	CVE-2026-50548 y CVE-2026-50549 ("DuneSlide")	9.8	Ejecución remota de código al escapar del sandbox mediante contenido envenenado de un servidor MCP o un resultado de búsqueda

EchoLeak fue divulgada por investigadores de Aim Security y Microsoft la parchó en junio de 2025 sin evidencia de explotación activa, según el análisis de Checkmarx. CamoLeak codificaba datos sensibles en secuencias de imágenes de un píxel que el proxy de GitHub recuperaba, y fue parchada en agosto de 2025, de acuerdo con la cobertura de eSecurity Planet. DuneSlide, descubierta por Cato AI Labs, permitía convertir comandos de terminal supuestamente aislados en ejecución de código sin restricciones a partir de una búsqueda web envenenada, y Cursor la corrigió en su versión 3.0, según el reporte de The Hacker News.

Las tres comparten el mismo patrón: el agente tenía acceso a algo privado, leyó contenido que no controlaba y tenía forma de actuar hacia afuera. Ninguna requirió que la víctima hiciera clic en nada.

Lo que OpenAI mismo admite

El 22 de diciembre de 2025, en la actualización de seguridad para el agente de navegador de ChatGPT Atlas, OpenAI reconoció que ofrecer garantías de seguridad deterministas contra la inyección de instrucciones es "challenging", y que el "agent mode" amplía la superficie de ataque del sistema, según la cobertura de The Decoder. La empresa lo compara con el fraude y la ingeniería social: un problema que se mitiga con capas de defensa, no uno que se resuelve una vez y se cierra.

Eso lo dice el mismo fabricante del modelo que está detrás de GPT-6 Astra. No es una advertencia de un competidor ni de un analista externo.

Qué exigir antes de dar acceso de pantalla

Meta publicó el 31 de octubre de 2025 un principio de diseño llamado "Agents Rule of Two", inspirado directamente en la trifecta de Willison: hasta que la investigación permita detectar y rechazar inyecciones de forma confiable, un agente no debe tener, dentro de la misma sesión, más de dos de estas tres propiedades: procesar contenido no confiable, acceder a sistemas o datos sensibles, y poder cambiar estado o comunicarse hacia afuera, según el blog de seguridad de Meta AI. Si una tarea necesita las tres al mismo tiempo, Meta recomienda que no opere de forma autónoma: necesita aprobación humana en el punto de la acción sensible.

Llevado a una conversación con un proveedor, esto se traduce en preguntas concretas antes de activar cualquier agente de computer use:

• Entorno aislado. ¿El agente opera en un sandbox separado de los sistemas de producción, o controla directamente la sesión donde viven los datos reales?
• Registro de cada acción. ¿Existe una bitácora auditable de qué clic dio, qué campo llenó y qué leyó en pantalla, o solo se ve el resultado final?
• Sin acceso a producción durante la autonomía. Mientras el agente opera sin supervisión, ¿puede tocar sistemas productivos, o solo una réplica o un entorno de staging?
• Aprobación humana en el punto de quiebre. Para acciones irreversibles (enviar dinero, borrar registros, publicar algo hacia afuera), ¿hay un paso de confirmación de una persona, o el agente ejecuta de principio a fin?
• Alcance de permisos, no acceso total. ¿El agente entra con credenciales acotadas a la tarea, o hereda la sesión completa de un usuario con privilegios amplios?

Si el proveedor no puede responder estas cinco preguntas con algo más específico que "el modelo está entrenado para ser seguro", esa respuesta es la señal de alerta, no la tranquilidad.

Dónde esto no aplica, o donde la respuesta obvia es la equivocada

No todo proceso necesita un agente de computer use, y no toda tarea con computer use necesita el nivel de control descrito arriba. Dos matices importan:

Primero, si el sistema que quieres automatizar ya tiene una API limpia, la integración por API sigue siendo la opción más segura y más barata de operar. Computer use existe para los casos donde no hay API, el proveedor nunca la construyó o el flujo cruza varias herramientas que no se hablan entre sí. Usarlo donde ya existe una integración directa es cambiar un contrato explícito por uno implícito, sin ganar nada a cambio. Esa decisión de arquitectura es la misma que separa cuándo conviene automatizar un proceso con una integración tradicional y cuándo el problema de verdad necesita que un agente de IA interprete pantallas e intenciones. Sobre esa frontera conviene revisar también el precio por token y el acierto de caché que deciden si un agente de IA es rentable, porque un agente que opera pantalla completa consume más tokens que uno que solo llama una API.

Segundo, la respuesta obvia (prohibir el computer use de tajo) tampoco es la correcta en todos los casos. Para tareas de solo lectura, sobre contenido de bajo riesgo y sin capacidad de comunicarse hacia afuera, el tercer elemento de la trifecta nunca se completa y el riesgo baja en consecuencia. El error no está en la tecnología; está en activarla sin preguntar primero qué de las tres condiciones de la trifecta se cumplen en ese flujo específico. Gartner ya anticipa que una proporción alta de los proyectos agénticos actuales terminará cancelada, y la prisa por activar cada función nueva sin ese filtro es una de las razones, como se detalla en el análisis sobre el estancamiento del RPA frente a los agentes de IA.

La decisión que le toca a quien aprueba el presupuesto

Activar un agente con control de pantalla no es una decisión de producto, es una decisión de acceso. Es la misma pregunta que ya se le hace a cualquier integración nueva de Copilot en el escritorio, como se revisó en el análisis de la subida de precio de Microsoft 365 y la inclusión de Copilot en el paquete base: no es si el agente ahorra tiempo, sino qué puede ver, qué puede tocar y a quién le puede hablar mientras nadie lo está mirando. Antes de dar ese acceso, evaluamos con qué controles de aislamiento, registro y permisos conviene meter IA en una operación real.

Fuentes

• OpenAI: GPT-6 Astra, the next generation in intelligence for work
• Infobae: qué puede hacer GPT-6 Astra y por qué preocupa a los expertos
• OWASP, vía Help Net Security: state of agentic AI security and governance
• Checkmarx: EchoLeak (CVE-2025-32711)
• eSecurity Planet: CamoLeak, el fallo en GitHub Copilot
• The Hacker News: DuneSlide, los fallos críticos en Cursor
• The Decoder: OpenAI admite que la inyección de instrucciones podría no resolverse nunca del todo
• Meta AI: Agents Rule of Two, un enfoque práctico a la seguridad de agentes
• MindStudio: seguridad de computer use e inyección de instrucciones