WAAA: cuando los navegadores agénticos resucitan ataques web

¿Qué es esto?

En «WAAA! Web Adversaries Against Agentic Browsers» (arXiv 2605.05509, enviado el 6 de mayo de 2026, cs.CR), Sohom Datta, Alex Nahapetyan, William Enck y Alexandros Kapravelos sostienen que la investigación sobre la seguridad de los navegadores agénticos tiene un punto ciego. Casi todo el trabajo previo estudia una sola amenaza: la inyección de prompt indirecta. Pero un navegador agéntico sigue siendo un navegador, que conduce sesiones autenticadas reales, y por tanto hereda toda la historia de los ataques web tradicionales: falsificación de petición entre sitios (CSRF), secuestro de clic (clickjacking), robo de datos entre orígenes, suplantación de interfaz y toda la ingeniería social diseñada para engañar a las personas. Los autores construyen el primer modelo de amenazas centrado en la web para estos sistemas y derivan de él una taxonomía de 20 ataques que abarcan la web y el espacio LLM, de los cuales implementan 18.

Cómo funciona

Los autores amplían el modelo estándar See → Act de un agente navegador para cubrir todos los componentes de un navegador y, a continuación, describen al agente como un delegado confundido (confused deputy): un actor privilegiado incapaz de distinguir de forma fiable un paso legítimo de la tarea de una instrucción o un elemento de interfaz colocados por un atacante en la página. Es esa única propiedad la que reabre viejas heridas.

Los navegadores modernos pasaron dos décadas construyendo defensas —la más importante, la política del mismo origen (SOP)— para impedir que un sitio lea o actúe sobre otro en nombre del usuario. Un agente LLM que opera entre pestañas y sesiones puede ser dirigido por contenido de página no confiable para realizar precisamente esas acciones prohibidas entre orígenes, eludiendo de hecho las fronteras que el navegador debía hacer cumplir. El resultado, según el artículo: 10 amenazas web reaparecen, a menudo amplificadas, en cuanto el agente puede ser influido por el contenido que lee. El CSRF clásico requería que una víctima fuera engañada para emitir una sola petición falsificada; a un agente se le puede convencer de encadenar muchas acciones de ese tipo entre orígenes en nombre de «completar la tarea».

El artículo no trata esto como una rareza de un solo modelo. Un estudio de generalización ejecuta 14 de los 20 ataques en 4 grandes modelos LLM de varios proveedores y comprueba que se reproducen, lo que apunta a una debilidad de paradigma más que a un producto concreto con errores. Los hallazgos se resumen en cinco grandes modos de fallo —las maneras recurrentes en que los navegadores agénticos ceden ante amenazas web tradicionales y de LLM— lo que lleva a los autores a concluir que estos sistemas deben ser rearquitecturados antes de estar listos para la web actual.

Por qué importa

La lección para quienes construyen estos sistemas es incómoda: endurecer un navegador agéntico solo contra la inyección de prompt es necesario, pero está muy lejos de ser suficiente. La superficie de ataque es la unión de los ataques de LLM y de todo el catálogo histórico de ataques web, y la autonomía del agente convierte exploits que antes dependían del usuario (la víctima tenía que hacer clic) en exploits automatizados (es el agente quien hace clic). Como el agente lleva las cookies y las sesiones del usuario, el radio de impacto es todo aquello que esas sesiones puedan alcanzar: correo, banca, herramientas internas. Cualquiera que despliegue un agente que navega y actúa sobre un modelo de frontera está expuesto, sea cual sea el proveedor elegido.

Defensas

La receta central del artículo es arquitectónica, no un simple filtro:

• Reimponer fronteras de origen al agente. Trate al agente como un actor entre orígenes no confiable y vuelva a aplicar un aislamiento de tipo política del mismo origen a sus acciones, en lugar de dejar que cruce libremente pestañas, sesiones y orígenes.
• Separar la intención de la tarea del contenido de la página. El problema del delegado confundido es la causa raíz; las defensas deben dar al agente un canal de confianza para su tarea real y negarse a tomar como autoridad las instrucciones o los «botones» renderizados por páginas no confiables.
• Restringir las acciones que cambian el estado y las acciones entre orígenes. Exija una confirmación del usuario explícita y acotada para operaciones sensibles (envío de formularios, pagos, compartición, acceso a archivos); no deje que el agente las complete automáticamente porque una página lo pida.
• Probar la unión, no solo la inyección de prompt. Someta a los navegadores agénticos al catálogo de ataques web clásicos —CSRF, clickjacking, suplantación de interfaz, lecturas entre orígenes— y en varios modelos base, ya que los fallos se transfieren.

Estado

Elemento	Detalle
Divulgación	arXiv 2605.05509, enviado el 6 de mayo de 2026 (cs.CR)
Autores	S. Datta, A. Nahapetyan, W. Enck, A. Kapravelos
Alcance	Primer modelo de amenazas centrado en la web para navegadores agénticos; taxonomía de 20 ataques, 18 implementados
Hallazgo clave	10 amenazas web mitigadas desde hace tiempo reaparecen (a menudo amplificadas); reproducibles en 4 LLM / varios proveedores; 5 modos de fallo
Mitigación	Rearquitecturar los agentes en torno al aislamiento de origen y la contención del delegado confundido, no solo el filtrado de inyección de prompt