En muchas entidades peruanas hay trabajadores que ya conectaron su correo institucional a un asistente de IA. Lo hicieron para resumir hilos, redactar respuestas o buscar un adjunto viejo. Nadie los autorizó formalmente y nadie se los prohibió. El área de TI, en la mayoría de casos, no tiene forma de saber cuántas de esas conexiones existen.
Un informe publicado el 8 de setiembre de 2026 por Check Point Research muestra por qué eso importa.
Una instrucción invisible dentro de la conversación
Los investigadores demostraron que una sola instrucción plantada en una conversación de ChatGPT podía hacer que el asistente trabajara en silencio para un atacante mientras respondía con normalidad al usuario. En su prueba de concepto, ese trabajo oculto leyó datos de la cuenta de Gmail conectada y los pasó a una segunda cuenta de ChatGPT a través de un canal escondido. La respuesta que veía el usuario no decía nada al respecto.
El mismo canal servía para extraer el historial de la conversación y los archivos cargados en ella. Cuánto podía llevarse un atacante dependía de a qué tenía acceso la sesión: sus datos, sus herramientas, las aplicaciones conectadas y los permisos vigentes.
La instrucción tenía que estar en la conversación antes de que nada de esto funcionara. Check Point identificó tres formas de colocarla: un prompt que el propio usuario copia y pega, una conversación compartida que el usuario abre, o un GPT personalizado que la guarda en sus instrucciones de creación, las cuales no se muestran a quien lo utiliza.
Después de eso, bastaba un mensaje corriente para activarlo. La instrucción estaba escrita de modo que el modelo ejecutara dos líneas de trabajo en el mismo turno: una respondía al usuario y la otra revisaba un buzón oculto en busca de tareas del atacante, las ejecutaba con las herramientas de la sesión y devolvía el resultado. La única señal visible fue una etiqueta pequeña sobre la respuesta indicando que se había consultado Gmail: registraba una lectura que ya había ocurrido y no ofrecía la posibilidad de aceptarla o rechazarla.
Es el mismo mecanismo que ya documentamos cuando comentarios ocultos secuestraron agentes de IA dentro de una plataforma de desarrollo: el modelo no distingue entre lo que le pide su usuario y lo que le pide un texto que encontró en el camino.
El permiso por defecto lee sin preguntar
Nada le preguntó al usuario porque así funcionan las aplicaciones conectadas de forma predeterminada. La documentación de OpenAI establece un nivel de permiso por defecto que autoriza al asistente a leer de una aplicación sin solicitar confirmación. El sistema solo pregunta antes de acciones que tienen efecto real fuera de ChatGPT, que exponen información sensible o que resultan difíciles de deshacer.
Ese comportamiento se puede cambiar. Un usuario que prefiera ser consultado cada vez puede activar la opción de preguntar siempre. En espacios de trabajo empresariales, educativos y de nivel corporativo, el administrador define qué acciones puede realizar cada aplicación y quién puede usarla. Conviene revisar el estado inicial: en los planes de negocio las aplicaciones vienen activadas, mientras que en los planes corporativos y educativos vienen desactivadas.
El canal salió por donde nadie estaba mirando
La parte técnica es breve y no hace falta dominarla. ChatGPT construye un contenedor aislado para cada conversación cuando necesita ejecutar código, y esos contenedores no tienen camino directo entre sí, ni siquiera entre cuentas distintas. Todos, sin embargo, podían alcanzar un mismo servicio interno de paquetes, que permitía adjuntar valores con nombre a un archivo almacenado y volver a leerlos sin separarlos por cuenta. Lo que debía ser infraestructura de instalación terminó funcionando como un portapapeles compartido entre entornos que jamás debieron comunicarse.
Check Point reportó el hallazgo a OpenAI y esta confirmó que el servicio interno detrás del canal fue dado de baja. No hay actualización que el usuario deba instalar. Tampoco hay certeza sobre la exposición: la investigación está fechada en junio de 2026 y el informe no precisa cuándo dejó de funcionar el canal.
Vale la pena notar que este es el segundo canal de salida que la misma firma reporta sobre esta parte de ChatGPT. En marzo describió otro que usaba consultas DNS para enviar datos de conversaciones a un servidor externo.
El punto ciego no es la herramienta, es el inventario
Aquí está la lección para una entidad pública o una empresa peruana, y no tiene que ver con qué asistente de IA se use.
Si mañana se repitiera un caso así con cualquier plataforma, la mayoría de organizaciones no podría responder tres preguntas básicas: qué cuentas institucionales están conectadas a asistentes de IA, qué permisos les otorgaron y qué información leyeron. No es un problema de tecnología ausente, sino de administración: son conexiones que se autorizan desde la cuenta del usuario final, fuera de cualquier consola que TI supervise.
Es la definición práctica de la IA en la sombra, y repite el mismo patrón de las entidades que compran herramientas de detección sin personal que las opere. La visibilidad centralizada de los equipos, las cuentas y el software en uso es justamente lo que resuelve una plataforma de gestión de TI, y es la diferencia entre enterarse de una fuga por un informe externo o detectarla desde la propia consola.
La Ley 29733 no distingue si la fuga la causó una IA
Para el marco peruano de protección de datos personales, el responsable del banco de datos sigue siendo la entidad, no el proveedor del asistente. Si correos con datos de administrados, pacientes o ciudadanos salieron hacia un tercero sin base legal ni consentimiento, la obligación de notificar y responder ante la Autoridad Nacional de Protección de Datos Personales recae sobre la institución.
El agravante práctico es la trazabilidad. Ante una fiscalización, una entidad debe poder demostrar qué datos se trataron, con qué finalidad y a través de qué encargados. Una conexión que un trabajador activó por su cuenta no aparece en ningún registro de tratamiento.
Medidas que sí están al alcance
Aunque el canal ya fue cerrado, el riesgo de fondo permanece y admite acciones concretas.
Levantar el inventario de aplicaciones conectadas a las cuentas institucionales y revisar qué permisos tienen. Cambiar la configuración para que el asistente pida confirmación antes de cada lectura, en lugar de leer por defecto. Restringir desde la administración del espacio de trabajo qué aplicaciones se pueden habilitar y quién puede hacerlo. Definir una política de uso de IA que indique qué información institucional no debe cargarse nunca en un asistente externo. Y sostener un monitoreo continuo de la actividad que permita notar accesos que nadie autorizó.
Y, sobre todo, tratar el correo institucional como lo que es: el repositorio con la información más sensible de la organización. Mantenerlo sobre una plataforma administrada, con controles propios sobre accesos y disponibilidad, como los correos en la nube gestionados por la institución, reduce la superficie que un asistente externo puede alcanzar.
La IA conectada es un sistema más que administrar
El error conceptual es tratar a los asistentes de IA como aplicaciones de productividad sin consecuencias. Un asistente con acceso al correo tiene los mismos privilegios de lectura que un usuario, opera con instrucciones que puede recibir de fuentes que la organización no controla y deja un rastro mínimo de lo que hizo.
Ninguna entidad conectaría un sistema con esas características a su correo institucional sin evaluación previa. En la práctica, decenas ya lo hicieron, una cuenta a la vez.
Conclusión
El canal que usó esta prueba de concepto ya está cerrado, así que no hay nada que parchar ni ninguna actualización que instalar. Lo que sigue abierto es el hábito: cuentas institucionales conectadas a asistentes externos, con permisos que nadie revisó y sin registro de qué leyeron.
La pregunta útil para su organización no es si ChatGPT es seguro, sino cuántas cuentas del dominio tienen hoy una aplicación de IA conectada y quién lo autorizó. Si la respuesta no está en ninguna consola, ese es el trabajo pendiente. El mismo razonamiento vale para los ataques de phishing dirigidos a agentes de IA: el control no está en el modelo, está en el inventario.
