Google prueba «Skills» en Chrome para Gemini: automatización avanzada que desafía el Copilot de Edge
Introducción
En un movimiento que podría reconfigurar el panorama de la automatización basada en inteligencia artificial (IA) en navegadores, Google ha comenzado a probar una nueva funcionalidad denominada “Skills” para su asistente Gemini, integrada directamente en Chrome. Esta iniciativa apunta a dotar al navegador de capacidades automatizadas para ejecutar tareas de forma autónoma, elevando notablemente el nivel de interacción y asistencia que Chrome puede ofrecer a los usuarios. El despliegue de Skills supone una respuesta directa a soluciones ya presentes en la competencia, como el modo Copilot de Microsoft Edge o la función Comet de Perplexity, marcando el inicio de una nueva etapa de competencia en la aplicación de IA en navegadores.
Contexto del Incidente o Vulnerabilidad
La integración de asistentes de IA en navegadores web no es nueva, pero la tendencia ha experimentado una aceleración significativa en los últimos 12 meses. Microsoft ha liderado la adopción con Copilot en Edge, permitiendo realizar búsquedas contextuales, generación de contenidos y automatización de tareas sencillas. Por su parte, Perplexity Comet ha apostado por una experiencia similar centrada en la recopilación y síntesis de información en tiempo real.
Google, hasta ahora, había limitado la funcionalidad de Gemini principalmente a respuestas contextuales y asistencia general, sin alcanzar el nivel de automatización dinámica que ofrecen los rivales. La aparición de “Skills” supone un salto cualitativo, ya que no sólo extiende la interacción de Gemini, sino que permite la ejecución proactiva y automática de operaciones dentro del navegador, abriendo la puerta a nuevos vectores de ataque y desafíos de seguridad.
Detalles Técnicos
La función Skills está siendo desplegada en versiones Canary y Dev de Google Chrome (rama 127.x y superiores), y se encuentra en fase de pruebas limitadas. Skills opera como un conjunto de módulos de automatización que pueden ser invocados tanto por el usuario como por scripts de IA, permitiendo que Gemini ejecute tareas como rellenado de formularios, navegación automatizada, extracción de datos y manipulación de elementos DOM en tiempo real.
Desde el punto de vista de seguridad, Skills introduce una nueva capa de privilegios dentro del navegador, permitiendo a Gemini acceder a APIs internas y manipular elementos fuera del alcance tradicional de las extensiones. Se ha observado que Skills utiliza un modelo de ejecución sandboxed, aunque la interacción con datos sensibles y la posibilidad de automatización de acciones críticas (por ejemplo, envío de formularios, acceso a cuentas, descargas automáticas) incrementa el riesgo de explotación.
Actualmente, no se han asignado CVEs específicos a Skills, pero investigadores han señalado la posibilidad de que, en caso de una elevación de privilegios o vulnerabilidad de deserialización, un atacante podría explotar el framework Skills para realizar movimientos laterales dentro del entorno del usuario. Los TTP observados se alinean con las técnicas T1204 (User Execution) y T1071 (Application Layer Protocol) del marco MITRE ATT&CK. Por el momento, no se han publicado IoC específicos, aunque se recomienda monitorizar la aparición de scripts no autorizados que invoquen Skills o manipulen la API interna de Gemini.
Impacto y Riesgos
La principal preocupación radica en el amplio alcance y automatización que Skills confiere a Gemini. Si un atacante logra comprometer la instancia de Gemini o explotar una vulnerabilidad en la lógica de Skills, podría automatizar el robo de credenciales, exfiltración de información, manipulación de sesiones activas o incluso realizar ataques de phishing dirigidos directamente desde el navegador del usuario.
El impacto potencial es significativo: Chrome ostenta más del 62% de cuota de mercado en navegadores de escritorio a nivel global (Statcounter, Q2 2024). Un exploit masivo de Skills podría afectar a millones de usuarios y empresas, con consecuencias que incluyen desde el incumplimiento de la GDPR hasta la exposición de activos críticos, especialmente en entornos empresariales.
Medidas de Mitigación y Recomendaciones
Hasta la publicación de parches definitivos, se recomienda:
– Limitar el uso de versiones Canary/Dev en entornos de producción.
– Auditar las políticas de seguridad de extensiones y automatización en Chrome.
– Monitorizar logs en busca de automatizaciones inusuales o acceso a APIs privilegiadas.
– Implementar controles de acceso basados en roles y restringir la interacción de Gemini con datos sensibles.
– Mantener actualizado el navegador y aplicar los parches de seguridad en cuanto estén disponibles.
– Evaluar el impacto de Skills en el cumplimiento de normativas como NIS2 y GDPR, especialmente en el tratamiento de datos personales y la posibilidad de automatización de acciones sobre dichos datos.
Opinión de Expertos
Analistas de ciberseguridad consultados coinciden en que la llegada de Skills representa tanto una oportunidad como una amenaza: “La automatización basada en IA puede aumentar la productividad, pero también abre nuevos vectores de ataque que los equipos SOC deberán monitorizar proactivamente”, afirma Carlos Jiménez, CISO en una multinacional tecnológica. Penetration testers advierten que la exposición de APIs internas y la ejecución de scripts automatizados pueden facilitar la explotación de vulnerabilidades zero-day, especialmente si Skills es habilitado por defecto en futuras versiones estables.
Implicaciones para Empresas y Usuarios
Las organizaciones que utilicen Chrome como estándar corporativo deberán revisar sus políticas de seguridad ante la inminente llegada de Skills. Es crucial anticipar posibles escenarios de abuso, desde la automatización de fugas de información hasta la explotación de flujos de trabajo críticos, y preparar respuestas basadas en threat intelligence y análisis de logs. Para los usuarios individuales, la recomendación es extremar la precaución con la activación de funciones experimentales y revisar cuidadosamente los permisos otorgados a Gemini y a Skills, especialmente en sesiones autenticadas o al manejar datos sensibles.
Conclusiones
Skills para Gemini en Chrome es un avance significativo en la integración de IA y automatización a nivel de navegador, con potencial tanto para mejorar la experiencia de usuario como para introducir riesgos inéditos en el ecosistema de ciberseguridad. La vigilancia activa, la actualización constante y la aplicación de controles de seguridad granulares serán esenciales para mitigar el impacto de posibles vulnerabilidades asociadas a esta nueva funcionalidad.
(Fuente: www.bleepingcomputer.com)