Del KYC al KYA en el comercio mediado
Los ecosistemas de pago ya están exportando sus guías de KYC y de gestión de riesgos al mundo de los agentes. Los marcos de comercio basados en agentes y los estándares de protocolo emergentes introducen:
Registro de agentes y habilitación de pagos, de modo que solo los agentes de IA verificados puedan disponer de credenciales tokenizadas y realizar transacciones en la red.
Flujos de incorporación de agentes de confianza, en los que los agentes son sometidos a un proceso de verificación previo, se les asignan claves criptográficas y se les exige que firmen su tráfico, de modo que los comerciantes y los intermediarios puedan distinguir a los agentes de compra de confianza de los bots genéricos en el perímetro.
Tokens vinculados a agentes y artefactos de intención verificables, que vinculan entre sí a un agente de IA, una credencial de pago y un registro de intención firmado, de modo que los participantes posteriores puedan verificar que una transacción está vinculada a un agente concreto y a un mandato específico.
Paralelamente, el Protocolo de Pagos de Agentes (AP2) se ha consolidado como un protocolo abierto para la economía de agentes, diseñado para permitir pagos seguros, fiables e interoperables gestionados por agentes a través de distintas redes y métodos de pago.
En esta arquitectura de credenciales verificables por capas, los agentes de compra se identifican explícitamente dentro de la credencial verificable del usuario, de modo que están autorizados criptográficamente para actuar en nombre del titular de la tarjeta o para utilizar el instrumento de pago de este dentro de unos límites predefinidos. En la capa «autónoma», el usuario delega en un agente específico incorporando la clave pública de dicho agente. Cuando el agente genera posteriormente credenciales de pago o de finalización de compra, las firma con esta clave vinculada y demuestra su posesión, lo que proporciona a los comerciantes y a los proveedores de pago un registro portátil y verificable de forma independiente que demuestra que es este agente autorizado específico, y no un cliente cualquiera, quien está ejerciendo la intención de pago delegada por el usuario.
Por qué es importante el KYA (y qué es lo que comprueba realmente)
KYA es la base imprescindible, ya que los actores del ecosistema de pagos no pueden confiar simplemente en «cualquier agente» que afirme representar a un titular de tarjeta. Como mínimo, los proveedores deben demostrar que cuentan con una plataforma de agentes reforzada que se ajuste a las directrices de seguridad actuales para los modelos de lenguaje grande (LLM), tal y como se recogen en normas del sector como las de la OWASP.
En lo que respecta a la identidad, KYA consiste en dotar a cada agente de una identidad verificable criptográficamente, en lugar de tratarlo como un consumidor opaco de la API. Dicha prueba criptográfica vincula el identificador del agente, los metadatos del modelo y la versión, y sus capacidades a la firma del proveedor; estas credenciales pueden presentarse durante la interacción con otros actores y ser comprobadas por las redes de pago antes de que el agente reciba un token de pago.
Los límites del KYA estático
El problema es que todo esto se basa, fundamentalmente, en la confianza previa a la ejecución. Las auditorías de los proveedores, los diagramas de arquitectura, las claves firmadas y los flujos de incorporación te indican quién ha creado el agente y cómo se ha configurado, pero no garantizan lo que hará en producción.
Los agentes de IA son no deterministas: una misma entrada puede generar resultados diferentes en cada ejecución, ya que se basan en modelos probabilísticos y en un contexto en constante evolución. Incluso en entornos estrictamente controlados, los grandes modelos de lenguaje muestran una «deriva no determinista» cuantificable en ejecuciones repetidas, que se acentúa ante cambios en la distribución y actualizaciones del modelo. En los sistemas reales, esta deriva se ve amplificada por:
- Inyección de comandos y manipulación del razonamiento. Un atacante puede insertar instrucciones para añadir partidas ocultas, intercambiar comerciantes o alcanzar siempre los límites de gasto, mientras que las firmas HTTP y las credenciales KYA parecen válidas.
- Envenenamiento de la memoria: los agentes de larga duración con memoria persistente pueden condicionarse gradualmente para que, más adelante, unas indicaciones aparentemente normales desencadenen acciones maliciosas.
- Ataques a la cadena de suministro: las herramientas, los complementos o los mercados de MCP que han sido comprometidos pueden modificar el comportamiento del agente sin alterar su identidad externa: el agente sigue siendo «el mismo», pero la herramienta a la que recurre ahora extrae datos o altera el contenido de los carritos de la compra.
Desviación emergente del alcance: incluso sin la intervención de un atacante, los agentes muestran comportamientos emergentes a medida que cambian los modelos, las indicaciones o las herramientas; comienzan a realizar acciones que incumplen las políticas empresariales implícitas, como elegir repetidamente comerciantes de mayor riesgo o reinterpretar indicaciones vagas de los usuarios para justificar gastos más elevados.
Ninguno de estos modos de fallo es visible en las credenciales estáticas que valida KYA ni en los protocolos basados en agentes que utilizan credenciales verificables. Los identificadores y las claves del agente permanecen intactos y el usuario no puede detectar las restricciones viciadas incluidas en las credenciales verificables; lo que se desvía es la cadena de decisiones entre la «intención del usuario» y la «solicitud de pago».
Además, un «agente de compras» en producción rara vez es un único modelo estático. Suele tratarse de una orquestación de múltiples subagentes, herramientas y flujos de trabajo en constante evolución, cada uno con sus propias indicaciones, modelos y cadencia de lanzamiento. Congelar una única versión del agente para su certificación deja rápidamente de ser viable, ya que los proveedores lanzan actualizaciones frecuentes de los modelos, cambian de herramientas o reconfiguran las topologías de los subagentes; el comportamiento efectivo del sistema puede cambiar sin que se produzca ninguna modificación visible en la credencial KYA original.
Por lo tanto, basarse exclusivamente en un KYA estático crea una peligrosa ilusión de control: la documentación indica «mismo agente», pero el sistema en tiempo real, con múltiples agentes, ha evolucionado, y esa es precisamente la razón por la que se requiere una verificación continua en tiempo de ejecución.
Descubre más en nuestra serie de entradas del blog sobre comercio con IA agentiva:
Capítulo I: La IA agencial y los pagos: cuando la IA tiene una cartera y voluntad propia.
Capítulo II: Comercio «agentic»: cuando tu cartera tiene cerebro.
Capítulo III: Comercio «agentic»: publicación en Llamas.
Capítulo IV: Repensar la seguridad en la era de la IA agencial.
Capítulo V: De las emociones a los algoritmos: por qué el comercio agénico necesita una nueva capa de confianza.
Capítulo VI: Cerrar la brecha de confianza en el comercio agéntico.
Capítulo VII: Marco de confianza: crear confianza verificable para las transacciones autónomas.
Capítulo IX: KYA no es suficiente: presentación de FACT, la capa de confianza en tiempo de ejecución para el comercio agentivo.
Capítulo X: El agente que hizo trampa en el examen
