Los agentes de IA ya pagan por sí mismos lo que necesitan para cumplir sus tareas, desde comprar acceso a la búsqueda web hasta verificar la disponibilidad de un asiento con puntos en un vuelo. Y este proceso escala más rápido de lo que las empresas tardan en construir controles sobre él.

En 35 días se registraron 6,4 millones de pagos a través del protocolo x402 —la infraestructura de liquidación entre agentes— en las redes Base y Solana. Más del 90% de estas transacciones fueron inferiores a un centavo, pero los propios datos muestran que las empresas permiten cada vez más que las máquinas gasten dinero.

Por seguridad, la mayoría de estos agentes operan dentro de límites establecidos por una persona. Pero, ¿es suficiente? Incluso dentro del límite, una máquina puede cometer un error catastrófico que resulte muy costoso.

«Un agente puede tener credenciales válidas y realizar una transacción legítima, actuando al mismo tiempo bajo una instrucción maliciosa, basándose en información manipulada o en un objetivo malinterpretado. La infraestructura de pagos puede funcionar a la perfección, pero el dinero aun así irá a parar al lugar equivocado».

Un límite de gasto no basta para los agentes de IA

El estudio mostró que 14 de los 19 productos y flujos de trabajo examinados pueden actuar dentro de los permisos establecidos por las personas. Una empresa puede aprobar un presupuesto de antemano, y entonces el programa realizará compras sin pedir permiso cada vez.

Esto ofrece a las empresas un punto de partida práctico: delegar la tarea y limitar la suma disponible para llevarla a cabo. Pero se trata de mecanismos de control documentados, no de una prueba de que cada sistema los resista ante un ataque. Incluso un presupuesto respetado correctamente deja abierta otra pregunta: ¿quería el propietario que se hiciera precisamente este pago?

«El problema principal es la brecha entre lo que técnicamente se le permite al agente y lo que su propietario realmente quería».

Cómo un mensaje público se convirtió en una transferencia de $175 000

Dos incidentes demuestran de forma clara cómo las instrucciones peligrosas pueden llegar hasta una cartera con dinero.

En mayo de 2026, un atacante publicó un mensaje en código Morse. Grok lo descifró y publicó una respuesta mencionando a Bankr, un servicio que ejecuta criptotransacciones. Bankr interpretó esa respuesta como una orden de pago y transfirió tokens por $175 000. Posteriormente, el servicio informó que logró recuperar el 80% de los fondos.

En el segundo caso, el atacante obtuvo acceso al panel de control de AIXBT y puso en cola instrucciones maliciosas. Como resultado, se enviaron ETH por $106 200 a su dirección.

En total, en estos dos casos se trató de $281 200 antes de la devolución de los fondos.

El presupuesto reduce la suma que está en riesgo. Limitar los pagos a una lista de destinatarios aprobados resuelve la cuestión de adónde pueden ir a parar el dinero en primer lugar. Los pagos pequeños recurrentes también deben monitorearse: pueden acumularse antes de que alguien los note.

«Un agente que compra datos no debería obtener automáticamente el derecho a transferir fondos de tu tesorería».

Dónde la última palabra sigue siendo del propietario

Una conexión MCP expuesta permite a los asistentes de IA preparar órdenes de trading, mientras el cliente confirma cada orden antes de enviarla. Los registros de órdenes vinculan después la solicitud con la operación realizada. Este proceso está documentado, pero su resistencia a ataques no ha sido verificada.

La aprobación humana también debe ser significativa. En una revisión de octubre, el regulador británico FCA señaló que las verificaciones humanas se están convirtiendo en una formalidad y subrayó la necesidad de medidas técnicas de control y monitoreo constante.

Una empresa puede empezar con tareas estrictamente delimitadas y ampliar las facultades del agente a medida que se acumulen pruebas de que se comporta según lo previsto.

«A los agentes hay que darles las facultades mínimas necesarias para cada tarea, y esas facultades deben poder revocarse fácilmente».

Análisis de Cryptalist: El mercado de pagos agénticos muestra un crecimiento explosivo de la actividad transaccional, pero la infraestructura de seguridad va claramente por detrás de la velocidad de adopción. Los casos de $281 200 son solo la punta del iceberg: a medida que escalen x402 y protocolos similares, los riesgos crecerán de forma no lineal. Los participantes institucionales deberían considerar la limitación de facultades, las listas blancas de destinatarios y el monitoreo técnico no como una opción, sino como una condición obligatoria para permitir que los agentes de IA accedan a las carteras corporativas.