El 4 de mayo, un mensaje oculto en código Morse ayudó a desencadenar una transferencia de criptomonedas de seis cifras. Pasó a través de dos sistemas de IA conectados. Uno era Grok de Elon Musk, el chatbot creado por xAI de Elon Musk. El otro era Bankrbot, un agente de criptomonedas que podía realizar pagos desde una billetera vinculada.
El atacante primero envió a la billetera un token de membresía digital que desbloqueaba las herramientas de pago de Bankr. Grok luego decodificó el mensaje, y Bankrbot trató la respuesta como una orden de pago. Se transfirió un estimado de $150,000 a $200,000.
Un Mensaje en Código Morse Se Convirtió en un Pago de Seis Cifras
Ahora, ¿por qué es esto preocupante? Porque el caso destaca una explotación de seis cifras que involucra solo a dos agentes de IA. Una IA produjo texto. Otra lo trató como permiso para gastar.
Si miramos la escala de los pagos de agentes de IA hoy en día, tales escenarios podrían ser una pesadilla para el futuro de las Finanzas Agentes.
Keyrock contabilizó 176 millones de pagos de agentes en cadena por un valor de $73 millones hasta abril de 2026. El pago mediano se situó entre $0.01 y $0.10, mientras que el 76% estuvo por debajo de $0.30. Los pagos pequeños se convierten en un gran problema de control cuando el software puede realizarlos continuamente.
El patrón se está moviendo hacia la infraestructura de pago convencional. Mastercard lanzó Agent Pay for Machines en junio para pagos de alta frecuencia y bajo valor, mientras que Google y Visa están desarrollando estándares para que los agentes prueben identidad y autoridad.
BeInCrypto preguntó a Rodrigo Coelho, CEO de Edge & Node; Nitin Gaur, Jefe de Instituciones en Nethermind; y Francesco Andreoli, Director de Relaciones con Desarrolladores en MetaMask, quién asume el riesgo.
Coelho fue directo.
“La empresa que lo implementó. No hay versión de esto donde la responsabilidad recaiga en el modelo,” dijo Rodrigo Coelho, el CEO del desarrollador de infraestructura de IA y Web3 Edge & Node.
California ya ha puesto ese principio en la ley. AB 316, vigente desde enero, impide que un demandado que desarrolló, modificó o utilizó IA argumente que el sistema causó autónomamente el daño alegado. La causalidad y la previsibilidad siguen siendo importantes.
El Recibo No Es el Permiso
Una transacción en cadena prueba que el dinero se movió. No prueba que el agente tenía un mandato válido para moverlo.
“La mayoría de las empresas que implementan agentes hoy en día no podrían probar realmente qué estaba autorizado a hacer su agente. Pueden mostrarte la transacción. Ocurrió en una cadena y el registro es público y permanente. Lo que no pueden mostrarte es el permiso que estaba detrás de ello,” dijo Coelho.
Las lagunas pueden incluir quién delegó la autoridad, qué política se aplicó, qué información leyó el agente y si el pago se mantuvo dentro de sus límites. Una dirección de billetera no responde a ninguna de esas preguntas.
Nitin Gaur de Nethermind dijo que la disputa gira en torno al mandato.
“Lo que decide una disputa es la evidencia de autoridad. Muestra que el agente actuó dentro de un mandato válido, firmado y con límite de tiempo y esto se resuelve como cualquier otro pago autorizado.”
El AP2 de Google utiliza mandatos firmados criptográficamente para registrar la intención del usuario. El Protocolo de Agente de Confianza de Visa permite a los agentes aprobados presentar firmas digitales que prueban la identidad y la autorización asociada.
Mastercard añade credenciales y límites aplicados programáticamente. Las vías son diferentes, pero el objetivo de diseño es compartido: el permiso debe viajar con el pago.
Coloca los límites donde el agente no pueda alcanzar
Un mandato aún falla si el agente puede reescribirlo, aprobar su propia solicitud o tener poder de firma sin restricciones. Coelho traza el límite en la clave privada.
“El agente no debería tener las claves. Debería poder proponer un pago, y un sistema separado decide si ese pago está permitido,” dijo Coelho.
Francesco Andreoli de MetaMask hace el mismo punto sobre los avisos:
“Los controles que funcionan son aquellos que el agente no puede alcanzar, si tu política vive en el aviso, no es una política, es una sugerencia a un sistema que hemos visto repetidamente convencer para hacer cosas.”
En la práctica, eso significa fondos segregados, límites de transacción y diarios estrictos, contrapartes aprobadas, revocación rápida y un interruptor de emergencia probado. Un sistema independiente verifica las reglas antes de firmar.
Las herramientas que alimentan a los agentes crean otro riesgo. Snyk escaneó 3,984 habilidades públicas de agentes en febrero y encontró al menos un problema de seguridad en el 36.82%. Confirmó 76 cargas maliciosas que involucraban robo de credenciales, puertas traseras o exfiltración de datos.
Gaur ve la inyección de comandos como el patrón dominante: “La inyección de comandos es el patrón dominante: un agente toma instrucciones de contenido no confiable que se le pidió leer y lo ejecuta como si el principal lo hubiera solicitado.”
Por lo tanto, un rastro de auditoría defendible necesita la identidad del agente, mandato firmado, versión de la política, transacción, datos de origen y cualquier excepción aprobada, escrita cuando ocurre el pago. La cadena proporciona una parte.
El estándar de Gaur es más corto: “Demostrable, revocable y limitado.”
Sin esas propiedades, las empresas se quedan con un recibo inmutable para una decisión que no pueden defender.
Fuente: BeInCrypto
