Los agentes de IA ya están moviendo dinero real on-chain sin que un humano apruebe cada transferencia. Según un informe publicado por la firma de seguridad blockchain Halborn, aproximadamente 73 millones de USD en transacciones fueron liquidadas de forma autónoma por agentes de IA entre mayo de 2025 y abril de 2026. La cifra es modesta en comparación con el volumen total de stablecoins, pero representa un cambio significativo: los pagos iniciados por máquinas ya no son teóricos. El informe se centra menos en el volumen y más en lo que puede salir mal, catalogando las brechas de autorización, las fallas en la gestión de claves y las capas de control faltantes que convierten a los pagos agentivos en un problema de seguridad genuinamente novedoso y no en una simple auditoría de contratos inteligentes reempaquetada.
El punto de partida de 73 millones de USD y por qué importa
La estimación de 73 millones de USD de Halborn abarca un periodo de doce meses y se basa en la actividad observable de protocolos de agentes en las principales redes. El número es intencionalmente conservador: captura las transacciones liquidadas donde un agente de IA demostrablemente inició y autorizó el pago, excluyendo los flujos asistidos por humanos o cofirmados manualmente. Para dar contexto, la liquidación diaria de stablecoins suele superar los 150.000 millones de USD, por lo que los pagos de agentes siguen siendo un error de redondeo. Pero la trayectoria de crecimiento importa más que la cifra absoluta. Marcos de pago para agentes como x402, Coinbase Agent Payments y Skyfire han lanzado infraestructura de producción dentro de este periodo. Cada nuevo despliegue amplía la superficie en la que un sistema autónomo puede mover fondos sin supervisión humana en tiempo real, y ese es el escenario que preocupa a Halborn.
Las cuatro superficies de ataque
El informe identifica cuatro categorías de riesgo específicas de los pagos agentivos. Primero, el compromiso de claves privadas: la mayoría de los marcos de agentes requieren acceso a una clave de firma, y el patrón predominante es cargar las claves privadas en el entorno de ejecución del agente, efectivamente un monedero caliente con autoridad de gasto autónomo. Segundo, el alcance de la autorización de transacciones: a los agentes se les conceden con frecuencia aprobaciones de tokens ilimitadas en los contratos con los que interactúan, lo que significa que un agente comprometido o con un mal funcionamiento puede vaciar todo un saldo en lugar de exceder un límite por transacción. Tercero, la manipulación de prompts: dado que los agentes derivan sus instrucciones de entradas en lenguaje natural, una inyección de prompt adversaria puede redirigir el comportamiento de pago sin siquiera tocar el material de la clave subyacente. Cuarto, la ausencia de límites de tasa o disyuntores (circuit-breakers): los sistemas de pago tradicionales incorporan controles de velocidad y detección de anomalías, pero la mayoría de los prototipos de pagos de agentes no tienen un mecanismo equivalente para detener el gasto cuando el comportamiento se desvía de los patrones esperados.
La brecha de la capa de control
El argumento arquitectónico central de Halborn es que a los sistemas de pagos de agentes les falta una capa de control dedicada entre la lógica de decisión del agente y la función de firma del monedero. En una infraestructura de pagos convencional, múltiples intermediarios —motores antifraude, equipos de riesgo bancario, sistemas de autorización de redes de tarjetas— se sitúan entre la intención y la liquidación. Cada uno proporciona un control independiente. Los protocolos de pago de agentes colapsan esta cadena. El agente decide, firma y transmite en un solo flujo, a menudo en milisegundos. El informe recomienda insertar un motor de políticas programable que evalúe cada transacción contra restricciones predefinidas: gasto máximo por intervalo, direcciones de contratos en lista de permitidos, requisitos de multifirma por encima de ciertos umbrales y confirmación humana obligatoria para interacciones con nuevas contrapartes. Esto es conceptualmente similar a un monedero multisig con políticas de gasto condicional, pero optimizado para los requisitos de latencia y autonomía de los flujos de trabajo de los agentes.
Infraestructura actual y exposición de claves
El problema práctico es que los marcos que están ganando tracción priorizan una configuración de baja fricción sobre el control de acceso granular. El kit de Coinbase Agent Payments, por ejemplo, aprovisiona un monedero y credenciales de firma como parte de la inicialización del agente: conveniente, pero deja toda la superficie de gasto activa por defecto. Las implementaciones de x402 generalmente dependen de facilitadores basados en sesiones que mantienen los saldos durante la operación del agente. El modelo de Skyfire otorga a los agentes cuentas prefinanciadas con límites de gasto, lo cual se acerca más a lo que aboga Halborn, pero los límites se establecen en la inicialización en lugar de aplicarse dinámicamente. En todos ellos, la custodia de claves sigue siendo el eslabón más débil. Hasta que los entornos de ejecución de los agentes se integren con firma respaldada por hardware o esquemas de firma de umbral (threshold signatures), el material de la clave solo será tan seguro como el proceso o contenedor que ejecuta el agente, y esa superficie de ataque es bien conocida por cualquiera que haya visto cómo vacían un monedero caliente.