Los bancos ya están bloqueando a los agentes que inician sesión con credenciales entregadas por sus propios clientes. JPMorgan afirma que está bloqueando los servicios de credenciales compartidas que mueven dinero, mientras trabaja en una forma de hacerlo correctamente.
Estamos entrando en un cisma. Algunas empresas están construyendo una puerta principal para los agentes, mientras que otras bloquean las vías por las que intentan entrar. Walmart acaba de anunciar un Agent Gateway basado en MCP, comenzando con una beta para desarrolladores, y perfiles de agente (Agent Profiles) previstos para el próximo mes con límites de gasto.
En la conferencia de resultados de Meta, Zuckerberg dijo que las compras eran el caso de uso más común de Muse, con un ticket promedio superior a 200 dólares. Esto es, sin duda, un problema financiero, y la recompensa por resolverlo es enorme.
David Sacks sostiene que los bancos deberían admitir un acceso que los clientes puedan otorgar, limitar y revocar. Estoy de acuerdo con la dirección. La pregunta más difícil es cómo.
Para tu banco, tu agente parece un gigantesco problema de fraude y responsabilidad.
Entregar mi inicio de sesión no le dice al banco qué agente lo está usando, qué le pedí que hiciera o si la acción coincide con mi instrucción. Un cliente puede aprobar el acceso sin aprobar todo lo que un agente podría intentar.
Siento que se viene un mapa.
Hay cuatro capas: Entrada, Identidad, Herramientas e Intención.
1. Entrada: dale al agente una vía de acceso admitida.
Personal Agent Protocol, o PAP (ahora llamado Poppy), le da a una empresa una forma de publicar cómo pueden interactuar los agentes con ella: dónde iniciar sesión, qué interfaces ofrece y qué acceso concederá.
Mi agente descubre esa información y utiliza un flujo de inicio de sesión admitido. Yo apruebo el acceso; la empresa decide qué permite. Ese acceso puede limitarse y revocarse. Bank of America y Wells Fargo son socios de diseño, lo que significa que están ayudando a darle forma, no prometiendo que mi agente podrá usar sus aplicaciones bancarias mañana.
El Trusted Agent Protocol (TAP) de Visa permite que un agente de compras se presente con información firmada: “Soy un agente de compras aprobado a través del programa de Visa, estoy comprando para este cliente y así es como pagará”. El comercio puede verificar esa información antes de dejarlo continuar. Aun así, necesita comprobar si yo aprobé la compra.
Web Bot Auth permite que el sitio web verifique quién opera el agente. Llamarte a ti mismo “Muse” no es suficiente; el sitio web comprueba la firma de la solicitud contra la clave publicada por el operador. TAP usa este enfoque para los agentes de compras.
Son complementarios: “hola, soy un bot, soy un bot bueno y me gustaría hacer algo”.
2. Identidad: aporta la prueba que necesita el servicio.
x401 de Proof permite que el servicio solicite evidencia sobre la persona detrás del agente. El banco dice lo que necesita, el agente presenta una credencial y el banco la verifica. “Mi agente dice que soy Simon” es una afirmación; una credencial firmada por un emisor de confianza le da sustento.
OpenID for Verifiable Presentations (OpenID4VP) es la forma en que la billetera presenta esa credencial. x401 pide la evidencia; OpenID4VP ayuda a entregarla.
Los estándares FIDO son la base de las passkeys. Desbloqueo la mía con mi rostro, huella dactilar o PIN del dispositivo, y mi dispositivo envía una firma que el servicio puede verificar. Mis datos biométricos permanecen en mi dispositivo. Eso me autentica sin entregarle mi contraseña al agente; pero no establece mi identidad legal por sí solo.
Un cliente actual del banco quizás solo necesite autenticarse. Un cliente nuevo o un servicio restringido también podría requerir identidad o elegibilidad verificadas.
3. Herramientas: dale al agente una operación precisa.
MCP permite que el banco describa qué puede hacer un agente y cómo solicitarlo. “Para congelar una tarjeta, llama a esta herramienta y dame el ID de la tarjeta”. El agente envía el ID; el banco devuelve un resultado.
WebMCP ofrece herramientas estructuradas a través del navegador, de modo que el agente pueda usar una herramienta de congelar tarjeta en lugar de adivinar en qué botón hacer clic. Una API proporciona una interfaz de software directa. MCP puede describir una operación mientras una API hace el trabajo por debajo.
Agent2Agent (A2A) permite que mi agente delegue una tarea al agente de la empresa y siga su progreso. No establece que yo haya autorizado la tarea.
El navegador es la forma en que los agentes llegarán a muchos servicios en el futuro previsible. Harán clic a través de las páginas porque es lo que hay disponible, y una ventana emergente inesperada puede arruinar el trabajo.
La empresa sigue controlando el acceso. Descubrir una herramienta de “transferir dinero” no le da permiso a mi agente para vaciar mi cuenta.
4. Intención: haz coincidir la acción con lo que aprobé.
Esa sensación de vacío cuando no encuentras tu teléfono ya es bastante mala sin tener que avisarle a cada banco uno por uno. Quiero que mi agente congele mis tarjetas y bloquee el dispositivo. “Congela mi tarjeta” no es permiso para transferir mi saldo ni cambiar los datos de mi cuenta.
Una compra añade condiciones. Si le pido a mi agente que reserve un hotel, “adecuado” significa pesas libres de más de 25 libras, mininevera y cancelación gratuita, porque los planes de viaje cambian a última hora. Podría aprobar una habitación concreta, fechas específicas y 200 dólares por noche incluyendo tarifas.
La aprobación es un paso. Luego, el servicio receptor necesita comparar la reserva real con esas condiciones. Una habitación de 190 dólares con 60 dólares en cargos extra supera mi límite. Firmar un pago tampoco demostrará que el hotel tiene el gimnasio que quería.
x401 también puede solicitar una acción firmada. Reviso las condiciones en mi dispositivo, las apruebo y el servicio verifica la respuesta firmada antes de continuar. Esto puede abarcar cambios de cuenta y documentos, además de pagos, donde el proveedor lo admita.
Verifiable Intent de Mastercard le entrega a la empresa evidencia firmada que vincula mi permiso con la compra del agente. Verifica que las firmas y la transacción encajen dentro de los límites, en lugar de creerle ciegamente al agente.
AP2 de Google vincula los permisos de pago y de finalización de compra, llamados mandatos. El comercio verifica qué puede comprar el agente; el proveedor de pagos comprueba si puede usar mi método de pago para esa compra.
Visa Intelligent Commerce proporciona instrucciones y controles de pago. Yo autentico una instrucción; el agente solicita credenciales de pago, y Visa verifica la solicitud y el pago del comercio contra esa instrucción. TAP ayuda a reconocer al agente; estos controles rigen el pago.
La Autenticación Reforzada de Clientes de Europa ofrece una comparación útil de escalado: para los pagos remotos pertinentes, la aprobación está vinculada al importe y al beneficiario. No nos otorga un permiso universal para toda la gestión del teléfono perdido.
La empresa todavía tiene que decir que sí.
En última instancia, los consumidores necesitan tener el control de lo que hacen los agentes.
Sí, cada banco aún tiene que conceder acceso a su servicio. Mi instrucción no puede dar permiso en nombre del banco. Los protocolos para todo esto existen, solo hay que unirlos, y el agente necesita informar de esos resultados para que yo sepa qué está protegido y qué aún requiere atención.
Tu apetito de riesgo puede variar.
Me parece bien dejar que un agente se encargue de compras por debajo de un par de cientos de dólares. Pero más allá de eso, quiero que me consulte y deje un registro de auditoría de un agente conocido que hizo cosas.
Si tenemos
- Permisos del consumidor (mediante intenciones)
- Vinculados a las identidades de los creadores de agentes y de las personas.
- Que puedan solicitar permisos a empresas y bancos
- Y luego exista un registro de auditoría de todo el proceso
Ya no tendremos más agentes sin autorización.
Por supuesto, el problema es que “autorizado” a menudo significa “de pago”. El acuerdo de acceso a datos entre JPMorgan y Plaid ya incluye precios, y ese acuerdo tardó casi una década en concretarse.
¿Crees que los bancos no van a exigirle más a Meta?
Hemos pasado años facilitando que los clientes hagan clic en los botones correctos. Ahora llega su agente con una instrucción.
Necesitamos hacer posible demostrar su autoridad y completar el trabajo.
Y eso podría significar que los bancos cobren por el camino.
Si te gustó esto, escribo en brainfood.xyz: échale un vistazo :)
