Con apenas un día de diferencia, dos empresas adoptaron enfoques distintos para gestionar los agentes personales.
El 20 de septiembre, dos semanas después de que Meta lanzara Muse, Amazon bloqueó el acceso del agente a su sitio web.¹ A la mañana siguiente, Tobi Lütke, CEO de Shopify, anunció que Muse podría completar compras mediante Shop Pay en todas las tiendas de Shopify.
Amazon puso objeciones a la forma de actuar de Muse. Meta nunca avisó a Amazon de que el agente iba a llegar, y Muse navega sin identificarse, por lo que Amazon vio lo que parecía ser un cliente con la sesión iniciada que se apresuraba a completar la compra más rápido de lo que podría hacerlo cualquier persona.
Shopify, por su parte, ha estado colaborando con Meta desde el lanzamiento de Muse. Según su nuevo acuerdo, Muse completa las compras a través de Shop Pay, donde los comerciantes pueden ver cuándo está comprando un agente, y Shopify procesa el volumen de pagos.
Apptopia estima que Muse alcanzó 1,8 millones de descargas en iOS durante sus primeros 12 días en Estados Unidos y Canadá, superando los 1,3 millones de ChatGPT en su lanzamiento.² Mientras tanto, Noah Shinn, CEO de Instinct, afirma que su startup se acerca a los 1.000 millones de dólares en transacciones anuales, aproximadamente la mitad de ellas relacionadas con viajes.³
A medida que aumenten esas cifras, más comercios tendrán que tomar la misma decisión, y los clientes de Sardine ya han empezado a preguntar cómo gestionar las transacciones realizadas por agentes. Sea cual sea su decisión, los equipos antifraude necesitan saber qué agente está en el sitio y quién lo envió, ya que un estafador con credenciales robadas puede enviar a un agente perfectamente legítimo a comprar desde la cuenta de otra persona.
Conclusiones clave
- Un agente de IA personal realiza compras con las credenciales de su propietario. Un estafador que haya robado esas credenciales puede enviar a un agente perfectamente funcional a comprar en su nombre, y la transacción parecerá legítima en todos los niveles.
- Los agentes en la nube, como Meta Muse, operan desde infraestructuras de centros de datos alejadas del cliente que los envió, mientras que los agentes locales se ejecutan en el dispositivo y la red del propio cliente. Ambos presentan señales de fraude muy diferentes y requieren lógicas de detección distintas.
- Bloquear todo el tráfico de agentes supone perder ventas legítimas. Permitirlo por completo abre la puerta al fraude mediante inyección de instrucciones en agentes de IA, la apropiación de cuentas y el fraude en los pagos. Ninguno de estos enfoques indiscriminados funciona para los comercios que quieren aprovechar el volumen generado por los agentes sin asumir sus riesgos.
- Sardine evalúa cada sesión de agente en tres dimensiones. Determina si la sesión está siendo controlada por software y de qué agente se trata, si el agente coincide con el historial conocido de la cuenta y si lo que intenta hacer se ajusta al comportamiento habitual de la cuenta.
- El Protocolo de Agentes de Confianza de Visa permite a los agentes firmar sus solicitudes e identificarse ante los comercios, pero una solicitud firmada identifica a quien creó el agente, no a quien lo envió. Los comercios aún deben verificar al propietario y evaluar lo que está haciendo el agente.
Cómo se ve un agente de IA personal desde la perspectiva del comerciante
Un agente personal compra tal como lo haría su propietario. Inicia sesión con las credenciales del cliente y navega por las páginas de productos hasta encontrar lo que se le ha pedido; después, completa la compra como cualquier cliente habitual.
Los comerciantes ven cosas distintas según dónde se ejecute el agente. Muse y el agente ChatGPT de OpenAI controlan navegadores desde los servidores de sus respectivos desarrolladores, y Meta proporciona a cada usuario de Muse una máquina aislada en la nube que ejecuta un navegador Chromium actualizado.⁴
Comet de Perplexity, un navegador con IA, se ejecuta, en cambio, en el propio ordenador del cliente. La sesión de un agente en la nube se origina en un centro de datos situado a kilómetros del cliente que la solicitó, mientras que la de un agente local procede del dispositivo y la red habituales del cliente, lo que hace que se parezca aún más al propio cliente porque, en cierto sentido, lo es.
En cualquier caso, el agente deja rastros. Los agentes en la nube suelen llegar desde los mismos centros de datos y generar sesiones prácticamente idénticas, mientras que ambos tipos de agentes recorren las páginas de forma programática, de maneras que ninguna persona lo haría. Señales como estas permiten a Sardine detectar sesiones automatizadas, incluidas las de agentes como Muse e Instinct, incluso cuando su tráfico parece el de un comprador cualquiera.
Agente en la nube Muse, agente de ChatGPT | Agente local Comet de Perplexity | |
Dónde se ejecuta | Un navegador en los servidores del fabricante. Muse proporciona a cada usuario una máquina aislada en la nube. | Un navegador con IA en el propio ordenador del cliente. |
De dónde proviene la sesión | Un centro de datos, a kilómetros del cliente que lo solicitó. | El dispositivo y la red habituales del cliente. |
Cómo se ve | Una sesión en la que nunca se muestra el dispositivo del propio cliente. | Aún más parecido al cliente, porque, en cierto sentido, lo es. |
Huellas que deja | Los mismos centros de datos, sesiones casi idénticas y movimientos por la página que ninguna persona haría. | Movimiento de página que ninguna persona haría. |
Por qué permitir o bloquear deja de funcionar con los agentes
Bloquear a todos los agentes es la solución más sencilla. Amazon frena a cualquier atacante que utilice Muse, pero también rechaza a todos los clientes que enviaron a Muse allí para comprar algo. Aunque una empresa tan grande y diversificada como Amazon puede permitirse asumir el impacto a corto plazo, otras empresas no pueden limitarse a dar un «no» rotundo.
Esas empresas tampoco pueden dejar pasar a todos los agentes sin más. Si un atacante utiliza una inyección de instrucciones, puede insertar indicaciones en una página que el agente consulta mientras compra para ordenarle que cambie la dirección de envío de la cuenta antes de finalizar la compra. El comercio envía el pedido al atacante y, cuando el cliente real impugna el cargo, tiene que asumir el contracargo.
Ninguno de los dos extremos le sirve a un comercio que quiere vender a través de agentes sin exponerse al fraude que puede acompañarlos. Ese comercio necesita evaluar cada sesión de un agente en función de quién está detrás y qué está haciendo, y Sardine divide esa evaluación en tres preguntas.
Cómo detecta Sardine los agentes personales de IA y decide hasta qué punto confiar en ellos
Detección del tráfico de agentes de IA y verificación de sus sesiones
En primer lugar, Sardine determina si la sesión está siendo controlada por un software y, cuando es posible, identifica de qué agente se trata. La detección de bots de Sardine busca patrones de comportamiento habituales en los agentes de IA, huellas técnicas distintivas, características de implementación y señales geográficas. Los agentes que se identifican facilitan la tarea. El agente ChatGPT de OpenAI firma sus solicitudes, por lo que Sardine puede identificarlo únicamente a partir de sus encabezados. Para los agentes que no firman sus solicitudes, Sardine se basa en esas otras señales.
Verificación del cliente que está detrás del agente de IA
El nombre de un agente no revela nada sobre quién lo envió, por lo que Sardine coteja el agente con la cuenta que está utilizando. El historial de la cuenta cobra aún más importancia con los agentes en la nube, ya que el cliente puede quedar completamente oculto tras el agente. Un cliente que toma el control del navegador de un agente en la nube para introducir el número de una tarjeta sigue operando desde la máquina del agente, por lo que la sesión nunca muestra su propio dispositivo.
Cuando Sardine lleva meses observando al mismo agente en la misma cuenta y el mismo dispositivo, es probable que sea el cliente quien le esté encargando tareas. Sardine marca para una revisión más exhaustiva a un agente que aparece por primera vez desde una infraestructura desconocida justo después de restablecerse la contraseña. Esa secuencia da la impresión de que alguien cambió las cerraduras y entró por su cuenta.
Comprobar qué intenta hacer el agente de IA
Incluso el agente de un cliente puede intentar hacer algo que el propio cliente nunca haría, por lo que Sardine evalúa qué está intentando hacer el agente. Es habitual que las personas encarguen a los agentes tareas como repetir semanalmente un pedido de comestibles. Sin embargo, pocas les pedirían que cambiaran una cuenta de cobro o hicieran una transferencia de 50.000 dólares, y Sardine considera este tipo de solicitudes señales de alerta.
Cada empresa establece sus propios límites. Una aplicación de compra de comestibles y una plataforma de intercambio de criptomonedas confiarán a los agentes tareas muy distintas, y cada una puede configurar sus propios límites en el motor de reglas de Sardine. Por ejemplo, un comercio puede cotejar el nombre del agente con el historial de la cuenta y permitir que un agente conocido complete una compra desde una cuenta habitual sin tratarlo como a cualquier otro bot.
Establece tus propias condiciones para el tráfico de agentes
Los agentes actuales navegan por la web de la forma más difícil. Los desarrolladores crearon sitios web para personas, por lo que Muse y sus homólogos recorren las páginas de productos y rellenan formularios de pago como lo haría cualquier comprador. Visa apuesta a que esto no durará. En octubre de 2025, lanzó junto con Cloudflare el Trusted Agent Protocol, que permite a los agentes autorizados firmar sus solicitudes para que los comercios puedan verificar quién llama a su puerta.⁵
Cuando más agentes firmen su tráfico, a los comercios les resultará más fácil saber qué agente los visita. La firma identifica quién creó el agente, pero no revela por cuenta de quién actúa, por lo que los comercios aún tendrán que decidir qué agentes aceptan y qué pueden hacer. Por ejemplo, un sitio web de viajes podría permitir que los agentes reserven y modifiquen vuelos, pero pedir al cliente que confirme cualquier cambio en una cuenta de fidelización.
Un comercio que pueda distinguir al agente habitual de un cliente de uno desconocido puede aprobar directamente las compras del agente conocido y reservar su cola de revisión para las sesiones que parezcan un intento de intrusión.
Los agentes personales seguirán iniciando sesión con las contraseñas de sus propietarios, y cada vez más empezarán a identificarse durante el proceso. Los comercios que puedan determinar qué propietario envió a cada uno conseguirán las ventas y dejarán las tomas de control de cuentas fuera.
Para profundizar en cómo los equipos de prevención del fraude pueden gestionar las transacciones realizadas por agentes como un canal independiente, consulta Replanteamiento de la prevención del fraude en el comercio agéntico. Si quieres hablar sobre cómo el motor de detección y reglas de Sardine gestiona específicamente las sesiones de agentes en tu plataforma, ponte en contacto con el equipo.
Preguntas frecuentes
¿Qué es un agente de IA personal en el contexto del comercio?
Un agente de IA personal es un software que compra, reserva o realiza transacciones en nombre de un usuario específico. Utiliza las credenciales de ese usuario y actúa siguiendo sus instrucciones. Algunos ejemplos son Muse de Meta y el agente de compras de ChatGPT de OpenAI. Desde la perspectiva del comerciante, el agente inicia sesión, navega por las páginas y completa la compra como lo haría normalmente el titular de la cuenta, pero la sesión está controlada por un software en lugar de por una persona frente a una pantalla.
¿Cuál es la diferencia entre un agente de IA en la nube y un agente de IA local?
Un agente de IA en la nube se ejecuta en los servidores de su creador, lo que significa que la dirección IP y la huella digital del dispositivo proceden de un centro de datos que no tiene nada que ver con el domicilio ni el teléfono del cliente. Un agente de IA local se ejecuta en el propio dispositivo del cliente y se conecta desde su red y hardware habituales, por lo que se parece mucho más al cliente. Los agentes en la nube suelen mostrar indicios de proceder de centros de datos y patrones de sesión casi idénticos, mientras que los agentes locales se confunden con el tráfico normal de los clientes. Esta diferencia cambia la forma de interpretar las señales de fraude.
¿Qué es el fraude por inyección de prompts en agentes de IA?
El fraude por inyección de instrucciones ocurre cuando un atacante inserta instrucciones ocultas en una página web que un agente de IA lee mientras navega. El agente sigue esas instrucciones en lugar de la solicitud original del cliente. En un contexto comercial, esto puede redirigir un pedido a otra dirección de envío antes de finalizar la compra, cambiar una cuenta de cobro o activar otras acciones que el cliente real nunca autorizó. El comercio envía el pedido al atacante y el cliente real impugna el cargo.
¿En qué se diferencia una sesión de un agente de IA de un ataque de bots convencional?
Un ataque de bots convencional consiste en un abuso automatizado sin un usuario legítimo detrás. El relleno de credenciales, la comprobación de tarjetas y el scraping son ejemplos habituales. Un agente de IA personal es una automatización respaldada por un usuario legítimo que opera en la cuenta real de ese usuario con sus credenciales reales. El bloqueo indiscriminado de bots afecta a ambos y hace que el comercio pierda ventas legítimas. Una verificación eficaz de las sesiones de agentes de IA distingue las sesiones que tienen un propietario real de aquellas que no están autorizadas o se están utilizando de forma abusiva.
¿Qué actividades de agentes de IA de alto riesgo deberían señalar los comercios?
Entre las señales de alto riesgo se incluyen que un agente se conecte desde una infraestructura desconocida en una primera sesión inmediatamente después de restablecer una contraseña; que intente cambiar una cuenta de cobro o iniciar una transferencia bancaria de gran importe; que acceda directamente a configuraciones sensibles de la cuenta sin seguir la ruta de navegación habitual; y que opere en una cuenta sin historial previo de actividad de agentes. Cada empresa establece sus propios límites. Una aplicación de supermercado y una plataforma de intercambio de criptomonedas definirán de forma muy distinta qué comportamiento de los agentes consideran aceptable.
