Los agentes de IA ya pueden pagar. Los investigadores siguen engañándolos

Imagina pedirle a un asistente de IA que te reserve un billete de tren, y que simplemente lo haga: encuentra la tarifa, paga y te envía la confirmación. Sin escribir los datos de la tarjeta, sin botón de «confirmar compra». Esa es la promesa de los «pagos agénticos», y algunos de los nombres más grandes de la tecnología y las finanzas están construyendo sus tuberías ahora mismo.

Pero las señales más interesantes en este campo no vienen de los lanzamientos de productos. Vienen de laboratorios de investigación, donde expertos en seguridad muestran cómo engañar a estos sistemas, y de bufetes de abogados que, al leer las nuevas reglas de pagos de Europa, se dieron cuenta de que los agentes de IA ni se mencionan.

Esta es la historia de una tecnología en la que los problemas aparecen antes que los clientes. A menudo ese es justo el momento en que vale la pena prestar atención.

Qué son realmente los «pagos por agentes»

Un agente de IA es un software que no solo responde preguntas, sino que actúa: busca, reserva, compra. Para pagar, necesita una forma de mover dinero que no dependa de que una persona rellene un formulario de pago.

Han surgido varios estándares que compiten para hacerlo. Los más conocidos son:

• x402, creado por Coinbase. Recupera un viejo código web en desuso, «402 Payment Required» (pago requerido), para que una web pueda pedir a un agente un pago diminuto, a menudo en stablecoins, antes de servirle datos o un servicio. En julio de 2026 pasó a una fundación neutral alojada por la Linux Foundation.
• AP2, el Agent Payments Protocol de Google, que usa «mandatos» firmados: una instrucción digital del usuario que dice qué puede comprar el agente y hasta qué importe.
• ACP, el Agentic Commerce Protocol, otra especificación abierta para pagos por agentes.

Los desarrolladores están claramente interesados. En GitHub, el proyecto x402 tiene unas 6.700 estrellas y 2.200 copias («forks») sobre las que otros construyen; AP2, unas 3.300 estrellas, y ACP, unas 1.500. Las redes de tarjetas también trabajan en tokens de pago especiales para agentes.

¿Cuánto dinero se mueve realmente? Muy poco

Aquí el entusiasmo choca con la realidad. La estimación más cuidadosa procede de un informe de Visa y la firma de datos Artemis, con datos de abril de 2026. Tras eliminar las transacciones falsas llamadas «wash» y las pruebas, encontraron que por x402 habían pasado unos 15 millones de dólares en unos 110 millones de pagos, unos 14 centavos cada uno. Las cifras brutas, sin filtrar, eran de unos 136 millones de dólares, así que el filtro eliminó cerca del 90% del importe.

Desde entonces, los medidores discrepan enormemente. Un contador bruto en la cadena de bloques muestra un tráfico constante entre máquinas, mientras que otros registran un desplome en valor: la liquidación había caído un 93% en el año hasta agosto, según datos de Helios Analytics citados por CCN, frente a picos cercanos a 800.000 dólares diarios a finales de 2025. Nadie ha producido todavía una cifra neutral y auditada de pagos reales por agentes.

Lo que queda es sobre todo software que paga a otro software por pequeñas porciones de datos o de computación, no personas comprando billetes de tren. Cuando hoy los agentes compran para consumidores, usan sobre todo tarjetas normales. Una startup de la promoción de verano de 2026 de Y Combinator, Agentcard, simplemente emite tarjetas Visa virtuales de prepago para agentes de IA.

Los investigadores encontraron primero los puntos débiles

Mientras el volumen real sigue siendo pequeño, la atención académica ha crecido rápido. Destacan tres estudios publicados en 2026.

«Five Attacks on x402» (Cinco ataques contra x402), publicado en mayo por investigadores de Ohio State, el CSIRO australiano y la Universidad de Mánchester, probó el protocolo con más de 25.000 solicitudes de pago. Demostraron que a un usuario se le podía cobrar sin recibir el servicio, que un solo pago se reutilizaba para desbloquear un servicio 248 veces en un punto de acceso real, que contenido de pago se filtraba a través de cachés web normales y que un servidor falso capturaba casi el 72% del tráfico de agentes durante la fase de descubrimiento. Hallaron 11 vulnerabilidades en tres kits de herramientas de código abierto.

Un análisis de seguridad de AP2 de Google, publicado en agosto, catalogó 48 amenazas distintas, ocho de ellas de gravedad alta. Su hallazgo central es el más importante: un mandato firmado válido no garantiza que el usuario quisiera realmente el pago si la información que vio el agente antes de firmar fue manipulada.

Un análisis formal de cuatro protocolos (x402, MPP, ACP y AP2), también de agosto, usó herramientas de verificación matemática para ejecutar 86 casos de prueba. Cuarenta produjeron hallazgos que no se habían documentado antes.

Estos ataques se probaron sobre todo en kits de referencia y redes de prueba. Grandes operadores en producción como Coinbase y Cloudflare quizá ya hayan corregido algunos. Pero muestran que la capa de seguridad de los pagos por agentes está lejos de estar terminada.

Las nuevas reglas europeas no mencionan a los agentes de IA

La Unión Europea lleva años reescribiendo sus normas de pagos, conocidas como PSD3 y Reglamento de Servicios de Pago (PSR). Los textos de compromiso definitivos se enviaron para su aprobación en abril de 2026, y se espera su publicación en la segunda mitad del año. Las normas se aplicarían 21 meses después de su entrada en vigor.

Según un resumen del área jurídica de PwC, el texto no contiene disposiciones sobre agentes de IA, pagos iniciados por agentes ni mandatos de pago. Un análisis de septiembre del bufete Annerton enumera las preguntas abiertas: si un mandato previo cuenta como autorización de un pago, si un agente podría ser en sí mismo un servicio de pago regulado y cómo debería funcionar la autenticación reforzada del cliente, el paso de «confirma en tu app del banco», cuando una máquina actúa por ti.

Las reglas generales siguen aplicándose, y apuntan en una dirección. El proveedor de pagos sigue siendo responsable cuando falla la autenticación o cuando no detecta transacciones sospechosas, y la responsabilidad propia del consumidor está limitada a 50 euros. Nuestra lectura de estos análisis, que es una interpretación y no derecho consolidado, es que los bancos y las empresas de pagos de la UE son quienes más probablemente acabarán asumiendo las pérdidas cuando un agente manipulado pague algo. Eso los convertiría en los primeros clientes naturales de herramientas que comprueben qué se le pidió realmente al agente.

El Banco Central Europeo también está atento. En septiembre abrió una convocatoria para que las empresas se unan a su plataforma de innovación del euro digital, con una línea de trabajo de «IA en los pagos» que cubrirá agentes de IA y micropagos en 2027.

El dinero empieza a llegar, despacio

Si las empresas de pagos van a necesitar herramientas para vigilar agentes, alguien tiene que construirlas. En Europa, esa «capa de confianza» está todavía en su fase más temprana:

• Ralio, en Londres, cerró en abril una ronda presemilla de 2,5 millones de dólares. Comprueba cada pago de un agente según reglas, envía los casos dudosos a una persona y registra el rastro de decisiones.
• SolvaPay, en Estocolmo, captó 2,4 millones de euros, también en abril, para que los servicios de software puedan cobrar directamente a agentes de IA.
• Cygrid, en Berlín, captó 2,66 millones de euros en octubre para controlar qué pueden hacer las identidades de agentes de IA, aunque no se centra en pagos.

En comparación, la estadounidense Baselayer levantó una serie A de 35 millones de dólares en septiembre para una credencial «Know Your Agent» (conoce a tu agente), unas diez veces las rondas europeas.

También hay señales de posicionamiento de los actores tradicionales. Un análisis de patentes patrocinado de GlobalData halló que la cuota de Mastercard en las publicaciones de patentes sobre agentes de IA pasó del 0,7% al 5% en el último año, incluida una solicitud sobre delegación verificable de pagos. La de Visa apenas se movió.

Por qué importa aunque nunca toques una criptomoneda

Es fácil archivar todo esto como tecnología de nicho. Pero la pregunta de fondo, ¿quién paga cuando un software se equivoca con tu dinero?, llegará a los clientes bancarios normales mucho antes de que la mayoría use un agente de IA para comprar.

Las nuevas reglas de la UE ya contienen algunas protecciones que marcan el camino. El texto da a los consumidores derecho a reembolso cuando unos estafadores se hacen pasar por su proveedor de pagos, y establece que completar el paso de autenticación no basta por sí solo para probar que un pago fue autorizado. Junto con el límite de 50 euros a la responsabilidad del pagador, eso sugiere que los reguladores tienden a proteger a la persona, no al trámite. Si ese enfoque se extiende a los agentes de IA, el coste de un agente manipulado recaería sobre todo en bancos y empresas de pagos, lo que les da un fuerte motivo para exigir mejores salvaguardas antes de dejar que los agentes gasten libremente.

Para quienes construyen estos sistemas, la investigación señala un hueco claro: algo que se sitúe antes del momento de la firma, compruebe qué se le pidió realmente al agente y qué leyó por el camino, y guarde un registro a prueba de manipulaciones. Si eso será un producto independiente o una función dentro de los sistemas bancarios existentes es una de las preguntas abiertas de los próximos dos años.

Qué podría salir mal

• El volumen podría no despegar nunca. Si los agentes siguen usando tarjetas normales, los nuevos protocolos podrían quedarse en un nicho.
• Las reglas generales podrían bastar. Los reguladores de la UE podrían tratar a los agentes con las normas existentes de autenticación y responsabilidad, o con guías técnicas, antes de que alguna startup tome ventaja.
• Los ataques quizá ya estén corregidos en los grandes sistemas en producción que gestionan la mayor parte del tráfico real.
• Las redes de tarjetas podrían integrar la solución. Visa y Mastercard podrían incluir la evaluación de riesgos en sus propios programas para agentes, reduciendo el espacio para startups independientes.

Qué vigilar a continuación

• Un recuento neutral y auditado de pagos reales por agentes. Los medidores actuales difieren en órdenes de magnitud.
• El Monetization Gateway de Cloudflare, lanzado en julio de 2026 y liquidado mediante x402, es el único producto de gran distribución que podría reactivar los volúmenes.
• La publicación oficial de PSD3 y PSR en el Diario Oficial de la UE, y cualquier guía de la Autoridad Bancaria Europea sobre cómo se aplican los mandatos y la autenticación a los agentes.
• Rondas de financiación más grandes para startups europeas de verificación de agentes, señal de que los inversores creen que los bancos pagarán por ello.
• Las solicitudes de patentes de Mastercard sobre pagos delegados, que podrían condicionar lo que otros pueden construir.

La tecnología para que las máquinas se paguen entre sí ya existe. Si le confiarías tu tarjeta a una es otra cuestión, y ahora mismo los investigadores la están respondiendo más rápido que el mercado.