Escrito por: Lacie Zhang, investigadora de Bitget Wallet
En 1984, Apple (Macintosh) mató la línea de comandos con un ratón. En 2026, el Agente está matando al ratón.
Esto no es una metáfora. Google, Amazon, Nvidia, Visa, Microsoft, Alibaba, empresas que han gastado miles de millones de dólares perfeccionando interfaces gráficas, están activamente evitando la GUI, pasando a CLI, API e interfaces nativas de Agente. La lógica es simple: el crecimiento de 0 a 1 depende de las personas, pero el próximo grupo de usuarios diez veces mayor ya no mira la pantalla.
Pero lo que todos evitan es: cuando el usuario del software se convierte en un Agente, ¿sigue siendo necesaria la presencia humana?
Ya en 1950, el fundador de la cibernética, Norbert Wiener, advirtió: una vez que los humanos pierden la capacidad de observar e intervenir, el circuito de retroalimentación se rompe y el sistema se descontrola. El "Harness Engineering" que OpenAI enfatiza hoy es, en esencia, una continuación de esta idea.
Setenta años después, Agentic Wallet enfrenta la versión cifrada de este problema. Ventanas emergentes de confirmación, solicitudes de firma, flujos de aprobación, copias de seguridad de frases semilla, verificación múltiple... Los mecanismos de seguridad que las carteras cifradas han construido durante una década responden a una pregunta: "¿Realmente autorizaste tú esta operación?" El Agente hace que este mecanismo de interacción humana comience a fallar: si se sigue requiriendo confirmación manual operación por operación, el Agente no puede lograr una ejecución continua, en tiempo real y automatizada; entregar directamente el control ilimitado de la clave privada al Agente hace que los humanos asuman un riesgo inaceptable.
La respuesta no está en los extremos. La autonomía total es la narrativa más atractiva de la era del Agente, pero la advertencia de Wiener sigue vigente. Creemos que Agentic Wallet debe servir simultáneamente a dos tipos de entidades: por un lado, proporcionar a los humanos capacidades de establecimiento de reglas, control de riesgos e intervención de gobernanza; por otro lado, proporcionar al Agente permisos de ejecución restringidos, permitiéndole completar operaciones en cadena de forma autónoma dentro de límites claros. En otras palabras, la cartera necesita evolucionar de ser un contenedor de activos y una herramienta de firma para uso humano, a convertirse en un sistema de permisos y ejecución que permita a las personas establecer límites y a los Agentes actuar dentro de ellos.
¿Cómo debería ser este sistema? Esto es precisamente lo que este artículo busca responder.
I. Más allá de Fat Wallet, otra guerra de carteras
Delphi Digital, en su artículo Fat Wallet Thesis, planteó un juicio contundente: a medida que las capas de protocolo y aplicación se vuelven cada vez más homogéneas, el valor se depositará en la capa de cartera, porque la cartera está más cerca del usuario, controla los canales de distribución y el flujo de pedidos, y los usuarios, debido a la interfaz familiar, los activos acumulados y la fricción de migración, permanecerán en una cartera específica a largo plazo.
Pero el Agente no sigue la misma lógica. Como ejecutor maquinal "implacable", el Agente no se quedará en una cartera específica por la familiaridad de la interfaz, la preferencia de marca o los hábitos de uso, como lo haría un humano, sino que buscará continuamente la combinación de infraestructura con el costo más bajo, la menor demora y la ejecución más estable. A medida que estándares como ERC-8004 se popularicen gradualmente, se espera que la capa de identidad y reputación del Agente pueda migrar entre diferentes sistemas, lo que significa que el efecto de bloqueo de la cartera sobre el Agente es inherentemente más débil que sobre las personas.
Sin embargo, esto no significa que el valor de la cartera desaparezca, sino que la ubicación donde se deposita el valor cambiará. En escenarios de uso personal simples, el Agente debilitará la ventaja competitiva original de la cartera basada en la interfaz, los hábitos y el acceso; mientras que en escenarios de implementación organizacional relativamente complejos, una vez que una empresa configura flujos de estrategia, procesos de aprobación, parámetros de control de riesgos y sistemas de auditoría alrededor de toda una "flota de Agentes", el costo de migración ya no proviene de la experiencia del front-end, sino de la reconstrucción de toda la configuración de permisos, gobernanza y operaciones.
Por lo tanto, Agentic Wallet responde a una proposición diferente a la de Fat Wallet: Fat Wallet compite por la entrada del usuario, Agentic Wallet compite por el control cuando el software comienza a manejar fondos directamente.
Si se repasa la evolución de las carteras, se verá que cada cambio en la forma del producto corresponde esencialmente a un cambio en el objeto de confianza del usuario:
- Cartera de frases semilla: exige que el usuario confíe en sí mismo.
- Cartera de contrato inteligente: exige que el usuario confíe en el código.
- Cartera embebida: exige que el usuario confíe en el proveedor del servicio.
- Y con Agentic Wallet, lo que el usuario necesita confiar es un sistema de control compuesto conjuntamente por permisos, estrategias y mecanismos de gobernanza.
El objetivo de este sistema no es que el software tome el control de los fondos, sino que el software actúe bajo autorización limitada, mientras los humanos conservan siempre el control final. Precisamente por eso, el núcleo de Agentic Wallet no es solo "hacer que el Agente pueda usar la cartera", sino "permitir que el Agente gestione los fondos pertenecientes a usuarios humanos bajo condiciones restringibles, auditables e intervenibles".
II. El límite de la cartera, el punto de partida del Agente
Las carteras existentes siguen funcionando bien en los escenarios para los que fueron diseñadas originalmente, pero el problema es que cada vez más casos de uso impulsados por Agentes están superando los límites de diseño de las carteras actuales.
Escenario 1: El Agente de trading necesita actuar rápidamente, pero "tener la capacidad de ejecutar" no equivale a "estar autorizado a ejecutar"
Un Agente de cartera de inversiones monitorea la liquidez cross-chain las 24 horas. Cuando surge una oportunidad, necesita completar la transacción en cuestión de segundos. La lógica de control de la cartera tradicional es: el usuario abre la aplicación - verifica la transacción - hace clic en confirmar. Cuando se completa este proceso, la ventana de oportunidad a menudo ya se ha cerrado.
Técnicamente, el Agente ya tiene la capacidad de llamar a la función swap, generar calldata, puentear fondos; el problema es que la capacidad no equivale a permiso. Que un Agente pueda iniciar una transacción no significa que deba tener permitido disponer libremente de los fondos.
La función de Agentic Wallet es precisamente separar ambas cosas: el Agente puede actuar instantáneamente, pero solo dentro de reglas preestablecidas, por ejemplo, limitado a activos aprobados, sujeto a un presupuesto diario, restringido por límites de deslizamiento, y pausando automáticamente cuando las condiciones del mercado son anómalas. La Skill define lo que el Agente "puede hacer", mientras que la cartera se encarga de restringir lo que el Agente "tiene permitido hacer".
Escenario 2: El Agente de pagos necesita gastar, pero no debería tener el control total de los fondos
Un Agente de pagos se encarga de liquidar automáticamente facturas de API, suscripciones SaaS y pagos a proveedores. En el sistema de carteras actual, normalmente solo tiene dos opciones: o esperar la aprobación humana para cada pago, o poseer directamente una clave privada con derecho de firma ilimitado. El primero no escala, el segundo conlleva un riesgo demasiado alto.
Agentic Wallet ofrece una autorización restringida: solo puede pagar a comerciantes en lista blanca, solo puede usar activos especificados, solo puede ejecutar pagos dentro del presupuesto diario, y todos los gastos se registran completamente.
Escenario 3: Múltiples Agentes necesitan permisos aislados entre sí bajo un presupuesto compartido
Una entidad puede ejecutar múltiples Agentes simultáneamente: uno responsable del trading, otro de los pagos, otro de la revisión. Las carteras actuales ciertamente pueden crear múltiples subcuentas, pero realizar una gestión unificada de permisos para estas cuentas, establecer límites presupuestarios globales, aplicar restricciones de estrategia entre Agentes y formar una cadena de auditoría unificada, no es una capacidad nativa de las carteras existentes.
Bajo el modelo de Agentic Wallet, esto se trataría como un problema de diseño prioritario: cada Agente tiene permisos independientes y de alcance claramente definido; al mismo tiempo, una capa de estrategia unificada se encarga de controlar la exposición general al riesgo, los límites de frecuencia entre Agentes y el presupuesto compartido, y genera registros de auditoría consistentes.
Estos escenarios apuntan a la misma conclusión: la gestión de claves privadas sigue siendo la base de la seguridad de la cartera; permitir que el Agente acceda directamente a la clave privada es una fuente de riesgo inaceptable en cualquier escenario. Pero solo gestionar bien las claves privadas ya no es suficiente. Cuando el operador pasa de ser humano a Agente, la cartera también debe responder a una segunda pregunta: quién tiene permitido actuar, bajo qué condiciones, con qué monto, sobre qué activos y hacia qué objetos. La gestión de claves privadas es la primera línea de defensa; la gestión de los límites de permisos para operadores no humanos es el segundo cortafuegos añadido en la era del Agente.
III. Autonomía delimitada: La filosofía de diseño de Agentic Wallet
Actualmente, la industria aún se encuentra en una etapa temprana de exploración de Agentic Wallet, y aún no existe una solución realmente madura. Sin embargo, como se mencionó en la introducción, este artículo considera que Agentic Wallet es un sistema de control de fondos que conecta la gobernanza humana con la ejecución del Agente: los humanos se encargan de establecer los límites, el Agente se encarga de actuar dentro de ellos, y la cartera se asegura de que esta relación de restricción sea siempre ejecutable, auditable e intervenible.
Al mismo tiempo, dependiendo del grado de autorización otorgado al Agente, Agentic Wallet probablemente sirva a los siguientes 4 casos:
- Control humano: El Agente proporciona recomendaciones y asistencia, cada operación aún requiere confirmación humana. Mejora la eficiencia de la interacción, la lógica de control de fondos no cambia.
- Híbrido: El Agente maneja operaciones rutinarias, como recuperación, cotización, recordatorios o ejecución de bajo riesgo; la intervención humana disminuye en frecuencia, pero los casos límite aún requieren aprobación humana, como transferencias de fondos, llamadas a contratos o ramas anómalas.
- Autonomía delimitada: El Agente actúa de forma autónoma dentro de reglas, límites y rutas de veto claros. Los humanos pasan de ser aprobadores por operación a ser definidores de reglas. El Agentic Wallet discutido en este artículo se dirige principalmente a esta categoría.
- Autonomía total: El Agente tiene una soberanía económica casi completa, puede programar fondos de forma independiente y asumir los resultados sin límites preestablecidos. Este modelo es teóricamente viable, pero aún está lejos de madurar en términos de seguridad, gobernanza, atribución de responsabilidad y cumplimiento, permaneciendo básicamente en fase experimental.
Como referencia, Stripe en su annual letter de 2025 dividió el comercio con agentes (agentic commerce) en cinco niveles: L1 para eliminar formularios web (Eliminating web forms), L2 para búsqueda descriptiva (Descriptive search), L3 para memoria persistente (Persistence), L4 para delegación de autorización (Delegation), L5 para compra anticipativa (Anticipation); y juzgó claramente que la industria en su conjunto aún "ronda los bordes de L1 y L2".
Desde esta perspectiva, la mayor demanda actual probablemente provenga de escenarios de control humano e híbridos, mientras que la autonomía delimitada es la verdadera frontera actual y la primera forma a nivel de producción donde el Agente realmente comienza a gestionar fondos.
Lograr este concepto requiere una arquitectura de cuatro capas:
- Capa de cuenta: Establecer un contenedor económico independiente y aislado para cada Agente, por ejemplo, mediante EOA, cuentas de contrato inteligente, carteras de servidor o entornos TEE. El sistema necesita aplicar reglas diferenciadas a diferentes Agentes.
- Capa de permisos: Definir los límites de comportamiento del Agente, como el monto disponible, los activos operables, los contratos con los que puede interactuar, la ventana de tiempo ejecutable, la lógica de acción al alcanzar un límite. Esta es la capa central de toda la arquitectura.
- Capa de ejecución: Orientada a interfaces de Agente, no a clics humanos. Envíos, pagos, Swaps, puentes, rebalanceo, liquidación, liquidación, deben abstraerse como primitivas que pueden ser llamadas directamente por programas.
- Capa de gobernanza: Debe proporcionar registros, simulación, trazas de auditoría, alertas, interruptores de pausa, derecho de veto humano, mecanismos de recuperación, etc. Esta capa determina si Agentic Wallet puede realmente entrar en entornos de producción.
Por encima de la arquitectura de cuatro capas, se necesitan cuatro capacidades centrales para apoyar el funcionamiento del sistema:
- Skills: Proporcionan módulos estandarizados de operación en cadena. El Agente puede completar acciones como trading, pagos, puentes, etc., como si llamara a funciones, sin tener que ensamblar calldata subyacente. La Skill resuelve el problema de la abstracción de la capacidad de "qué se puede hacer".
- Policies + KYA / KYT: El motor de Policies es responsable de verificar las reglas para cada operación, transformando los límites establecidos por humanos en condiciones de restricción ejecutables por máquinas; el mecanismo KYA / KYT se utiliza para identificar la procedencia, identidad, contexto de riesgo e historial de ejecución del Agente. El primero restringe el comportamiento, el segundo identifica al operador; juntos aseguran que todas las acciones de fondos permanezcan dentro de los límites preestablecidos.
- Session Key: Proporciona un mecanismo de delegación seguro limitado en tiempo, monto y alcance. El Agente obtiene una autorización temporal y limitada, no una clave privada completa. La autorización expira automáticamente, no requiere revocación manual, "permite que el Agente obtenga calificación de ejecución sin tocar la clave completa".
- Auditoría y notificación: Proporciona registros de operación completamente trazables y un sistema de alertas en tiempo real. Cada operación es rastreable, cada anomalía es alertable, cada Agente puede pausarse en cualquier momento.
Actualmente, normalmente controlamos la lógica de comportamiento del Agente mediante instrucciones, pero la orquestación de tareas no equivale a la restricción de fondos. El Agente aún puede juzgar mal, desviarse o sufrir ataques y contaminación por entradas maliciosas. El significado de la capa de cartera reside precisamente en solidificar previamente como reglas del sistema preguntas relacionadas con los permisos de fondos como "¿se pueden mover fondos?, ¿cuántos fondos se pueden mover?, ¿qué activos se pueden operar?, ¿con qué objetos se puede interactuar?, y ¿cómo detenerse en caso de anomalías?". Incluso si el Agente se desvía, las acciones reales de fondos que puedan ocurrir seguirán limitadas a los límites preestablecidos.
IV. Estado actual de Agentic Wallet: cuatro caminos y cuatro brechas
En torno a las soluciones existentes de Agentic Wallet, hemos observado 4 casos típicos que básicamente ya han resuelto "cómo hacer que el Agente entre en el sistema de fondos", pero aún no responden "cómo hacer que el Agente use fondos de forma segura en entornos cross-chain y complejos del mundo real".
Coinbase, Safe, Privy y Polygon ya han dado respuestas viables respectivamente en los niveles de infraestructura, gobernanza, permisos e identidad; lo que queda por hacer es integrar aún más estas capacidades parciales en un sistema de control unificado que pueda operar cross-chain, migrar entre entornos y mantenerse firme en escenarios complejos y adversariales. Los cuellos de botella comunes de Agentic Wallet en esta etapa se concentran principalmente en las siguientes cuatro brechas:
Primero, la identidad y reputación aún no son portables.
El sistema de identidad y reputación del Agente en cadena se puede establecer, pero aún no existe un sistema de crédito universal cross-chain, cross-cartera y cross-entorno de ejecución. La historia y reputación acumuladas por un Agente en un ecosistema no pueden migrar naturalmente a otro.
Segundo, la capa de estrategia carece de un estándar unificado.
Coinbase usa spending limits, Safe usa módulos on-chain, Privy usa policy engine, Polygon usa session-scoped wallet. La industria ya es generalmente consciente de que la capa de permisos es central, pero aún no se ha formado un estándar de estrategia unificado que sea portable, componible y reusable entre productos.
Tercero, la seguridad adversarial sigue altamente vacía.
Inyección de prompt, envenenamiento de herramientas, Skills maliciosos, entradas externas contaminadas, estos problemas no se resuelven automáticamente con auditorías de contratos tradicionales. El problema realmente nuevo en la era del Agente es: cuando el proceso de decisión del modelo se distorsiona por entradas maliciosas, ¿cómo identifica, interviene y bloquea el riesgo la cartera?
Cuarto, la cobertura full-chain está lejos de lograrse.
La mayoría de las soluciones existentes dependen de una cadena única o de un rango multi-cadena limitado, pero la actividad económica del Agente no se quedará permanentemente en un solo ecosistema. Una Agentic Wallet realmente madura debe enfrentar problemas de multi-cadena, multi-entorno de ejecución y consistencia de permisos cross-domain.
V. Bajo la superficie: la próxima década de Agentic Wallet
Actualmente, el enfoque de diseño de Agentic Wallet es capacitar a los humanos para ejercer un control detallado sobre el Agente. En la mayoría de las implementaciones, el papel de la cartera se asemeja más a un firmante pasivo: el Agente llama a una Skill, la Skill genera una transacción, la cartera firma en el backend, y la ejecución on-chain ocurre.
Pero si el Agente realmente comienza a gestionar fondos, simplemente firmar en el último paso claramente no es suficiente. Un enfoque más razonable es que el juicio de permisos ocurra antes de la ejecución: después de que el Agente llama a la Skill, la solicitud ingresa primero al Policy Plane interno de la cartera, y solo si pasa la verificación de políticas, la ejecución se permite.
El llamado Wallet Policy Plane toma prestada la idea de Control Plane y Data Plane de la arquitectura de sistemas. Se sitúa entre el comportamiento del Agente y la ejecución on-chain, integrando el motor de Policies, la verificación KYT/KYA, la validación de Session Key, la puntuación de riesgo y el manejo de anomalías en un plano de decisión unificado.
Esta idea no es nueva, la arquitectura de pagos de Stripe tiene una lógica similar: los desarrolladores llaman a una API limpia, pero antes de que los fondos se muevan realmente, Stripe ya ha completado en el backend la identificación de riesgos, verificación de reglas y procesamiento de cumplimiento. Lo que Agentic Wallet debe hacer es esencialmente lo mismo: dar a los desarrolladores una interfaz de ejecución limpia en la capa superior, y usar un motor de políticas de pre-ejecución en la capa inferior para completar la arbitraje de permisos.
La urgencia radica en que la superficie de ataque provocada por la inyección de prompt, el envenenamiento de herramientas, las Skills maliciosas se está expandiendo rápidamente, y la infraestructura de seguridad del lado de la cartera no se ha puesto al día. El Wallet Policy Plane estandarizado aún no se ha convertido hoy en una primitiva base universal de la industria.
Sin embargo, el Policy Plane en sí mismo tampoco será el estado final. A medida que el sistema de identidad y reputación del Agente madure gradualmente, la lógica de autorización pasará de estar impulsada por reglas estáticas a estar impulsada por la confianza dinámica. Hoy se basa en límites preestablecidos, restricciones de monto, listas blancas y rutas de veto humano; en el futuro, los registros de transacciones on-chain, las trayectorias de comportamiento y los datos crediticios cross-ecosistema formarán gradualmente una base crediticia verificable para el Agente, y más decisiones de autorización se tomarán en función de la identidad, el historial y el desempeño real.
Cuando los Agentes comiencen a interactuar económicamente entre sí a velocidad de máquina, los mecanismos de control deben integrarse desde el momento en que se establece el sistema. El papel de la cartera también cambiará: en las etapas iniciales, es un guardián, responsable de evitar comportamientos transgresores; en la etapa madura, se asemeja más a una infraestructura, responsable de permitir que los sujetos confiables se conecten con cuentas, permisos y sistemas de liquidación con menor fricción de manera continua.
En la última década, el campo de batalla de la cartera fue esa entrada en la pantalla. En la próxima década, el campo de batalla está en esa capa de control que el usuario no ve.
