Autor:Vaidik Mandloi
Compilado por:Chopper,Foresight News
En la actualidad, los recibos falsos generados por IA ya representan el 71% de todos los casos de fraude en gastos marcados, mientras que hace un año esta cifra era del 0%. Además, la mayoría de este tipo de fraudes siguen siendo perpetrados por humanos.
Ahora, contamos con agentes de IA capaces de descubrir servicios y realizar pagos a través de x402, todo sin ninguna revisión humana. Surge entonces una pregunta difícil: ¿cómo verificar qué ha comprado realmente estos agentes inteligentes? OpenAI ha publicado recientemente una guía práctica que ofrece soluciones para implementar la verificación de recibos y la conciliación de terceros en los procesos de pago.
Esta es la solución más cercana y viable que hemos visto hasta ahora para la verificación de fraudes en pagos realizados por agentes inteligentes. Este artículo desglosa la lógica operativa completa de este mecanismo de verificación: ¿Pueden los registros de liquidación en cadena demostrar que un agente inteligente compró el producto correspondiente al precio correcto y de un proveedor legítimo? ¿O solo pueden demostrar que se transfirieron fondos?
Mecanismo de verificación de fraudes
Los agentes de IA ya están ejecutando de forma autónoma comportamientos de compra. Un agente inteligente encargado de las adquisiciones podría pagar por el acceso a una API con permisos para obtener datos, utilizar la capacidad de procesamiento de otro modelo de lenguaje grande para manejar datos que él mismo no puede procesar, o comprar información de mercado detrás de un muro de pago. A medida que este tipo de transacciones aumentan, surge un problema clave: cómo verificar qué ha comprado realmente el agente inteligente.
Todas las empresas que manejan reembolsos de gastos cuentan hoy con un proceso de verificación de recibos. Cuando un empleado completa una compra y presenta un recibo; el departamento de cuentas por pagar cruza el recibo, la orden de compra y el extracto bancario, y solo entonces procede al pago.
Este proceso ha estado en uso durante décadas y funciona esencialmente porque los tres registros de verificación provienen de partes independientes entre sí. El comprador emite la orden de compra, otra parte se encarga de la recepción y el proveedor emite la factura. Para falsificarlo, sería necesario que las tres partes coludieran para crear registros falsos, y el alto costo de tal colusión ha sido un gran freno al fraude.
Actualmente, los pagos mediante agentes inteligentes están construyendo un proceso de verificación similar. Cuando un agente inteligente quiere iniciar una compra a una API de pago, no puede simplemente completar la transacción. La solicitud se envía primero a la capa de aplicación, que la valida según reglas de gasto preconfiguradas, incluyendo listas de comerciantes aprobados, límites presupuestarios y categorías de consumo permitidas. Si la solicitud no cumple con las reglas de la política, la compra se bloquea de inmediato.
Una vez que se ejecuta el pago en cadena y el agente inteligente recibe el servicio correspondiente, la capa de aplicación realiza una segunda ronda de verificación, comparando tres piezas de información:
- Lo que el propio agente inteligente informa haber comprado.
- Un recibo generado de forma independiente por la aplicación durante el proceso de compra.
- El registro de liquidación generado por la cadena de bloques.
Los recibos falsificados se identificarían en este paso. Incluso si el agente inteligente afirma que la transacción no ocurrió, la capa de aplicación conserva un registro independiente que lo corrobora.
Para la detección de fraude por parte de agentes inteligentes, esto supone un gran avance, ya que antes no existían medios viables de verificación. Sin embargo, en comparación con el modelo tradicional de verificación de recibos, este enfoque tiene una debilidad: en el modelo tradicional, los tres documentos provienen de terceros no relacionados; mientras que en el sistema de pago de agentes inteligentes, dos de los documentos —la información reportada por el agente y el recibo generado por la aplicación— provienen del software del propio desarrollador del sistema. El único documento externo verdaderamente independiente es el registro en cadena.
Además, el propio registro en cadena contiene información muy limitada: una firma de pago solo registrará el pagador, el beneficiario y el monto transferido, pero no información sobre el objeto real de la compra. Los metadatos del recurso, la dirección de acceso, la descripción del contenido se transmiten junto con el mensaje de firma, pero no están cubiertos por la verificación criptográfica.
Esto significa que esta verificación solo puede confirmar que lo reportado por el agente inteligente coincide con el registro de transferencia, pero no puede verificar qué obtuvo realmente el agente después de gastar el dinero. Por ejemplo: un agente inteligente gasta 2 dólares en comprar un informe de riesgo de proveedores; la cadena puede confirmar que se completó la transferencia de USDT; pero el informe entregado al agente podría ser solo unos párrafos de texto sin sentido generados por IA en segundos. Todo el sistema aún aprobaría la verificación, porque la autorización está vinculada al acto de transferencia, no al objeto de la compra en sí.
Esto también puede generar problemas a nivel de todo el mercado. El comprador es un programa de software; al recibir una respuesta, simplemente continúa su ejecución y no evalúa activamente su calidad. El agente inteligente no consultará sistemas de reputación ni comparará precios. A menos que el desarrollador intervenga manualmente, independientemente de la calidad de la entrega, el agente inteligente seguirá haciendo pedidos al mismo comerciante. Los vendedores que ofrecen servicios de alta calidad pierden clientes dispuestos a pagar una prima por un producto superior; todo el mercado se inclinaría hacia "el proveedor de menor costo que pueda completar la solicitud".
Cualquier sistema de pago solo puede tolerar un cierto nivel de fraude. Eliminar completamente el fraude costaría más que las pérdidas que el fraude mismo causa. Por ejemplo, la tasa de fraude en la industria de las tarjetas de crédito ronda los 7 puntos básicos, nivel considerado aceptable por la industria; si se intentara reducir aún más el fraude de manera forzada, las pérdidas por transacciones legítimas bloqueadas por error superarían las ganancias recuperadas al evitar el fraude.
Los pagos mediante agentes inteligentes podrían llegar a una situación similar en el futuro: permitir ciertos niveles de deficiencia en la calidad del servicio, asumiendo el riesgo a través del volumen masivo de transacciones autónomas. Esta lógica puede ser comprensible en escenarios de bajo valor como llamadas a API, pero cuando este sistema se utiliza para gestionar contratos de adquisición por miles o decenas de miles, y el agente inteligente aún no puede juzgar si obtuvo un servicio que valga su precio, el riesgo resulta difícil de aceptar.
Vulnerabilidades que se están exponiendo
La velocidad de evolución de las herramientas para falsificar recibos ya supera a la de las herramientas de detección de fraude. Ramp lanzó recientemente un sistema de cuentas por pagar con IA que, en sus primeros 90 días, detectó numerosos casos de documentos falsificados por IA. Emburse admitió en una investigación que ya se está produciendo la fabricación masiva de justificantes de gastos utilizando IA.
En el contexto de los agentes inteligentes, el riesgo se amplifica aún más. Una vez liquidada la transacción, ya no hay una revisión humana del acto de compra. Un artículo académico que estudió 15 infraestructuras de pago principales ya en funcionamiento en el mercado encontró vulnerabilidades de seguridad en todas ellas. Estos sistemas manejan fondos para decenas de miles de comerciantes, y las vulnerabilidades divulgadas en el artículo son reproducibles.
La raíz de estas lógicas de ataque radica en el desacoplamiento entre el acto de pago y la entrega real del producto. En un caso de ataque a nivel de descubrimiento de servicios, los investigadores lograron redirigir a un agente inteligente a un endpoint de servicio malicioso simplemente alterando la lista de servidores devuelta por una consulta de servicios. Desde la perspectiva del agente, este servicio no se diferenciaba en nada de una lista normal, siendo completamente incapaz de detectar que había sido secuestrado.
Actualmente, un grupo de empresas emergentes está intentando resolver este tipo de problemas. shturl.cc/P completó una ronda de financiación de 9.5 millones de dólares y lanzó el protocolo KYA (Know Your Agent, Conoce a tu Agente). Este protocolo es el equivalente al KYC para programas de software: antes de que se produzca cualquier flujo de fondos, se establece una puntuación de confianza para los agentes autónomos. Los agentes inteligentes maliciosos, riesgosos o no verificados no pueden acceder directamente a la fase de pago.
Sin embargo, la verificación de identidad por sí sola no puede prevenir casos en los que el propio comerciante esté debidamente acreditado pero entregue contenido de baja calidad. Sardine.ai, centrada en el riesgo conductual, completó una ronda de financiación Serie C de 70 millones de dólares. Su producto se basa en perfiles de transacciones de más de 2 mil millones de dispositivos para identificar fraudes; ahora están desplegando agentes de IA dentro de su propia pila de gestión de riesgos para capturar comportamientos anómalos difíciles de detectar por sistemas de reglas estáticas.
En el campo de la infraestructura subyacente, Nekuda.ai obtuvo 5 millones de dólares en financiación. Este proyecto propone que la interacción comercial entre agentes inteligentes no puede utilizar la antigua arquitectura de las transacciones humanas; es necesario construir específicamente un SDK comercial para transacciones entre software, donde el modelo de confianza debe estar diseñado de forma nativa, no añadido como un parche posterior.
Casi toda la detección de fraude existente en el mercado actual pone el foco de la verificación en el propio agente inteligente: si ha falsificado recibos, si ha excedido el presupuesto, si ha informado erróneamente sobre proveedores. Pero el propio agente inteligente en realidad no tiene un incentivo económico para falsificar y obtener ganancias. Quien realmente tiene un incentivo para actuar maliciosamente es el comerciante. El comerciante se enfrenta a compradores que son programas de software que no evalúan la calidad del servicio, no comparan precios ni cambian activamente de contraparte.
