En 1984, Apple (Macintosh) mató la línea de comandos con un ratón. En 2026, los Agent están matando el ratón.
Esto no es una metáfora. Google, Amazon, Nvidia, Visa, Microsoft, Alibaba, empresas que han gastado miles de millones de dólares perfeccionando interfaces gráficas, están activamente evitando la GUI, pasando a CLI, API e interfaces nativas de Agent. La lógica es simple: el crecimiento de 0 a 1 depende de las personas, pero el próximo grupo de usuarios diez veces mayor, ya no mira la pantalla.
Pero lo que todos evitan es: cuando el usuario del software pasa de ser humano a Agent, ¿sigue siendo necesaria la presencia humana?
Ya en 1950, el fundador de la cibernética, Norbert Wiener, advirtió: una vez que los humanos pierden la capacidad de observar e intervenir, el bucle de retroalimentación se rompe y el sistema se descontrola. El «Harness Engineering» que OpenAI enfatiza hoy es, en esencia, una continuación de esta idea.
Setenta años después, Agentic Wallet enfrenta la versión cifrada de este problema. Ventanas emergentes de confirmación, solicitudes de firma, flujos de aprobación, copias de seguridad de frases semilla, autenticación multifactor... Los mecanismos de seguridad que las carteras cifradas han construido durante una década, responden a una pregunta: «¿Realmente autorizaste tú esta operación?» Los Agent están empezando a invalidar este mecanismo de interacción humana: seguir exigiendo confirmaciones manuales operación por operación impide que el Agent ejecute de forma continua, en tiempo real y automatizada; entregar directamente el control ilimitado de la clave privada al Agent, supone un riesgo inaceptable para los humanos.
La respuesta no está en los extremos. La autonomía total es la narrativa más atractiva de la era del Agent, pero la advertencia de Wiener sigue vigente.
Creemos que Agentic Wallet debe servir simultáneamente a dos tipos de entidades: por un lado, proporcionar a los humanos capacidades de establecimiento de reglas, control de riesgos e intervención de gobernanza; por otro lado, proporcionar a los Agent permisos de ejecución restringidos, permitiéndoles completar operaciones on-chain de forma autónoma dentro de límites claros. En otras palabras, la cartera necesita evolucionar de ser un contenedor de activos y una herramienta de firma para uso humano, a convertirse en un sistema de permisos y ejecución que permita a las personas establecer límites y a los Agent actuar dentro de ellos.
¿Cómo debería ser este sistema? Esto es precisamente lo que este artículo pretende responder.
I. Más allá de Fat Wallet, otra guerra de carteras
Delphi Digital, en su artículo Fat Wallet Thesis, propuso un juicio contundente: a medida que las capas de protocolo y aplicación se homogeneizan cada vez más, el valor se depositará en la capa de cartera, porque la cartera está más cerca del usuario, controla los canales de distribución y el flujo de órdenes, y los usuarios, debido a la interfaz familiar, los activos depositados y la fricción de migración, permanecerán a largo plazo en una cartera determinada.
Pero el Agent no sigue la misma lógica. Como ejecutor maquinal «despiadado», el Agent no se quedará en una cartera específica por la familiaridad de la interfaz, la marca o el hábito de uso, como lo haría un humano, sino que buscará continuamente la combinación de infraestructura con el coste más bajo, la menor latencia y la ejecución más estable. A medida que estándares como ERC-8004 se popularicen gradualmente, se espera que la capa de identidad y reputación del Agent pueda migrar entre diferentes sistemas, lo que significa que el efecto de bloqueo de la cartera sobre el Agent es naturalmente más débil que sobre la persona.
Sin embargo, esto no significa que el valor de la cartera desaparezca, sino que la ubicación donde se deposita el valor cambiará. En escenarios de uso personal simples, el Agent debilitará la ventaja competitiva original de la cartera basada en la interfaz, el hábito y la entrada; mientras que en escenarios de despliegue organizacional relativamente complejos, una vez que una empresa configura flujos de aprobación, parámetros de control de riesgos y sistemas de auditoría alrededor de toda una «flota de Agent», el coste de migración ya no proviene de la experiencia del front-end, sino de la reconstrucción de toda la configuración de permisos, gobernanza y operaciones.
Por lo tanto, Agentic Wallet responde a una proposición diferente a la de Fat Wallet: Fat Wallet compite por la entrada del usuario, Agentic Wallet compite por el control cuando el software empieza a manejar fondos directamente.
Si repasamos la evolución de las carteras, descubriremos que cada cambio en la forma del producto corresponde esencialmente a un cambio en el objeto de confianza del usuario:
· Cartera de frases semilla, exige que el usuario confíe en sí mismo.
· Cartera de contrato inteligente, exige que el usuario confíe en el código.
· Cartera embebida, exige que el usuario confíe en el proveedor del servicio.
Y en el caso de Agentic Wallet, lo que el usuario necesita confiar es un sistema de control constituido conjuntamente por permisos, políticas y mecanismos de gobernanza.
El objetivo de este sistema no es que el software tome el control de los fondos, sino que el software actúe bajo autorización limitada, manteniendo siempre el humano el control final. Precisamente por eso, el núcleo de Agentic Wallet no es solo «hacer que el Agent pueda usar la cartera», sino «permitir que el Agent gestione fondos pertenecientes a usuarios humanos bajo condiciones restringibles, auditables e intervenibles».
II. El límite de la cartera, el punto de partida del Agent
Las carteras existentes siguen funcionando bien en los escenarios para los que fueron diseñadas originalmente, pero el problema es que cada vez más casos de uso impulsados por Agent están superando los límites de diseño de las carteras actuales.
Escenario 1: El Agent de trading necesita actuar rápido, pero «tener la capacidad de ejecutar» no equivale a «estar permitido ejecutar»
Un Agent de cartera de inversión monitoriza la liquidez cross-chain las 24 horas. Cuando surge una oportunidad, necesita completar la transacción en cuestión de segundos. La lógica de control de la cartera tradicional es: el usuario abre la aplicación - revisa la transacción - hace clic en confirmar. Cuando se completa este flujo, la ventana de oportunidad suele haberse cerrado.
Técnicamente, el Agent ya tiene la capacidad de llamar a funciones swap, generar calldata, puentear fondos; el problema es que la capacidad no equivale al permiso. Que un Agent pueda iniciar una transacción no significa que deba tener permitido disponer libremente de los fondos.
La función de Agentic Wallet es precisamente separar ambas cosas: el Agent puede actuar instantáneamente, pero solo dentro de reglas preestablecidas, por ejemplo, limitado a activos aprobados, sujeto a un presupuesto diario, restringido por límites de slippage, y pausando automáticamente en condiciones anómalas del mercado. La Skill define lo que el Agent «puede hacer», mientras que la cartera se encarga de restringir lo que el Agent «tiene permitido hacer».
Escenario 2: El Agent de pago necesita gastar, pero no debería tener el control total de los fondos
Un Agent de pago se encarga de liquidar automáticamente facturas de API, suscripciones SaaS y pagos a proveedores. En el sistema de carteras actual, normalmente solo tiene dos opciones: o esperar la aprobación manual de cada pago, o poseer directamente una clave privada con derecho de firma ilimitado. Lo primero no escala, lo último es de alto riesgo.
Agentic Wallet proporciona una autorización restringida: puede pagar solo a comercios en lista blanca, solo puede usar activos especificados, solo puede ejecutar pagos dentro del presupuesto diario, y todos los gastos quedan registrados completamente.
Escenario 3: Múltiples Agent necesitan permisos aislados entre sí bajo un presupuesto compartido
Una entidad puede ejecutar múltiples Agent simultáneamente: uno responsable de trading, otro de pagos, otro de revisión. Las carteras actuales pueden crear múltiples subcuentas, pero orquestar permisos unificados para estas cuentas, establecer límites presupuestarios globales, ejecutar restricciones de políticas entre Agent y formar una trazabilidad de auditoría unificada, no es una capacidad nativa de las carteras existentes.
Bajo el modelo de Agentic Wallet, esto se trataría como un problema de diseño prioritario: cada Agent tiene permisos independientes y de alcance definido; al mismo tiempo, una capa de políticas unificada se encarga de controlar la exposición general al riesgo, los límites de frecuencia entre Agent y el presupuesto compartido, y genera registros de auditoría consistentes.
Estos escenarios apuntan a la misma conclusión: la gestión de claves privadas sigue siendo la base de la seguridad de la cartera, permitir que el Agent contacte directamente con la clave privada es una fuente de riesgo inaceptable en cualquier escenario. Pero solo gestionar bien la clave privada ya no es suficiente.
Cuando el operador pasa de humano a Agent, la cartera también debe responder a una segunda pregunta: quién tiene permitido actuar, bajo qué condiciones, con qué importe, sobre qué activos y hacia qué objetos. La gestión de claves privadas es la primera línea de defensa; la gestión de los límites de permisos para operadores no humanos es el segundo cortafuegos añadido en la era del Agent.
III. Autonomía delimitada: La filosofía de diseño de Agentic Wallet
Actualmente, la industria aún se encuentra en una fase temprana de exploración de Agentic Wallet, y aún no existe una solución realmente madura. Sin embargo, como se mencionó en la introducción, este artículo considera que Agentic Wallet es un sistema de control de fondos que conecta la gobernanza humana con la ejecución del Agent: los humanos se encargan de establecer los límites, el Agent se encarga de actuar dentro de ellos, y la cartera se asegura de que esta relación de restricción sea siempre ejecutable, auditable e intervenible.
Al mismo tiempo, según el grado de autorización otorgado al Agent, Agentic Wallet probablemente sirva también a los siguientes 4 casos:
Control humano: El Agent proporciona sugerencias y asistencia, cada operación aún requiere confirmación humana. Mejora la eficiencia de la interacción, la lógica de control de fondos no cambia.
Híbrido: El Agent maneja operaciones rutinarias, como recuperación, cotización, recordatorios o ejecución de bajo riesgo; la intervención humana disminuye, pero los casos límite aún requieren aprobación humana, como transferencias de fondos, llamadas a contratos o ramificaciones anómalas.
Autonomía delimitada: El Agent actúa de forma autónoma dentro de reglas, límites y rutas de veto claros. El humano pasa de ser un aprobador operación por operación a un definidor de reglas. Agentic Wallet, tal como se discute en este artículo, se dirige principalmente a esta categoría.
Autonomía completa: El Agent tiene una soberanía económica casi completa, puede programar fondos de forma independiente y asumir resultados sin límites preestablecidos. Este modelo es teóricamente viable, pero aún está lejos de madurar en términos de seguridad, gobernanza, atribución de responsabilidad y cumplimiento, permaneciendo básicamente en fase experimental.
Como referencia, Stripe en su annual letter de 2025 dividió el agentic commerce en cinco niveles: L1 es eliminación de formularios web (Eliminating web forms), L2 es búsqueda descriptiva (Descriptive search), L3 es memoria persistente (Persistence), L4 es delegación de autorización (Delegation), L5 es compra anticipativa (Anticipation); al mismo tiempo, juzgó claramente que la industria en su conjunto aún «ronda el borde de L1 y L2».
Desde esta perspectiva, la mayor demanda del mercado actual probablemente provenga de escenarios de control humano e híbridos, y la autonomía delimitada es la verdadera frontera actual, también la primera forma a nivel de producción donde el Agent realmente comienza a gestionar fondos.
Materializar esta concepción requiere una arquitectura de cuatro capas:
· Capa de cuenta: Establecer un contenedor económico independiente y aislado para cada Agent, por ejemplo mediante EOA, cuentas de contrato inteligente, carteras de servidor o entornos TEE. El sistema necesita aplicar reglas diferenciadas a diferentes Agent.
· Capa de permisos: Definir los límites de comportamiento del Agent, como importe disponible, activos operables, contratos interactuables, ventana de tiempo ejecutable, lógica de acción al tocar el límite. Esta es la capa central de toda la arquitectura.
· Capa de ejecución: Orientada a interfaces de Agent, no a clics humanos. Envíos, pagos, Swaps, puentes, rebalanceo, liquidación, liquidación, necesitan ser abstraídos como primitivas invocables directamente por programas.
· Capa de gobernanza: Debe proporcionar registros, simulación, traza de auditoría, alertas, interruptor de pausa, derecho de veto humano, mecanismos de recuperación, etc. Esta capa determina si Agentic Wallet puede realmente entrar en entornos productivos.
Por encima de la arquitectura de cuatro capas, se necesitan cuatro capacidades centrales para apoyar el funcionamiento del sistema:
Skills: Proporcionan módulos de operación on-chain estandarizados. El Agent puede completar acciones como transacciones, pagos, puentes, etc., como si invocara funciones, sin tener que ensamblar calldata subyacente. La Skill resuelve el problema de la abstracción de la capacidad de «qué se puede hacer».
Policies + KYA / KYT: El motor Policies es responsable de verificar las reglas para cada operación, transformando los límites establecidos por humanos en condiciones de restricción ejecutables por máquinas; el mecanismo KYA / KYT se utiliza para identificar la procedencia, identidad, contexto de riesgo e historial de ejecución del Agent. Lo primero restringe el comportamiento, lo último identifica al operador, ambos aseguran conjuntamente que todas las acciones de fondos permanezcan dentro de los límites preestablecidos.
Session Key: Proporciona un mecanismo de delegación seguro limitado en tiempo, importe y alcance. El Agent obtiene una autorización temporal y limitada, no una clave privada completa. La autorización expira automáticamente, no requiere revocación manual, «permite que el Agent obtenga资格 de ejecución sin接触 la clave completa».
Auditoría y notificación: Proporciona registros de operación totalmente trazables y un sistema de alertas en tiempo real. Cada operación es rastreable, cada anomalía es alertable, cada Agent puede pausarse en cualquier momento.
Actualmente, normalmente controlamos la lógica de comportamiento del Agent mediante instrucciones, pero la orquestación de tareas no equivale a la restricción de fondos.
El Agent aún puede juzgar mal, desviarse, o sufrir ataques y contaminación por entradas maliciosas. El significado de la capa de cartera reside precisamente en solidificar previamente en reglas del sistema preguntas relacionadas con los permisos de fondos, como «si se pueden mover fondos, cuántos fondos se pueden mover, qué activos se pueden operar, con qué objetos se puede interactuar, y cómo abortar en caso de anomalías». Incluso si el Agent se desvía, las acciones reales de fondos que puedan ocurrir seguirán limitadas a los límites preestablecidos.
IV. Estado actual de Agentic Wallet: Cuatro caminos y cuatro brechas
En torno a las soluciones existentes de Agentic Wallet, hemos observado 4 casos典型 que básicamente ya han resuelto «cómo hacer que el Agent entre en el sistema de fondos», pero aún no responden «cómo hacer que el Agent use fondos de forma segura en entornos cross-chain y complejos del mundo real».
Coinbase, Safe, Privy y Polygon ya han dado sus respectivas respuestas viables en infraestructura, gobernanza, permisos e identidad; lo que queda por completar es integrar aún más estas capacidades locales en un sistema de control unificado que pueda funcionar cross-chain, migrar entre entornos y mantenerse firme en escenarios complejos de adversidad. Los cuellos de botella comunes de Agentic Wallet en esta etapa se concentran principalmente en las siguientes cuatro brechas:
Primera, la identidad y reputación aún no son portables.
Se puede establecer un sistema de identidad y reputación on-chain para Agent, pero aún no existe un sistema de crédito universal cross-chain, cross-cartera y cross-entorno de ejecución. La historia y reputación acumuladas por un Agent en un ecosistema no pueden migrar naturalmente a otro.
Segunda, la capa de políticas carece de un estándar unificado.
Coinbase usa spending limits, Safe usa módulos on-chain, Privy usa policy engine, Polygon usa session-scoped wallet. La industria ya es普遍mente consciente de que la capa de permisos es central, pero aún no se ha formado un estándar de políticas unificado portable, componible y reusable entre productos.
Tercera, la seguridad adversarial está altamente en blanco.
Inyección de prompt, envenenamiento de herramientas, Skills maliciosos, entradas externas contaminadas, estos problemas no se resuelven automáticamente con auditorías de contratos tradicionales. El problema realmente nuevo en la era del Agent es: cuando el proceso de decisión del modelo se distorsiona por entradas maliciosas, ¿cómo identifica, interviene y bloquea el riesgo la cartera?
Cuarta, la cobertura full-chain está lejos de lograrse.
La mayoría de las soluciones existentes dependen de una cadena única o de un rango multi-cadena limitado, pero la actividad económica del Agent no se quedará permanentemente en un solo ecosistema. Una Agentic Wallet realmente madura debe enfrentar problemas de multi-cadena, multi-entorno de ejecución y consistencia de permisos cross-domain.
V. Bajo la superficie: La próxima década de Agentic Wallet
Actualmente, el foco de diseño de Agentic Wallet es capacitar a los humanos para ejercer control granular sobre el Agent. En la mayoría de las implementaciones, el papel de la cartera se acerca más a un firmante pasivo: el Agent invoca una Skill, la Skill genera una transacción, la cartera firma en el backend, y la ejecución on-chain ocurre.
Pero si el Agent realmente comienza a gestionar fondos, firmar solo en el último paso claramente no es suficiente. Un enfoque más razonable es que el juicio de permisos ocurra antes de la ejecución: después de que el Agent invoque la Skill, la solicitud entra primero en el Policy Plane interno de la cartera, y solo si pasa la verificación de políticas, la ejecución se permite.
El llamado Wallet Policy Plane, toma prestada la idea de Control Plane y Data Plane en la arquitectura de sistemas. Se sitúa entre el comportamiento del Agent y la ejecución on-chain, integrando el motor Policies, la verificación KYT/KYA, la validación de Session Key, la puntuación de riesgo y el manejo de anomalías en un plano de decisión unificado.
Esta idea no es nueva, la arquitectura de pagos de Stripe sigue una lógica similar: los desarrolladores invocan una API limpia, pero antes de que los fondos se muevan realmente, Stripe ya ha completado en el backend la identificación de riesgos, comprobación de reglas y procesamiento de cumplimiento. Lo que Agentic Wallet debe hacer es esencialmente lo mismo, dar a los desarrolladores una interfaz de ejecución limpia en la capa superior, y completar el arbitraje de permisos con un motor de políticas previo en la capa inferior.
La urgencia radica en que la superficie de ataque provocada por la inyección de prompt, el envenenamiento de herramientas y las Skills maliciosas se está expandiendo rápidamente, y la infraestructura de seguridad del lado de la cartera no se ha puesto al día. Un Wallet Policy Plane estandarizado, hoy aún no es una primitiva base通用 en la industria.
Sin embargo, el Policy Plane en sí mismo tampoco será el estado final. A medida que el sistema de identidad y reputación del Agent madure gradualmente, la lógica de autorización pasará de estar impulsada por reglas estáticas a estar impulsada por la confianza dinámica. Hoy se basa en límites preestablecidos, restricciones de importe, listas blancas y rutas de veto humano; en el futuro, los registros de transacciones on-chain, las trayectorias de comportamiento y los datos crediticios cross-ecosistema constituirán gradualmente una base crediticia verificable para el Agent, y más decisiones de autorización se tomarán en función de la identidad, el historial y el desempeño real.
Cuando los Agent comiencen a interactuar económicamente entre sí a velocidad de máquina, los mecanismos de control deben integrarse desde el establecimiento inicial del sistema. El papel de la cartera también cambiará: en las etapas tempranas, es un guardián, responsable de阻止 comportamientos fuera de los límites; en la etapa madura, se acerca más a la infraestructura, responsable de permitir que entidades confiables conecten cuentas, permisos y sistemas de liquidación con menor fricción de forma continua.
En la última década, el campo de batalla de la cartera fue esa entrada en la pantalla. En la próxima década, el campo de batalla está en esa capa de control que el usuario no ve.
