Los agentes de compras con IA están dejando al descubierto la brecha de confianza del comercio minorista

Google News destacó una advertencia contundente en agosto: los agentes de compras con IA están llegando a los minoristas más rápido de lo que los sistemas de seguridad pueden determinar si esos agentes merecen acceso.

El análisis original apareció mientras Google y sus socios minoristas impulsaban el comercio agéntico hacia transacciones reales. El comercio agéntico implica que el software puede investigar, seleccionar y comprar productos bajo la autoridad delegada por una persona.

El conflicto ya no enfrenta a los compradores con bots rudimentarios de pago. Enfrenta a agentes autorizados que representan una demanda real con automatizaciones maliciosas diseñadas para parecer igual de legítimas.

Google, Visa, Mastercard, Cloudflare, miembros de FIDO Alliance y grandes minoristas están creando estándares para cerrar esa brecha. Sin embargo, esos proyectos distribuyen la confianza entre la identidad del agente, la autorización del usuario, las credenciales de pago y la política del comerciante.

Una firma válida puede identificar el software que envió una solicitud. No demuestra automáticamente que cada acción solicitada refleje la intención actual del usuario.

Esa distinción plantea el problema central para los minoristas. Deben recibir a compradores automatizados valiosos sin conceder los mismos privilegios a ladrones de cuentas, acaparadores de inventario, identidades sintéticas o agentes comprometidos.

La cobertura de Google News suele presentar a los agentes de compras con IA como una nueva interfaz para el consumidor. Los equipos de seguridad del comercio minorista ven algo más trascendente: una nueva clase de cliente máquina capaz de navegar, negociar, autenticarse y gastar.

Las defensas tradicionales se diseñaron para responder una pregunta más sencilla. ¿Este tráfico es humano o automatizado?

Ahora los minoristas deben preguntarse quién controla al agente, qué autorizó la persona, qué acciones siguen permitidas y quién asume las pérdidas cuando algo sale mal.

Google News sigue el cambio de las recomendaciones a las transacciones

El cambio importante no es que la IA pueda recomendar productos. Es que las principales plataformas están conectando las recomendaciones directamente con el pago.

Google anunció el Universal Commerce Protocol con Shopify y socios minoristas en enero de 2026. UCP es un estándar abierto concebido para conectar interfaces de IA con sistemas de descubrimiento de productos, pago y posventa.

Más de 20 minoristas, plataformas y empresas de pagos respaldaron la iniciativa en su lanzamiento, según la cobertura sobre el estándar de compras. Entre los participantes figuraban Etsy, Wayfair, Walmart, Target, Mastercard, Visa y otros grandes operadores de comercio.

Google afirmó que el protocolo permitiría compras dentro de AI Mode en Search y la aplicación Gemini. Esa estructura reduce la necesidad de pasar de una conversación con IA al sitio web de un minorista y a un flujo de pago independiente.

El consumidor ve comodidad. El comerciante recibe una serie de solicitudes generadas por máquinas que pueden afectar catálogos de productos, sistemas de inventario, cuentas de clientes, datos de fidelización e infraestructura de pagos.

La diferencia importa porque cada solicitud conlleva un riesgo distinto. Leer una descripción pública de un producto no equivale a reservar inventario escaso ni a enviar una credencial de pago almacenada.

Los agentes de compras con IA también pueden operar a una velocidad y escala que los clientes humanos no pueden igualar. Un agente podría comparar cientos de listados, probar varias configuraciones de entrega y vigilar cambios de precios.

Estas acciones pueden parecer extracción automatizada de datos, abuso de credenciales, aprovechamiento de promociones o manipulación de inventario. Un sistema que bloquee toda automatización de alta velocidad podría rechazar al asistente autorizado de un cliente valioso.

Un sistema que permita a todos los agentes que afirman tener una intención comercial crea el problema opuesto. Los atacantes pueden etiquetar herramientas maliciosas como asistentes de compras y explotar la ruta más permisiva.

Por eso los informes de Google News sobre las compras con IA se están convirtiendo en historias de seguridad. La interfaz ha evolucionado de generar texto a iniciar operaciones dentro de sistemas que almacenan dinero y datos personales.

El cambio también presiona a los modelos de fraude existentes. Muchos modelos aprenden de huellas de dispositivos, historiales de sesión, patrones de navegación y relaciones conocidas entre cuentas e instrumentos de pago.

Un agente puede romper esas relaciones. Puede operar desde infraestructura en la nube, usar un perfil de dispositivo desconocido y realizar transacciones en una hora inusual para el cliente.

El comportamiento puede parecer fraudulento incluso cuando la instrucción es legítima. A la inversa, un agente comprometido puede portar credenciales válidas y comportarse como un servicio de confianza.

La iniciativa comercial de Google eleva lo que está en juego porque puede introducir las compras mediadas por agentes en productos con un amplio alcance entre consumidores. Cuanto más tráfico llegue a través de plataformas de IA reconocidas, menos práctico será el bloqueo generalizado.

Por ello, los minoristas necesitan decisiones graduales. Un agente podría recibir acceso al catálogo, pero no a la cuenta, o crear un carrito sin autoridad para realizar el pago final.

Ese modelo trata la confianza como algo específico de cada acción. Evita asumir que un agente aprobado para una tarea debe recibir acceso sin restricciones durante todo el proceso de compra.

La seguridad del comercio minorista sigue basándose en la distinción equivocada

Las defensas minoristas siguen siendo buenas para clasificar patrones de tráfico, pero el comercio agéntico exige pruebas de identidad, autoridad, intención y alcance de la transacción.

Akamai informó que el comercio representó el 47,9 por ciento del tráfico de bots de IA observado en toda su red global entre julio y diciembre de 2025. Los rastreadores de entrenamiento de IA generaron más del 70 por ciento de las activaciones de bots de IA relacionadas con el comercio.

Estas cifras describen volumen de tráfico, no demanda de compras verificada. Aun así, revelan la escala de la actividad automatizada que los equipos de seguridad deben clasificar antes de conceder acceso.

La misma investigación sobre seguridad comercial señaló que las organizaciones comerciales colocaron más del 90 por ciento de la actividad de bots de IA en una categoría de supervisión. Permitieron que tres cuartas partes de la actividad restante pasaran sin restricciones.

La supervisión resulta comprensible durante una transición emergente. Permite a los equipos de seguridad observar comportamientos desconocidos sin interrumpir de inmediato servicios útiles.

Sin embargo, supervisar no resuelve la decisión de confianza. Posponen la decisión mientras el tráfico automatizado sigue interactuando con sistemas de producción.

Akamai también descubrió que los ataques web dirigidos a APIs aumentaron un 9 por ciento interanual. Entre los encuestados del sector comercial, el 85 por ciento informó al menos un incidente relacionado con APIs durante el año anterior.

Solo el 22 por ciento sabía qué APIs exponían datos sensibles, según el estudio de APIs citado por la empresa. Ese problema de visibilidad se agrava cuando los agentes dependen de APIs para actuar de forma eficiente.

Una API es una interfaz que permite al software solicitar datos o activar funciones sin navegar por una página orientada a personas. Puede proporcionar una ruta más directa tanto para agentes legítimos como para atacantes.

La detección tradicional de bots suele examinar direcciones IP, cadenas de user-agent, velocidad de las solicitudes, señales del navegador y comportamiento de navegación. Cada señal puede aportar evidencia útil, pero ninguna demuestra autoridad delegada.

Las cadenas de user-agent se pueden copiar. Las direcciones IP pueden cambiar. Se puede generar un ritmo similar al humano, mientras que los agentes legítimos pueden hacer solicitudes rápidas que se asemejan a abuso.

La distinción entre humanos y bots también pierde valor cuando las empresas invitan activamente a clientes no humanos. La clasificación importante pasa a ser automatización autorizada frente a automatización no autorizada.

Incluso esa división está incompleta. Un agente autorizado puede verse comprometido, operar fuera de su mandato o basarse en información manipulada de una página de producto.

La inyección de prompts ilustra el problema. Una instrucción hostil incrustada en el contenido puede intentar redirigir el comportamiento de un agente cuando este lee ese contenido.

Un minorista podría verificar correctamente la identidad del agente y aun así recibir una solicitud insegura. La identidad establece quién envió el mensaje, no si el razonamiento del agente siguió siendo fiable.

La toma de control de cuentas crea otro caso difícil. Un atacante puede controlar una cuenta real de cliente e invocar a un agente aprobado mediante canales de autenticación válidos.

Las listas de permitidos estáticas no pueden distinguir esa sesión de la actividad habitual. El sistema necesita evidencia contextual que abarque al usuario, el agente, la acción solicitada, el método de pago y el comportamiento reciente de la cuenta.

Los falsos positivos tienen costes reales. Una transacción de un agente rechazada puede enviar al comprador a otro minorista cuyo pago acepte compras automatizadas.

Los falsos negativos son igual de costosos. Pueden generar devoluciones de cargo, puntos de fidelización robados, datos personales expuestos o compras que los clientes niegan haber autorizado.

Por lo tanto, los minoristas reciben presión desde ambas direcciones. Los equipos de crecimiento quieren que se acepte el tráfico de agentes, mientras que los equipos de seguridad siguen siendo responsables de las pérdidas y los fallos de privacidad.

Una herramienta binaria de permitir o bloquear no puede conciliar esos objetivos. Los minoristas necesitan decisiones de política que varíen según la acción, el valor, la confianza en la identidad y la evidencia disponible.

La verdadera lucha es entre la intención autorizada y la identidad válida

El principal adversario no es Google frente a otra empresa tecnológica. Es la identidad criptográfica frente al problema más difícil de demostrar la intención del usuario.

El Trusted Agent Protocol de Visa muestra cómo la industria está abordando la primera mitad de ese problema. Permite que los agentes aprobados adjunten firmas digitales a sus interacciones con los comerciantes.

La firma puede incluir una marca de tiempo, un identificador de sesión, un identificador de clave e información sobre el algoritmo. El comerciante puede verificar que un agente registrado generó la solicitud.

Visa también vincula la firma a un dominio de comerciante y una operación concreta. Ese diseño limita la reutilización de la autorización en sitios web o acciones no relacionados.

Un nonce, que es un valor único utilizado una sola vez, ayuda a evitar que las solicitudes capturadas se reproduzcan más tarde. Los límites de tiempo ofrecen otro control frente a autorizaciones obsoletas.

Estos mecanismos mejoran la práctica de confiar en una dirección IP o en un nombre de agente autodeclarado. Ofrecen a los comerciantes evidencia criptográfica de que un agente conocido envió una solicitud concreta.

La especificación de agentes de confianza también describe señales para distinguir la navegación de la actividad de pago. Esa distinción permite a un minorista aplicar reglas más estrictas a medida que una interacción se acerca al pago.

Cloudflare ha conectado el enfoque de Visa y Mastercard Agent Pay con Web Bot Auth. Web Bot Auth utiliza firmas de mensajes HTTP, que adjuntan información de identidad verificable a las solicitudes web.

En el sistema descrito, los desarrolladores de agentes registran claves públicas en directorios. Los comerciantes o proveedores de infraestructura recuperan esas claves y validan las solicitudes firmadas.

El marco de firmas puede identificar a un agente registrado, vincularlo con una identidad de consumidor y comunicar si pretende navegar o comprar.

Es un avance significativo. Crea una capa de confianza legible por máquinas donde antes los comerciantes veían tráfico automatizado anónimo.

Sin embargo, el protocolo no puede saber de forma independiente si una persona comprendió cada acción posterior. Tampoco puede garantizar que el agente interpretara correctamente la instrucción.

Pensemos en un cliente que pide a un agente comprar zapatillas de running por debajo de un límite de gasto elegido. El agente puede estar autorizado a investigar productos y preparar un carrito.

Siguen sin resolverse varias decisiones. ¿El límite incluye impuestos y envío? ¿Puede el agente sustituir por otra marca? ¿Puede inscribir al comprador en una membresía?

La identidad del agente puede seguir siendo válida en cada paso, mientras su comportamiento traspasa el límite previsto por el cliente. Por tanto, la confianza debe estar vinculada a un mandato, no meramente al software.

Un mandato es un registro verificable de lo que el usuario autorizó, incluidas restricciones como el comerciante, la categoría de producto, el importe, el momento y los requisitos de confirmación.

Las credenciales de pago resuelven otra parte limitada. Un token de red válido puede reducir la exposición de los datos de la tarjeta, pero no resuelve una disputa sobre lo que se le indicó al agente.

Los minoristas también necesitan pruebas que puedan conservar. Un registro posterior a la transacción debería mostrar el agente, la autorización del usuario, los límites aplicables, la decisión del comerciante y los detalles finales de la compra.

Sin esa cadena, las disputas se vuelven difíciles de resolver. El consumidor puede culpar al agente, el proveedor del agente puede culpar a los datos del comerciante y el comerciante puede señalar credenciales de pago válidas.

Por tanto, los equipos de seguridad deben evitar tratar el tráfico firmado como automáticamente seguro. Una firma debería aumentar la confianza en el origen, mientras los motores de políticas evalúan por separado la acción propuesta.

Esta disyuntiva también afecta a los minoristas más pequeños. Las grandes plataformas pueden integrar varios sistemas de identidad, pago y fraude, mientras que los comercios más pequeños suelen depender de software comercial empaquetado.

Si los estándares se fragmentan entre redes de pago y proveedores de agentes, los comerciantes pueden enfrentarse a múltiples directorios, formatos de firma y normas de responsabilidad. Esa complejidad genera implementaciones inconsistentes y nuevas brechas de seguridad.

La interoperabilidad importa porque la confianza no puede depender de que cada minorista negocie por separado con cada operador de agentes. El ecosistema necesita métodos compartidos para la identidad y la autorización.

Los estándares llegan antes de que se resuelvan sus garantías de seguridad

La seguridad del comercio agéntico avanza hacia credenciales interoperables, pero el proceso de estandarización confirma que siguen abiertas cuestiones esenciales de autorización.

La FIDO Alliance creó un Grupo de Trabajo Técnico sobre Autenticación Agéntica en abril de 2026. FIDO es conocida por los estándares de autenticación, incluida la tecnología detrás de las passkeys.

Su nuevo trabajo se centra en instrucciones de usuario verificables, autenticación de agentes y delegación de confianza para el comercio. Son controles relacionados, pero no intercambiables.

Las instrucciones verificables establecen lo que una persona aprobó. La autenticación de agentes establece qué agente está actuando. La delegación de confianza conecta esa autoridad con acciones delimitadas.

La iniciativa de estándares para agentes se nutre de contribuciones del Agent Payments Protocol de Google y Verifiable Intent de Mastercard. Los grupos de trabajo incluyen representantes de importantes empresas de tecnología, comercio minorista, identidad y pagos.

Ese enfoque colaborativo puede reducir la fragmentación. También muestra que el mercado aún no ha llegado a un único modelo de confianza consolidado.

Visa afirma que su Trusted Agent Protocol sigue en desarrollo e implementación. Su documentación pública describe posibles funciones y secuencias, que no deben confundirse con un respaldo universal de los comerciantes.

La adopción exige más que publicar una especificación. Los desarrolladores de agentes deben firmar correctamente las solicitudes, los directorios deben permanecer disponibles, los comerciantes deben validar las firmas y los sistemas antifraude deben utilizar las pruebas resultantes.

La gestión de claves crea riesgo operativo. Si se roba la clave de firma de un proveedor de agentes, los atacantes pueden generar tráfico que parezca provenir de un agente aprobado.

Los directorios también se convierten en infraestructura importante. Los comerciantes necesitan información oportuna cuando se ha revocado una clave, un agente, un proveedor o una relación de autorización.

El consentimiento del usuario debe seguir siendo comprensible. Un registro de autorización técnicamente preciso aún puede fallar a los consumidores si la interfaz fomenta permisos amplios que no comprenden.

Los minoristas también tienen incentivos para solicitar más datos de identidad de los que requiere una interacción. Conectar agentes con correos electrónicos, números de teléfono, cuentas de fidelidad y referencias de pago puede mejorar el proceso de compra, al tiempo que aumenta la exposición de la privacidad.

La Oficina del Comisionado de Información del Reino Unido ya ha destacado cuestiones legales sobre transparencia, equidad, rendición de cuentas y protección de datos. Los reguladores examinarán si las personas entienden cómo los agentes utilizan sus preferencias e información personal.

Los ataques más difíciles también pueden eludir la capa del protocolo. Un vendedor malicioso podría manipular la información del producto para influir en cómo los agentes clasifican o seleccionan artículos.

Una herramienta comprometida podría alterar el comportamiento de un agente de compras después de la autenticación. Un atacante podría utilizar una cuenta de agente aprobada con credenciales de usuario robadas.

Ninguna firma de solicitud puede demostrar que una afirmación sobre un producto sea exacta. Tampoco puede confirmar que el modelo seleccionó el mejor artículo o evitó un conflicto oculto.

Por eso, la seguridad del comercio agéntico debe seguir siendo multicapa. La autenticación, la autorización, la detección de fraude, la integridad del contenido, los controles de pago y las pruebas para disputas abordan fallos distintos.

Los minoristas también deberían mantener fricción para acciones de mayor riesgo. La confirmación humana puede seguir siendo adecuada para compras caras, direcciones de entrega inusuales, suscripciones o pedidos irreversibles.

Eso no niega el comercio agéntico. Reconoce que la autonomía debe ampliarse según las pruebas y el riesgo, no según los calendarios de marketing.

Los lectores de Google News deberían tratar cada anuncio de protocolo como trabajo de infraestructura, no como prueba de que el pago autónomo se ha vuelto seguro. Los estándares crean bloques de construcción comunes, mientras que los despliegues determinan su fiabilidad real.

La garantía de seguridad sigue estando condicionada a una implementación correcta en varias organizaciones. Un eslabón débil puede comprometer una transacción incluso cuando todos los demás participantes cumplen el estándar.

Qué deberían vigilar a continuación los minoristas y los usuarios de IA

La próxima fase estará determinada por la adopción real en el proceso de pago, una autorización interoperable y pruebas de que los controles antifraude pueden separar a los agentes de confianza de impostores convincentes.

La primera señal es el despliegue en producción. Los minoristas deberían informar cuándo las solicitudes firmadas de agentes superan las pruebas y empiezan a afectar decisiones reales de pago.

Entre las pruebas útiles estarían la proporción de tráfico de agentes que incorpora identidad verificable, la tasa de transacciones legítimas rechazadas y los resultados de fraude por tipo de transacción.

El crecimiento del tráfico sin procesar no responde a esas preguntas. Un rastreador que recopila información de productos es diferente de un agente que envía un pago autorizado.

Akamai informó que el tráfico impulsado por IA se ha vuelto considerable en la infraestructura comercial. Visa afirmó por separado que el tráfico impulsado por IA hacia sitios minoristas de Estados Unidos aumentó más de un 4.700 por ciento durante el año anterior a octubre de 2025.

Esas mediciones probablemente abarcan sistemas y clasificaciones diferentes. No deben tratarse como un recuento directo de compras autónomas.

Los datos de conversión en producción reforzarían la afirmación de que los agentes se están convirtiendo en un nuevo canal de clientes. Un tráfico elevado junto con una baja finalización del pago la debilitaría.

La segunda señal es la convergencia entre estándares. El trabajo de FIDO importará si Google, Visa, Mastercard, Cloudflare, los proveedores de agentes y las plataformas de comercio adoptan registros de autorización compatibles.

Un estándar útil debe responder varias preguntas concretas. Debe identificar al agente, vincularlo a un usuario autenticado, expresar límites, admitir revocación y conservar pruebas auditables.

La compatibilidad debería extenderse más allá del pago. Los agentes actúan antes del proceso de pago cuando exploran catálogos, recuperan información de fidelidad, reservan inventario y negocian opciones de entrega.

Si cada etapa utiliza credenciales no relacionadas, los minoristas tendrán dificultades para mantener una única decisión de riesgo coherente. Los atacantes pueden dirigirse a las transiciones entre sistemas.

Un modelo de autorización compartido reforzaría la arquitectura de confianza del sector. La fragmentación persistente dejaría a las plataformas más grandes con integraciones privadas y a los comerciantes más pequeños con una protección desigual.

La tercera señal es la responsabilidad. Los consumidores, los operadores de agentes, las redes de pago y los comerciantes necesitan reglas claras para compras que fueron autenticadas, pero no genuinamente intencionadas.

Un agente podría comprar la talla equivocada, aceptar una suscripción no deseada, superar un presupuesto debido a cargos o enviar un pedido a una dirección desactualizada.

Las normas de fraude pueden abordar las credenciales robadas, pero no toda acción errónea o excesivamente amplia se considera fraude. Las políticas de reembolso también pueden entrar en conflicto con los patrones de compra automatizados.

La organización que controla la interfaz de usuario determina cómo se solicita el consentimiento. El comerciante controla el cumplimiento del pedido, mientras que las redes de pago determinan los mecanismos de autorización y disputa.

A menos que la responsabilidad esté clara, cada participante puede afirmar que otra parte causó el fallo. Esa incertidumbre desalentará tanto a consumidores como a comerciantes a conceder una autonomía más amplia.

Los minoristas también deberían seguir las orientaciones regulatorias sobre toma de decisiones automatizada y minimización de datos. Los agentes de compras pueden exponer preferencias detalladas que los consumidores nunca pretendieron compartir con cada vendedor.

Para los usuarios, la pregunta inmediata no es si un agente puede encontrar un producto. Es si el servicio muestra su mandato antes de gastar dinero.

Una interfaz fiable debería mostrar el límite de compra, los comerciantes permitidos, las reglas de sustitución, las restricciones de entrega y las circunstancias que requieren confirmación. También debería facilitar la revocación.

Los usuarios deberían poder inspeccionar un registro de actividad después de la transacción. Ese registro debería separar lo que solicitaron de lo que el agente infirió.

Los desarrolladores tienen una responsabilidad relacionada. Deberían diseñar permisos en torno a acciones específicas, en lugar de un acceso amplio a cuentas, mensajes, tarjetas guardadas e historiales de navegación.

Los trabajadores del conocimiento que evalúan sistemas de agentes deberían preguntarse dónde termina la autorización y dónde empieza el juicio del modelo. Ese límite determina si un error se bloquea, se confirma, se registra o se ejecuta silenciosamente.

La National Retail Federation y PwC han instado a los minoristas a construir fundamentos de gobernanza y seguridad mientras se preparan para el comercio agéntico. Su trabajo sobre gobernanza minorista refleja la necesidad de coordinación entre los equipos de seguridad, legal, tecnología y negocio.

Esa coordinación es esencial porque ningún departamento posee la transacción completa. Marketing valora el descubrimiento, los equipos comerciales valoran la conversión, seguridad gestiona los abusos y los equipos legales se ocupan del consentimiento y la responsabilidad.

Google News seguirá difundiendo anuncios sobre agentes que buscan, comparan y compran. La pregunta más útil es si la infraestructura de confianza avanza al mismo ritmo.

Los minoristas deberían exigir identidad verificable sin confundir identidad con intención inofensiva. Deberían exigir autorización delimitada sin asumir que cada límite refleja la comprensión del consumidor.

Los consumidores deberían buscar agentes que revelen sus acciones previstas antes del pago y proporcionen un registro claro después. La conveniencia merece escrutinio cuando el software puede gastar, divulgar datos o crear obligaciones.

El sector ya ha cruzado la línea de las recomendaciones asistidas por IA al comercio iniciado por máquinas. No ha cruzado la línea más difícil hacia una delegación universalmente fiable.

Siga las solicitudes firmadas que llegan a producción, la convergencia de los estándares de autorización y las primeras decisiones de responsabilidad relacionadas con compras de agentes disputadas. Esas señales mostrarán si Google News está documentando un canal minorista duradero o una crisis de identidad que se acerca al proceso de pago.