La sesión no es el cliente: La crisis de identidad de la IA

Esta primavera, Redwood Research dio a un agente de IA construido sobre Claude Opus 4.7 una inversión de $5,000, una conexión a internet y cuatro días para generar la mayor cantidad de dinero posible. En cuatro ejecuciones separadas, el agente no obtuvo nada. Cada intento se estancó en el mismo obstáculo: un CAPTCHA y una verificación de identidad, la misma barrera KYC que enfrenta un bot al intentar abrir una cuenta bancaria.

Mientras ese agente quedó atascado en la puerta de entrada, otra población de agentes ya estaba moviendo dinero real a través de un canal diferente para eludir el KYC. Según un recuento de Chainalysis, los agentes que encontraron una solución alternativa procesaron más de 100 millones de pagos mediante el protocolo x402 de Coinbase en la red Base a principios de 2026. Todos se liquidaron en stablecoins. Ninguno tocó un banco. Ambos hechos aparecen en el mismo informe sobre la emergente economía de agentes. 

Un agente de IA no puede ser el propietario legal de una cuenta bancaria. El sistema asume que hay un ser humano detrás de cada cuenta, con verificaciones KYC, identidad legal y responsabilidad que se asignan a una persona nombrada. Por eso los agentes encontraron una manera de mover dinero de todos modos, simplemente no a través de la puerta diseñada para comprobar la existencia de una persona.

Más máquina que humano

El operador detrás de una transacción ya no es de forma fiable un ser humano, con un 40 % de las aplicaciones empresariales proyectadas para lanzar agentes de IA específicos de tarea para finales de este año, frente a menos del 5 % en 2025. En el lado del consumidor, el 45 % de los compradores ya recurren a la IA para parte de una compra, aunque la mayoría sigue comprando en tiendas físicas. Otra encuesta encontró que el 95 % de los comerciantes ya observan tráfico de agentes de IA en sus sitios, mientras que solo el 20 % tiene catálogos de productos que una máquina pueda leer realmente.

Dentro de la empresa, la proporción es aún más marcada. Un informe reciente descubrió que las identidades de máquinas ahora superan a las identidades humanas 109 a 1, frente a 82 a 1 un año antes, y el 77 % de las organizaciones espera que esa proporción siga aumentando. El mismo informe halló que el 99 % de las organizaciones ya ha adoptado agentes de IA, y el 40 % de esos agentes ya tiene acceso a datos organizacionales.

Lo que realmente demuestra una sesión

Nada de esto importaría si un inicio de sesión siguiera significando lo que solía significar. No es así. Una sesión que borra cada señal existente, un dispositivo real, una dirección IP limpia y un desafío de verificación resuelto cada vez prueba menos y menos quién o qué está al otro lado.

Eso es una afirmación más estrecha de lo que suena, y más útil. Nadie está argumentando que la automatización en sí sea ilegítima. El asistente bancario, el bot de viajes o el agente de aprovisionamiento de una persona también son una sesión, y una proporción creciente de sesiones genuinas será precisamente ese tipo de proxy autorizado en lugar de una persona tecleando directamente. La infraestructura ya lo hace sin fricción. Una vez que un usuario autoriza a un agente mediante MCP, el estándar abierto que permite que las herramientas de IA se conecten a un servicio y actúen en nombre del usuario, el agente puede seguir realizando transacciones bajo esa autorización sin necesidad de un nuevo inicio de sesión humano cada vez. El registro oficial de MCP listó más de 6.400 servidores registrados en febrero de 2026, alcanzando ese hito en poco más de un año desde el lanzamiento del protocolo en 2024.

El problema es que la pila de riesgo actual no tiene una forma fiable de distinguir un proxy autorizado de un agente que actúa sin autoridad alguna, porque ambos llegan con las mismas señales.

Los controles de documentos de identidad y los escaneos biométricos de selfies confirman que un documento pertenece a una persona y que esa persona está viva. No confirman la intención genuina, ni la historia digital que una identidad real acumula, detrás de la transacción. La verificación de identidad necesita pasar de comprobar una apariencia a confirmar la intención mediante la continuidad. Una persona real construye años de comportamiento online ordinario. Un agente aprovisionado minutos antes de una transacción no tiene forma de falsificar eso. Una sesión siempre fue un proxy. Simplemente solía ser un proxy fiable.

El punto ciego que nadie valoró

La toma de control de cuentas ya explota la brecha entre una sesión y una persona, y es donde el cambio aparece primero en los datos de pérdidas. Un análisis reciente de tendencias globales de toma de control de cuentas para 2026 encontró que las cuentas financieras representaron el 32 % de las brechas, con secuestro de sesiones y ataques de fatiga multifactor desplazando los intentos de inicio de sesión por fuerza bruta como la ruta preferida, precisamente porque una sesión secuestrada hereda toda la confianza que un inicio de sesión genuino había ganado. El fraude de identidad global superó los $50 mil millones en 2025, según el mismo análisis, y los ataques impulsados por IA fueron responsables de aproximadamente $40 mil millones en pérdidas empresariales anuales.

Esa brecha es estructural, no incidental. Una verificación de inicio de sesión ocurre una sola vez en la puerta de entrada, y todo lo que sigue hereda su veredicto. Nada vuelve a comprobar los diez minutos entre un inicio de sesión limpio y una transferencia fraudulenta. Cerrarla requiere una disciplina que la mayoría de las pilas de fraude aún no poseen: monitoreo de sesiones, tratando la sesión completa como un hilo continuo en lugar de una única puerta. Una herramienta de acceso remoto activada a mitad del proceso de compra o una huella de dispositivo que cambia después del inicio de sesión genera la alarma que la verificación original nunca pudo.

Cada control creado para atrapar esa brecha se calibró contra un enemigo específico: un estafador humano que se hace pasar por un ser humano genuino. La biometría conductual aprendió a detectar movimientos de ratón demasiado suaves para ser humanos. La inteligencia de dispositivos aprendió a reconocer la huella de una granja de dispositivos en la nube. Ninguno fue diseñado para responder a una pregunta más reciente. No si la sesión pertenece a un estafador, sino si pertenece a alguien en absoluto.

La pregunta sin nombre todavía

Esa pregunta aún no tiene un nombre acordado en la industria, aunque necesitará uno antes de que termine el año. Los reguladores ya la están observando, los bancos ya están siendo puestos a prueba por ella y los propios agentes no están esperando a que ninguno de los dos se ponga al día.

Una industria que pasó dos décadas aprendiendo a distinguir a un cliente real de uno falso ahora se le pide que distinga a un cliente de un fragmento de software que actúa en nombre de nadie. Ese es un problema más difícil que el que la pila actual fue diseñada para resolver, y pretender lo contrario es la opción más costosa sobre la mesa.