Coneix el teu agent: per què cada plataforma LLM necessitarà verificació d'identitat (CA)

Durant dos anys, la conversa sobre seguretat al voltant dels grans models de llenguatge (LLM) es va centrar en el que ells deien. Escapes de seguretat, negacions, barreres, proves de seguretat de la sortida. Aquesta conversa ara és obsoleta, perquè els models van deixar de ser generadors de text i es van convertir en actors. Tenen credencials d'API. Crida a eines. Mouen diners.

Un cop un model pot actuar, la pregunta de seguretat interessant ja no és "què va dir?". És: qui és el responsable del que acaba de fer? Aquesta pregunta no es pot respondre amb un filtre de contingut. Només es pot respondre amb la identitat.

Punts clau

• L'agència, no el llenguatge, és la vulnerabilitat. OWASP classifica l'Agència Excessiva en el seu Top 10 per a aplicacions LLM, i va publicar un Top 10 dedicat per a Aplicacions Agentiques el desembre de 2025.
• La verificació humana està sota atac actiu. L'Informe de Frau d'Identitat 2026 d'Entrust vincula els deepfakes a un de cada cinc intents de frau biomètric, amb els atacs d'injecció augmentant un 40% any rere any.
• Els reguladors ja estan assenyalant la bretxa. L'FCA del Regne Unit està dient als bancs que es preparin per a les comprovacions de "coneix el teu agent" a mesura que les eines d'IA comencen a fer pagaments.
• Els terminis són reals. Les obligacions de transparència de l'article 50 de la Llei d'IA de la UE s'apliquen des del 2 d'agost de 2026, amb multes de fins a 15 milions d'euros o el 3% de la facturació mundial.
• Els estàndards estan inacabats. Tres esborranys separats de l'IETF competeixen per definir l'autorització d'agents delegats, i cadascun d'ells acaba en un principal humà que ha de ser verificat per alguna cosa.

L'agència excessiva és la veritable classe de vulnerabilitat

L'entrada d'Agència Excessiva d'OWASP descriu el problema amb precisió: a un sistema basat en LLM se li concedeix la capacitat de cridar funcions o interactuar amb altres sistemes, i la decisió sobre quina funció invocar sovint es delega al propi model, basant-se en les indicacions d'entrada o en la seva pròpia sortida prèvia. Els sistemes d'agents encadenen aquestes trucades, alimentant cada resultat a la següent invocació.

La vulnerabilitat és el que passa quan aquesta cadena executa una acció perjudicial en resposta a una entrada ambigua, inesperada o adversa. El model no necessita ser "hackejat" en cap sentit clàssic. Només necessita ser persuadit, i ha estat dissenyat per ser persuadible.

Això és prou seriós com perquè el Projecte de Seguretat GenAI d'OWASP publiqués un Top 10 per a Aplicacions Agentiques separat el desembre de 2025, tractant els sistemes agentics com una superfície d'amenaça diferent en lloc d'una nota a peu de pàgina de la seguretat LLM.

Observeu el que realment requereix mitigar l'agència excessiva. Cada control recomanat —permisos mínims necessaris, aprovació humana en el bucle, accés a eines amb àmbit, registre d'auditoria complet— pressuposa que sabeu quin principal representa l'agent. Els permisos no tenen sentit sense una identitat a la qual adjuntar-los. No podeu concedir el privilegi mínim a un actor anònim.

Les dades de frau: la verificació humana és el que està sent atacat

La resposta òbvia és verificar l'humà en el punt d'autorització. Els atacants ho saben, per això el pas de verificació en si mateix és ara l'objectiu.

L'Informe de Frau d'Identitat 2026 d'Entrust va trobar deepfakes vinculats a un de cada cinc intents de frau biomètric, amb els atacs d'injecció —alimentant vídeo sintètic directament al flux de verificació, saltant-se la càmera completament— augmentant un 40% any rere any.

L'Informe de Frau d'Identitat 2025-2026 de Sumsub, basat en més de quatre milions d'intents de frau, informa que, si bé la taxa global de frau s'està estabilitzant, els atacs sofisticats d'alta qualitat van augmentar un 180% entre 2024 i 2025. El patró és un canvi de volum a precisió: menys intents, cadascun molt més difícil de detectar.

La implicació estratègica és incòmoda. La IA generativa simultàniament (a) fa que els agents siguin capaços d'accions conseqüents, i (b) fa que les comprovacions d'identitat més barates —un selfie, una foto de document, un OTP— siguin poc fiables. La verificació feble i l'agència autònoma són una mala combinació, i estan arribant juntes.

Per això, la detecció de vivacitat passiva i d'atacs d'injecció deixa de ser un "nice-to-have" en el moment en què un agent pot gastar diners en nom d'un usuari. El pas de verificació és ara una infraestructura adversària, no un camp de formulari.

Els reguladors hi van arribar abans que els estàndards

El juny de 2026, alts funcionaris de l'Autoritat de Conducta Financera del Regne Unit van dir a The Banker que els bancs haurien de començar a preparar-se per a una nova era de comprovacions de "coneix el teu agent". La seva raó és que el comerç agentic —IA que compra, realitza transaccions i gestiona comptes per als usuaris— obliga els bancs a repensar com estableixen qui es troba a l'altre extrem d'una transacció.

Aquest marc s'ha estès ràpidament. Els comentaris de la indústria a American Banker fan el mateix punt des del costat del compliment: hi ha una nova entitat que accedeix als sistemes bancaris, comprova saldos i transfereix fons, i no és una persona.

Mentrestant, les dates de compliment obligatori ja són vigents. A partir del 2 d'agost de 2026, les obligacions de transparència de l'article 50 de la Llei d'IA de la UE s'apliquen als proveïdors i desplegadors de certs sistemes d'IA, amb les directrius de la Comissió Europea adoptades el 20 de juliol de 2026. L'incompliment pot comportar multes de fins a 15 milions d'euros o el 3% de la facturació anual mundial, la que sigui superior, i la regulació arriba a qualsevol proveïdor que introdueixi IA al mercat de la UE o les seves sortides s'utilitzin allà (Cooley).

Afegiu les obligacions que ja existien —diligència deguda del client de l'AMLD6, MiCA per als serveis de criptoactius, resiliència operativa de DORA per a entitats financeres, GDPR per a les dades d'identitat mateixes— i una empresa regulada que desplega agents no espera un futur llibre de normes. Ja està dins de quatre.

La bretxa dels estàndards, i per què sempre recau en un humà verificat

La capa de protocol està visiblement inestable. Hi ha almenys tres esborranys actius de l'IETF que ataquen l'autorització d'agents delegats des de diferents direccions:

Esborrany	Enfocament
Perfil d'Autorització d'Agents (AAP) per a OAuth 2.0	Estén OAuth 2.0 i JWT amb reclamacions estructurades perquè els sistemes puguin raonar sobre la identitat de l'agent, el context de la tasca i les restriccions operatives.
Perfil OAuth per a l'Autorització Delegada d'Agents d'IA	Defineix tipus de concessió per a la delegació a un agent que actua en nom d'un usuari.
Capçalera de Delegació d'Agents	Conté una cadena d'enllaços de delegació atenuada a través de dominis administratius; cada enllaç redueix l'abast i escurça la caducitat, i un verificador comprova cada enllaç.

Aquests esborranys no estan d'acord sobre el mecanisme. Estan d'acord sobre la forma: una cadena de delegació, on cada enllaç és més estret que el seu pare, i la cadena és tan fiable com la seva arrel.

Aquesta arrel és un humà. Una cadena de delegació atenuada demostra que a un agent se li va concedir un abast per algú —no diu res sobre si aquest algú és real, sancionat, major d'edat o la mateixa persona que va obrir el compte. La criptografia pot provar que la delegació va ocórrer. No pot provar que el delegant existeix. Això és un problema de verificació d'identitat, i cap perfil d'OAuth el resoldrà.

Com es veu això arquitectònicament

El patró pràctic que separa les dues preocupacions:

1. Verifiqueu l'humà una vegada, correctament. Verificació de documents, vivacitat passiva i coincidència facial en l'incorporació, amb detecció d'atacs d'injecció, perquè aquest és el pas que els atacants estan atacant.
2. Vinculeu la credencial de l'agent a aquesta identitat verificada. El testimoni de l'agent fa referència a un principal verificat en lloc d'un ID de compte nu, de manera que es pot raonar sobre l'abast.
3. Comproveu el principal contínuament, no una vegada. L'estat de sancions i PEP canvia després de l'incorporació. Un agent autoritzat al gener pot estar actuant en nom d'una persona sancionada al juny.
4. Torneu a verificar segons el risc, no segons el calendari. Aumenteu l'autenticació biomètrica quan l'agent superi un llindar de valor o canviï de comportament, en lloc de tornar a executar el KYC complet en un calendari.
5. Registreu tota la cadena. Identitat humana, credencial de l'agent, acció i decisió, perquè l'article 50 i l'AMLD6 finalment us demanen que reconstruïu qui va autoritzar què.

El punt de disseny important és que els passos 1 i 3 són infraestructura d'identitat ordinària. El treball genuïnament nou és el pas 2, i només és tractable si el pas 1 va produir alguna cosa que val la pena vincular.

Com encaixa Didit

Didit és una infraestructura per a la identitat i el frau: una API que abasta el cicle de vida Autenticar → Verificar → Monitoritzar, amb preus públics de pagament per ús i sense mínims.

Per al pas de verificació humana, la Verificació d'Usuaris (KYC) cobreix la Verificació d'ID per 0,15 $, la Vivacitat Passiva per 0,10 $, la Coincidència Facial 1:1 per 0,05 $ i l'Anàlisi d'IP per 0,03 $ — o el paquet KYC complet per 0,33 $, amb 500 comprovacions gratuïtes al mes per a les funcions principals. L'Estimació d'Edat (0,10 $) és important per als productes d'IA de consum que s'enfronten a les normes de garantia d'edat, i el KYC Reutilitzable és gratuït, de manera que un usuari verificat una vegada no és tornat a verificar per cada agent que autoritza.

Per al pas de risc continu, la Detecció AML costa 0,20 $ per comprovació en més de 1.300 llistes, amb una monitorització contínua de 0,07 $ per usuari a l'any. La Monitorització de Transaccions costa 0,02 $ per transacció amb un motor de regles fiat i cripto, a més de gestió de casos i flux de treball SAR; la Detecció de Carteres / KYT s'hi troba dins per 0,15 $ per comprovació. La Verificació d'Empreses (KYB) comença en 2,00 $ per empresa amb extracció d'UBO, per a agents que actuen en nom d'empreses en lloc de consumidors.

Per a la connexió, el Servidor MCP, l'Orquestrador de Fluxos de Treball i els SDK són gratuïts, cosa que significa que un marc d'agents pot cridar la verificació com una eina sense una negociació de llicència separada.

A sota: més de 220 països, més de 14.000 tipus de documents, més de 1.000 fonts de dades, més de 200 senyals de frau, inferència en menys de 2 segons i una integració de 5 minuts. Certificació SOC 2 Tipus 1 i Tipus 2 (Tipus 2 emès el 30 de juliol de 2026), ISO/IEC 27001 i iBeta Nivell 1 PAD per a les afirmacions de vivacitat. La verificació de Didit està formalment acreditada per un govern d'un estat membre de la UE —el Tresor, el Banc d'Espanya i el SEPBLAC d'Espanya— com a més segura que la verificació presencial. Més de 2.000 empreses la utilitzen en producció.

El resum honest

La verificació d'identitat no esdevé obligatòria per als LLM a causa d'una única regulació. Esdevé obligatòria a causa d'una convergència: els models van adquirir la capacitat d'actuar, les comprovacions d'identitat barates es van poder falsificar en el mateix moment, els reguladors van començar a preguntar qui va autoritzar l'acció, i els estàndards de delegació que s'estan redactant per respondre a aquesta pregunta es basen tots en un humà l'existència del qual algú ha de provar.

La seguretat del contingut va ser el problema del 2024. La responsabilitat és el del 2026, i la responsabilitat es diu identitat.

Preguntes freqüents

Què significa realment "coneix el teu agent"?

És l'extensió de la diligència deguda del client al programari autònom que actua per a un client. A la pràctica, significa establir quin humà o empresa verificat autoritza un agent donat, quin abast té i mantenir un registre auditable, en lloc de tractar l'agent com un client d'API anònim. Els funcionaris de l'FCA del Regne Unit han instat públicament els bancs a preparar-se per a aquestes comprovacions exactament.

Per què OAuth no és suficient per a l'autenticació d'agents d'IA?

OAuth i els esborranys d'autorització d'agents que l'estenen poden provar que l'abast es va delegar en una cadena i poden reduir aquest abast a cada enllaç. El que no poden fer és establir que la persona a l'arrel de la cadena és real, major d'edat i no sancionada. La delegació i la identitat són problemes diferents; l'autorització d'agents assumeix un principal verificat en lloc de produir-ne un.

Com canvien els deepfakes la verificació d'identitat per als productes d'IA?

Traslladen l'atac del document al propi pipeline de verificació. L'informe d'Entrust de 2026 vincula els deepfakes a un de cada cinc intents de frau biomètric i registra un augment del 40% interanual en els atacs d'injecció, on el vídeo sintètic s'introdueix directament al flux en lloc de mostrar-se a una càmera. La vivacitat passiva amb detecció d'injecció, en lloc d'una comparació de selfies, és el control rellevant.

Quins són els terminis concrets de compliment?

Les obligacions de transparència de l'article 50 de la Llei d'IA de la UE s'apliquen des del 2 d'agost de 2026, amb les directrius de la Comissió adoptades el 20 de juliol de 2026 i multes de fins a 15 milions d'euros o el 3% de la facturació anual mundial. Les empreses de serveis financers haurien de llegir-ho juntament amb les obligacions existents de l'AMLD6, MiCA i DORA, totes les quals ja requereixen una identificació fiable del client.

Un agent necessita la seva pròpia identitat verificada, o n'hi ha prou amb verificar l'humà?

Totes dues, per diferents raons. L'humà estableix la responsabilitat i satisfà les obligacions de diligència deguda. La credencial de l'agent estableix l'abast: quines accions pot realitzar aquest agent en particular, durant quant de temps. Verificar només l'humà us impedeix restringir o revocar un agent individual; emetre credencials d'agent sense un humà verificat us impedeix dir qui és el responsable.