Conozca a su Agente: Por Qué Toda Plataforma LLM Necesitará Verificación de Identidad (ES)

Durante dos años, la conversación sobre seguridad en torno a los grandes modelos de lenguaje (LLM) se centró en lo que decían. Jailbreaks, rechazos, guardarraíles, pruebas de equipo rojo para la salida. Esa conversación está ahora obsoleta, porque los modelos dejaron de ser generadores de texto y se convirtieron en actores. Poseen credenciales de API. Llaman a herramientas. Mueven dinero.

Una vez que un modelo puede actuar, la pregunta de seguridad interesante ya no es "¿qué dijo?" Es: ¿quién es responsable de lo que acaba de hacer? Esa pregunta no puede ser respondida con un filtro de contenido. Solo se puede responder con identidad.

Puntos Clave

• La agencia, no el lenguaje, es la vulnerabilidad. OWASP clasifica la Agencia Excesiva en su Top 10 para aplicaciones LLM, y publicó un Top 10 dedicado para Aplicaciones Agénticas en diciembre de 2025.
• La verificación humana está bajo ataque activo. El Informe de Fraude de Identidad de Entrust de 2026 vincula los deepfakes a uno de cada cinco intentos de fraude biométrico, con ataques de inyección que aumentaron un 40% interanual.
• Los reguladores ya están señalando la brecha. La FCA del Reino Unido está diciendo a los bancos que se preparen para las verificaciones de "conozca a su agente" a medida que las herramientas de IA comienzan a realizar pagos.
• Los plazos son reales. Las obligaciones de transparencia del Artículo 50 de la Ley de IA de la UE se aplican desde el 2 de agosto de 2026, con multas de hasta 15 millones de euros o el 3% de la facturación mundial.
• Los estándares están incompletos. Tres borradores separados de IETF compiten para definir la autorización de agente delegado, y cada uno de ellos termina en un principal humano que debe ser verificado por algo.

La agencia excesiva es la verdadera clase de vulnerabilidad

La entrada de Agencia Excesiva de OWASP describe el problema con precisión: a un sistema basado en LLM se le otorga la capacidad de llamar funciones o interactuar con otros sistemas, y la decisión sobre qué función invocar se delega con frecuencia al propio modelo, basándose en las indicaciones de entrada o en su propia salida previa. Los sistemas de agentes encadenan estas llamadas, alimentando cada resultado en la siguiente invocación.

La vulnerabilidad es lo que sucede cuando esa cadena ejecuta una acción dañina en respuesta a una entrada ambigua, inesperada o adversaria. El modelo no necesita ser "hackeado" en ningún sentido clásico. Solo necesita ser persuadido, y ha sido diseñado para ser persuadible.

Esto es lo suficientemente grave como para que el Proyecto de Seguridad GenAI de OWASP publicara un Top 10 separado para Aplicaciones Agénticas en diciembre de 2025, tratando los sistemas agénticos como una superficie de amenaza distinta en lugar de una nota a pie de página en la seguridad de LLM.

Observe lo que realmente requiere la mitigación de la agencia excesiva. Cada control recomendado (permisos mínimos necesarios, aprobación humana en el ciclo, acceso a herramientas con alcance limitado, registro de auditoría completo) presupone que usted sabe para qué principal está actuando el agente. Los permisos carecen de sentido sin una identidad a la que adjuntarlos. No se puede otorgar el privilegio mínimo a un actor anónimo.

Los datos de fraude: el control humano es lo que está siendo atacado

La respuesta obvia es verificar al humano en el punto de autorización. Los atacantes lo saben, por lo que el paso de verificación en sí mismo es ahora el objetivo.

El Informe de Fraude de Identidad de Entrust de 2026 encontró que los deepfakes están vinculados a uno de cada cinco intentos de fraude biométrico, con ataques de inyección —alimentando video sintético directamente en el flujo de verificación, eludiendo completamente la cámara— aumentando un 40% interanual.

El Informe de Fraude de Identidad 2025-2026 de Sumsub, basado en más de cuatro millones de intentos de fraude, informa que si bien la tasa global de fraude se está estabilizando, los ataques sofisticados de alta calidad aumentaron un 180% entre 2024 y 2025. El patrón es un cambio de volumen a precisión: menos intentos, cada uno mucho más difícil de detectar.

La implicación estratégica es incómoda. La IA generativa simultáneamente (a) hace que los agentes sean capaces de acciones trascendentales, y (b) hace que las verificaciones de identidad más baratas —una selfie, una foto de documento, una OTP— sean poco fiables. La verificación débil y la agencia autónoma son una mala combinación, y están llegando juntas.

Es por eso que la prueba de vida pasiva y la detección de ataques de inyección dejan de ser un "agradable tener" en el momento en que un agente puede gastar dinero en nombre de un usuario. El paso de verificación es ahora infraestructura adversaria, no un campo de formulario.

Los reguladores llegaron antes que los estándares

En junio de 2026, funcionarios de alto nivel de la Autoridad de Conducta Financiera (FCA) del Reino Unido dijeron a The Banker que los bancos deberían comenzar a prepararse para una nueva era de verificaciones de "conozca a su agente". Su razonamiento es que el comercio agéntico —IA que compra, realiza transacciones y gestiona cuentas para los usuarios— obliga a los bancos a repensar cómo establecen quién está al otro lado de una transacción.

Ese marco se ha extendido rápidamente. Los comentarios de la industria en American Banker señalan lo mismo desde el lado del cumplimiento: hay una nueva entidad accediendo a los sistemas bancarios, verificando saldos y transfiriendo fondos, y no es una persona.

Mientras tanto, las fechas límite de cumplimiento estrictas ya están vigentes. A partir del 2 de agosto de 2026, las obligaciones de transparencia del Artículo 50 de la Ley de IA de la UE se aplican a los proveedores e implementadores de ciertos sistemas de IA, con las directrices de la Comisión Europea adoptadas el 20 de julio de 2026. El incumplimiento puede dar lugar a multas de hasta 15 millones de euros o el 3% de la facturación anual mundial, lo que sea mayor, y la regulación afecta a cualquier proveedor que introduzca IA en el mercado de la UE o cuyas salidas se utilicen allí (Cooley).

Si a esto le añadimos las obligaciones que ya existían —la diligencia debida del cliente de AMLD6, MiCA para los servicios de criptoactivos, la resiliencia operativa de DORA para las entidades financieras, GDPR para los propios datos de identidad—, una empresa regulada que despliega agentes no está esperando un futuro reglamento. Ya está inmersa en cuatro.

La brecha de estándares, y por qué siempre recae en un humano verificado

La capa de protocolo está visiblemente inestable. Hay al menos tres borradores activos del IETF que abordan la autorización de agentes delegados desde diferentes direcciones:

Borrador	Enfoque
Perfil de Autorización de Agente (AAP) para OAuth 2.0	Extiende OAuth 2.0 y JWT con declaraciones estructuradas para que los sistemas puedan razonar sobre la identidad del agente, el contexto de la tarea y las restricciones operativas.
Perfil de OAuth para la Autorización de Agente de IA Delegado	Define tipos de concesión para la delegación a un agente que actúa en nombre de un usuario.
Encabezado de Delegación de Agente	Transporta una cadena de enlaces de delegación atenuada a través de dominios administrativos; cada enlace reduce el alcance y acorta la caducidad, y un verificador comprueba cada enlace.

Estos borradores discrepan sobre el mecanismo. Coinciden en la forma: una cadena de delegación, donde cada eslabón es más estrecho que su padre, y la cadena es tan fiable como su raíz.

Esa raíz es un humano. Una cadena de delegación atenuada prueba que a un agente se le concedió un alcance por alguien, pero no dice nada sobre si ese alguien es real, sancionado, mayor de edad o la misma persona que abrió la cuenta. La criptografía puede probar que la delegación ocurrió. No puede probar que el delegador existe. Ese es un problema de verificación de identidad, y ningún perfil de OAuth lo resolverá.

Cómo se ve esto arquitectónicamente

El patrón práctico que separa las dos preocupaciones:

1. Verifique al humano una vez, correctamente. Verificación de documentos, prueba de vida pasiva y coincidencia facial al incorporar, con detección de ataques de inyección, porque este es el paso al que apuntan los atacantes.
2. Vincule la credencial del agente a esa identidad verificada. El token del agente hace referencia a un principal verificado en lugar de una ID de cuenta simple, para que se pueda razonar sobre el alcance.
3. Examine al principal continuamente, no una vez. El estado de sanciones y PEP cambia después de la incorporación. Un agente autorizado en enero puede estar actuando para una persona sancionada en junio.
4. Vuelva a verificar según el riesgo, no según el cronograma. Aumente la autenticación biométrica cuando el agente cruce un umbral de valor o cambie su comportamiento, en lugar de volver a ejecutar un KYC completo anualmente.
5. Registre toda la cadena. Identidad humana, credencial de agente, acción y decisión, porque el Artículo 50 y AMLD6 le pedirán eventualmente que reconstruya quién autorizó qué.

El punto de diseño importante es que los pasos 1 y 3 son infraestructura de identidad ordinaria. El trabajo genuinamente nuevo es el paso 2, y solo es factible si el paso 1 produjo algo que valga la pena vincular.

Cómo encaja Didit

Didit es infraestructura para la identidad y el fraude: una API a través del ciclo de vida Autenticar → Verificar → Monitorear, con precios públicos de pago por uso y sin mínimos.

Para el paso de verificación humana, la Verificación de Usuario (KYC) cubre la Verificación de Identidad a $0.15, Prueba de Vida Pasiva a $0.10, Coincidencia Facial 1:1 a $0.05 y Análisis de IP a $0.03 — o el paquete KYC completo a $0.33, con 500 verificaciones gratuitas al mes en las funciones principales. La Estimación de Edad ($0.10) es importante para los productos de IA de consumo que enfrentan reglas de verificación de edad, y el KYC Reutilizable es gratuito, por lo que un usuario verificado una vez no es verificado nuevamente por cada agente que autoriza.

Para el paso de riesgo continuo, el Monitoreo AML cuesta $0.20 por verificación en más de 1,300 listas, con monitoreo continuo a $0.07 por usuario por año. El Monitoreo de Transacciones cuesta $0.02 por transacción con un motor de reglas para fiat y cripto, además de gestión de casos y flujo de trabajo SAR; la Detección de Billeteras / KYT se incluye a $0.15 por verificación. La Verificación de Negocios (KYB) comienza en $2.00 por negocio con extracción de UBO, para agentes que actúan en nombre de empresas en lugar de consumidores.

Para la conexión, el Servidor MCP, el Orquestador de Flujos de Trabajo y los SDK son gratuitos, lo que significa que un marco de agente puede llamar a la verificación como una herramienta sin una negociación de licencia separada.

Por debajo: más de 220 países, más de 14,000 tipos de documentos, más de 1,000 fuentes de datos, más de 200 señales de fraude, inferencia en menos de 2 segundos y una integración en 5 minutos. Certificación SOC 2 Tipo 1 y Tipo 2 (Tipo 2 emitido el 30 de julio de 2026), ISO/IEC 27001 e iBeta Nivel 1 PAD para las afirmaciones de vivacidad. La verificación de Didit está formalmente acreditada por un gobierno de un estado miembro de la UE —el Tesoro, el Banco de España y el SEPBLAC de España— como más segura que la verificación en persona. Más de 2,000 empresas la utilizan en producción.

El resumen honesto

La verificación de identidad no se está volviendo obligatoria para los LLM debido a una única regulación. Se está volviendo obligatoria debido a una convergencia: los modelos adquirieron la capacidad de actuar, las verificaciones de identidad baratas se volvieron falsificables en el mismo momento, los reguladores comenzaron a preguntar quién autorizó la acción, y los estándares de delegación que se están redactando para responder a esa pregunta se basan en un humano cuya existencia alguien tiene que probar.

La seguridad del contenido fue el problema de 2024. La responsabilidad es el de 2026, y la responsabilidad se escribe con identidad.

Preguntas Frecuentes

¿Qué significa realmente "conozca a su agente"?

Es la extensión de la diligencia debida del cliente al software autónomo que actúa en nombre de un cliente. En la práctica, significa establecer qué humano o negocio verificado autoriza a un agente dado, qué alcance tiene y mantener un registro auditable, en lugar de tratar al agente como un cliente API anónimo. Funcionarios de la FCA del Reino Unido han instado públicamente a los bancos a prepararse para estas verificaciones.

¿Por qué OAuth no es suficiente para la autenticación de agentes de IA?

OAuth y los borradores de autorización de agentes que lo extienden pueden probar que el alcance fue delegado a lo largo de una cadena, y pueden restringir ese alcance en cada eslabón. Lo que no pueden hacer es establecer que la persona en la raíz de la cadena es real, mayor de edad y no está sancionada. La delegación y la identidad son problemas diferentes; la autorización de agente asume un principal verificado en lugar de producir uno.

¿Cómo cambian los deepfakes la verificación de identidad para los productos de IA?

Mueven el ataque del documento a la propia canalización de verificación. El informe de Entrust de 2026 vincula los deepfakes a uno de cada cinco intentos de fraude biométrico y registra un aumento del 40% interanual en los ataques de inyección, donde el video sintético se introduce directamente en el flujo en lugar de mostrarse a una cámara. La prueba de vida pasiva con detección de inyección, en lugar de una comparación de selfies, es el control relevante.

¿Cuáles son los plazos de cumplimiento concretos?

Las obligaciones de transparencia del Artículo 50 de la Ley de IA de la UE se aplican desde el 2 de agosto de 2026, con las directrices de la Comisión adoptadas el 20 de julio de 2026 y multas de hasta 15 millones de euros o el 3% de la facturación anual mundial. Las empresas de servicios financieros deben leer esto junto con las obligaciones existentes de AMLD6, MiCA y DORA, todas las cuales ya exigen una identificación fiable del cliente.

¿Necesita un agente su propia identidad verificada, o es suficiente con verificar al humano?

Ambas, por diferentes razones. El humano establece la responsabilidad y cumple con las obligaciones de diligencia debida. La credencial del agente establece el alcance: qué acciones puede tomar este agente en particular, por cuánto tiempo. Verificar solo al humano le impide restringir o revocar un agente individual; emitir credenciales de agente sin un humano verificado le impide decir quién es el responsable.