FIDO Alliance, Google y Mastercard crean un estándar para los agentes de IA en las compras online

Los agentes de IA que compran en tu nombre están dejando atrás la fase de concepto. La pregunta ya no es «si lo harán», sino «con qué seguridad», y es la que han decidido abordar FIDO Alliance, Google y Mastercard.

Por qué se ha vuelto urgente

Las compras autónomas ya no son un experimento. OpenAI lanzó Operator, un agente que controla el navegador en tiempo real, busca productos, elige los artículos adecuados y pulsa «Pagar» sin intervención humana. Google presentó Agent Mode en Chrome, Anthropic prueba Computer Use y decenas de startups integran funciones similares en buscadores y navegadores.

El problema es que no existe un estándar único para autenticar a los agentes de IA en las transacciones. Cada empresa resuelve el asunto por su cuenta, o lo ignora por completo. Mientras las compras mediante agentes sigan siendo una función de nicho, los riesgos son manejables. Cuando llegue a todos los smartphones, el precio de la falta de coordinación lo pagarán los usuarios.

Sin un protocolo común se abren brechas evidentes:

• El agente hace compras sin el consentimiento explícito del usuario
• Un atacante intercepta la sesión del agente y realiza transacciones no autorizadas
• El agente llega a una tienda de phishing y entrega los datos de la tarjeta
• Varios agentes competidores duplican el mismo pedido
• La ausencia de límites de presupuesto provoca gastos imprevistos

Quién ha asumido la tarea

FIDO Alliance es una organización sin ánimo de lucro que creó los estándares de passkey y autenticación sin contraseña, hoy compatibles con Apple, Google, Microsoft y la mayoría de los grandes bancos. Ha anunciado una alianza con Google y Mastercard. El objetivo es desarrollar un estándar abierto para autenticar a los agentes de IA al realizar pagos: un protocolo que una la identidad del agente, el consentimiento del usuario y la infraestructura de pagos en una única cadena segura.

No es la primera vez que FIDO Alliance aborda una tarea de esta envergadura. Hace unos años, los códigos por SMS parecían una parte inseparable de la banca online. Hoy las passkeys los desplazan en todas las grandes plataformas. Fue la alianza con Apple, Google y Microsoft la que convirtió las passkeys de un proyecto académico en un cambio real del mercado. Sin actores de infraestructura de ese nivel, cualquier estándar se queda en una recomendación sobre el papel.

Google controla Chrome y Android, las plataformas por las que pasa la mayoría de las compras online del mundo. Mastercard gestiona una de las mayores redes de pago, que procesa miles de millones de operaciones al año. Juntas cubren toda la cadena: autenticación → navegador → transacción.

Cómo podría funcionar la protección

Las especificaciones concretas siguen en desarrollo, pero la lógica de la arquitectura se deduce de los estándares anteriores de FIDO Alliance: un protocolo abierto, disponible para cualquier desarrollador, y no una solución propietaria de una sola corporación. Posibles elementos clave:

• Tokens delegados: el agente recibe una clave limitada de un solo uso, no acceso permanente a los datos de la tarjeta
• Verificación contextual: el sistema de pago confirma que la operación la inicia un agente autorizado dentro de parámetros acordados de antemano
• Límites explícitos: el usuario fija un presupuesto, las tiendas permitidas y las categorías de productos
• Registro de auditoría: cada acción del agente queda registrada y disponible para su revisión

Si las grandes plataformas y redes de pago adoptan el estándar, los desarrolladores de agentes tendrán que darle soporte. Así funciona la estandarización de infraestructuras: las reglas las pone quien controla la infraestructura.

Qué significa

La carrera por los agentes de IA autónomos va a toda velocidad, y la industria por fin reconoce que desplegar rápido sin estándares de seguridad crea riesgos reales para los usuarios. La iniciativa de FIDO Alliance, Google y Mastercard intenta fijar las reglas antes de que las transacciones mediante agentes se vuelvan masivas y costosas.

Si los estándares cuajan, encargar a un agente la compra de alimentos o de un billete de avión podría resultar más seguro que introducir a mano los datos de la tarjeta en un sitio desconocido.