# El día en que tu agente puede gastar dinero MetaMask le acaba de dar una billetera a los agentes de IA — dejando que un bot opere en DeFi en tu nombre, más rápido de lo que tú podrías hacer clic. Es un hito real, y debería ponerte un poco nervioso, porque cada cosa tambaleante de los agentes deja de ser teórica en el momento en que uno tiene las llaves. Una respuesta equivocada la puedes arreglar. Una transferencia irreversible a un desconocido no. Lo interesante no es que los agentes ahora puedan gastar. Es la única idea de diseño que lo hace sobrevivible. - **Author:** Fedor Chishchin - **Published:** 2026-06-09 - **Tags:** security, agents - **Source:** https://fedorthinks.com/es/blog/the-day-your-agent-can-spend-money --- Esta semana MetaMask lanzó una [Agent Wallet](https://metamask.io/news/metamask-launches-agent-wallet-giving-ai-agents-full-defi-access-with-default-security-on-every-transaction): una billetera construida para agentes de IA, que deja a un bot observar mercados, generar operaciones y ejecutarlas a través de DeFi — swaps, perpetuos, mercados de predicción — más rápido que un humano frente a un teclado. Ya está activa en diez cadenas, y la disponibilidad general llega este verano. Los agentes ahora pueden tener dinero y gastarlo en tu nombre. Es un hito genuino, y quiero tomarlo en serio en ambas direcciones: es útil, y es el momento en que mucho del riesgo difuso de los agentes se vuelve concreto. Porque todo lo que he escrito sobre que los agentes son poco confiables, demasiado confiados y difíciles de supervisar trataba, hasta ahora, sobre todo de obtener una _respuesta equivocada_. La billetera cambia lo que está en juego. Una respuesta equivocada la puedes corregir. Un pago irreversible a un desconocido no. ## Cripto es el peor lugar posible para equivocarse Si quisieras diseñar el entorno de mayor riesgo para que un agente autónomo cometa un error, construirías algo muy parecido a las finanzas on-chain. Las transacciones son **irreversibles** — no hay contracargo, ni línea de soporte, ni deshacer. Las contrapartes son **seudónimas**, así que los fondos robados son difíciles de rastrear y aún más difíciles de recuperar. Funciona **24/7** sin horario laboral que frene nada. Y es **adversarial por defecto** — una multitud global tanteando activamente cualquier cosa que pueda vaciar. Ahora pon a un agente en ese entorno con acceso a una llave privada, y los modos de falla sobre los que sigo escribiendo adquieren un valor en dólares. El [problema de la inyección de prompts](/blog/tools-on-the-internet-no-lock) ya no es una cadena de texto filtrada; es una transferencia. De hecho ya ocurrió: en mayo, una cadena de inyección de prompts supuestamente [escondió instrucciones en código Morse dentro de una publicación en redes sociales y forzó a una IA a decodificarlas](https://cryptodaily.co.uk/2026/06/ai-agents-defi-automated-wallets-smart-contract-risk), empujando a una billetera automatizada a mover fondos. Como lo planteó sin rodeos un análisis: si un agente controla una llave con acceso ilimitado, una sola inyección de prompts, un bug o una llamada de herramienta maliciosa [podría vaciar los fondos](https://cryptodaily.co.uk/2026/06/ai-agents-defi-automated-wallets-smart-contract-risk). La capacidad que todos querían es también la capacidad que un atacante más quiere que le des a tu agente. ## La única idea que lo hace sobrevivible He aquí por qué el lanzamiento de MetaMask vale la pena estudiarlo en lugar de solo temerlo: el diseño codifica la respuesta correcta. La premisa entera de la billetera es que el agente puede actuar de forma autónoma, pero solo [dentro de reglas que el usuario define](https://metamask.io/agent-wallet). Cada transacción soportada pasa por un pipeline de seguridad obligatorio, y cualquier cosa que se marque o que quede _fuera de la política_ — por encima de un límite de gasto diario, dirigida a un protocolo que no autorizaste en tu lista — se detiene y requiere la aprobación de un humano antes de poder ejecutarse. Esa frase — _autonomía acotada_ — es toda la lección, y se generaliza mucho más allá de cripto. La elección nunca fue «agente totalmente autónomo» versus «sin agente». Es «autónomo dentro de límites duros que fijas de antemano». El agente puede ser rápido e independiente en las cosas pequeñas, reversibles y dentro de la política, y en el momento en que estira la mano hacia algo grande o inusual, un muro lo detiene y un humano decide. Las llaves ilimitadas son el error. Una correa de longitud definida es el diseño. ## Qué llevarte de esto aunque nunca toques cripto La mayoría de ustedes no está conectando un agente a una billetera DeFi. Pero cualquier cosa que un agente pueda hacer que tú _no puedas deshacer_ — enviar el correo, borrar los registros, desplegar a producción, emitir el reembolso, hacer el pedido — es el mismo problema con ropa distinta. La plantilla que envió MetaMask es la plantilla para todo eso: - **Acota el radio de impacto antes de otorgar la capacidad.** Decide los límites — montos, destinos en lista de permitidos, topes de frecuencia — _primero_, y conviértelos en restricciones duras que el agente no pueda rebatir. Capacidad sin presupuesto es un arma cargada. - **Haz que las acciones irreversibles se detengan ante un humano.** Reversible, pequeño, rutinario: deja que el agente corra. Irreversible o fuera de patrón: se pausa y espera un sí. La [regla de confirmar antes de lo irreversible](/blog/agents-that-work-while-you-sleep) es la línea entre la automatización y una historia de la que te arrepentirás. - **Asume que la entrada es hostil.** Un agente que actúa en la internet abierta será blanco — a través de sus herramientas, sus datos, sus prompts. Filtra lo que entra, y nunca dejes que una entrada no confiable fluya directo hacia una acción con consecuencias. - **Decide quién es responsable antes de la pérdida, no después.** Cuando el agente mueve el dinero equivocado, «[lo hizo el agente](/blog/the-ai-did-it)» no es una respuesta. Un humano con nombre es dueño de la política y del resultado. ## En resumen Darles billeteras a los agentes es el punto donde la historia de los agentes de IA madura, porque es el punto donde equivocarse cuesta dinero que no puedes recuperar. MetaMask merece crédito por no enviar la versión ingenua — autonomía ilimitada, llaves completas — y en cambio construir lo aburrido y correcto: un agente libre de actuar dentro de una cerca que tú controlas, y obligado a detenerse en su borde. Así que cuando sientas el tirón de dejar que un agente _haga_ algo real e irreversible, toma prestado el patrón. No preguntes «puede mi agente hacer esto». Pregunta «cuál es el mayor daño que puede hacer antes de que un humano o una regla dura lo detenga» — y diseña ese número a la baja hasta algo con lo que pudieras sobrevivir en tu peor día. Los agentes en los que se confiará con dinero real, y consecuencias reales, no serán los más inteligentes. Serán los que estén con la correa más corta.