Un cliente le pide a su agente personal de IA que consulte un pedido o haga una reserva. El agente llega al sitio de la empresa y tropieza con un captcha. Parece un problema de navegación, pero revela algo más profundo: no existe un contrato confiable para actuar por encargo de otra persona.
Ya hay casos documentados. TechCrunch informó el 6 de octubre de 2026 que Amazon bloqueó a Muse, el agente de Meta, para comprar en su sitio. Walmart, en cambio, declaró que quería recibirlo, aunque algunos recorridos fallaban en sus verificaciones humanas. Son problemas diferentes: una restricción comercial deliberada y un posible falso positivo del sistema antibots.
El agente no debe heredar toda la sesión del cliente
Una sesión autenticada puede permitir consultar pedidos, editar direcciones, modificar datos de cuenta y gestionar pagos. Para verificar una entrega, el agente no necesita esos privilegios. La delegación exige su propio modelo de autorización: compartir la contraseña o la cookie del navegador no es una arquitectura de permisos.
Conviene empezar por un inventario: consulta pública de productos, lectura autenticada de pedidos, cambios reversibles en el carrito y operaciones delicadas como pagar, cancelar o cambiar información personal. Cada acción debe tener validación de datos, responsable de la regla, alcance mínimo de permiso, límites de uso y respuesta de error.
Identidad y consentimiento son problemas distintos
Identificar al software que llama no demuestra que el cliente autorizó un reembolso. Una instrucción escrita al agente tampoco constituye permiso en el servidor. La API debe comprobar en cada solicitud quién actúa, en nombre de quién, sobre qué recurso, con qué operación y bajo qué autorización vigente.
Para escrituras sensibles, exige confirmación reciente y explícita. Las claves de idempotencia ayudan a evitar que un reintento genere dos reservas o cobros. Registra la operación, el resultado y la referencia de consentimiento sin conservar datos personales innecesarios. Incluye revocación y transferencia a un operador humano sin perder el contexto.
Poppy propone una ruta, no una solución universal
El 9 de octubre Sierra publicó el borrador de Personal Agent Protocol, conocido como Poppy. Plantea descubrimiento en /.well-known/poppy.json, identificación del agente, inicio de sesión del cliente mediante OAuth y sesiones con permisos limitados que pueden operar sobre sitios, APIs y agentes empresariales. Utiliza tecnologías existentes como HTTPS, JWT, OpenAPI y MCP. La empresa sigue decidiendo qué operaciones expone.
Es una propuesta relevante de interoperabilidad, no evidencia de adopción universal. Antes de incorporarla como dependencia de producción, el equipo debe comprobar compatibilidad y comportamiento con las plataformas que realmente usan sus clientes.
Bloquear, asociarse o exponer una interfaz propia
Bloquear: tiene sentido para tráfico desconocido o sistemas sensibles sin un mecanismo de autorización confiable. La restricción debe ser clara y existir una alternativa humana.
Integrarse con un socio: acelera el acceso mediante un canal autorizado, pero obliga a revisar identidad, condiciones comerciales, visibilidad de los datos y auditoría.
Exponer una API o agente propio: permite gobernar permisos y flujos diferenciados, pero requiere versionado, observabilidad, límites de abuso, soporte y mantenimiento.
Seis pruebas antes de salir a producción
- Comprobar que un agente anónimo solo consulta información pública.
- Verificar que un agente autenticado no supera sus permisos.
- Rechazar credenciales expiradas, revocadas o reutilizadas indebidamente.
- Solicitar confirmación para pagos, cancelaciones y cambios sensibles.
- Simular reintentos, fallas de integraciones, límites de uso y transferencia humana.
- Validar que la auditoría reconstruye lo ocurrido sin exponer secretos.
En Blaxline la pregunta no es cómo abrir el sitio a todos los bots, sino qué tareas de clientes vale la pena habilitar, bajo qué contrato técnico y con qué capacidad de operación a largo plazo. Un sistema bien diseñado completa la tarea autorizada y rechaza con seguridad la que no lo está.
Para entender el impacto sobre el canal comercial, consulta el análisis de Pimentone. También abordamos las implicaciones de Shop MCP para los sistemas comerciales.
Preguntas frecuentes
¿Conviene permitir todos los agentes de IA?
No. Las consultas públicas, el acceso autenticado y las acciones sensibles necesitan controles diferentes. La automatización desconocida o abusiva puede bloquearse.
¿Poppy ya es un estándar universal?
No. Sierra publicó un borrador en octubre de 2026; cada integración debe verificar disponibilidad y compatibilidad.
¿OAuth es suficiente para proteger las acciones?
No. Facilita autorización delegada, pero el sistema debe aplicar permisos, reglas, confirmaciones, revocación y auditoría.
FUENTES Y REFERENCIAS
Para profundizar
El equipo editorial de Blaxline reúne estrategas, diseñadores e ingenieros para analizar cómo la tecnología puede hacer que el trabajo importante de un negocio sea más claro, conectado y fácil de evolucionar.