Autor: Hualin Wuwang
Editor: Jingyu
La era de los Agentes que "consumen" en nombre de los usuarios finalmente ha llegado.
El 13 de noviembre de 2026, hora de EE. UU., dos empresas celebraron dos eventos de lanzamiento el mismo día. Por un lado, la empresa de agentes conversacionales empresariales Sierra se asoció con Meta para lanzar oficialmente el protocolo de agente personal Poppy v1.0, resolviendo el problema de cómo los asistentes "entran por la puerta"; por otro lado, OpenAI lanzó ChatGPT Wallet para el asistente personal dots, resolviendo el problema de cómo los asistentes "pagan".
Abrir la puerta y pagar el mismo día ya es de por sí bastante intrigante. Lo que es más digno de mención es el mismo lote de nombres que está detrás de ambos conjuntos de soluciones. Visa y Mastercard aparecen en ambas listas al mismo tiempo, mientras que empresas que controlan la infraestructura de comercio electrónico y pagos, como Shopify y Stripe, se encuentran entre los socios principales de Poppy.
La próxima competencia entre Agentes puede parecer superficialmente una lucha de gigantes por la entrada, pero la línea oculta debajo es una ocupación temprana de posiciones en torno a los canales comerciales.
Protocolo de Agente Personal, PPP
Sierra y Meta lanzan conjuntamente el protocolo de agente personal Poppy v1.0 | Fuente de la imagen: blog oficial de Sierra
En el pasado, los asistentes personales que accedían a sitios web empresariales solo podían ser como visitantes invisibles. Los comerciantes no podían ver quién venía, y estaban aún menos dispuestos a entregarles operaciones sensibles como consultar pedidos, cambiar direcciones, reservar vuelos o preaprobaciones financieras.
El núcleo de lo quePoppy de Meta y Sierra pretende resolver es la confianza. Permite a las empresas, al recibir una solicitud, utilizar medios criptográficos para confirmar tres cosas: qué asistente está llamando a la puerta, a qué usuario representa y exactamente cuánto permiso tiene.
El núcleo del protocolo Poppy es la "placa de la puerta", los "cimientos" y la "autorización bidireccional".
"Placa de la puerta". Las empresas que adopten Poppy colocarán un archivo de configuración en la ruta estándar del sitio web /.well-known/poppy. Puede considerarse como una guía para visitantes colocada en la entrada de la tienda, que indica claramente qué puntos de comunicación están abiertos, cómo iniciar sesión y qué operaciones están permitidas. Cuando un asistente llega de visita, ya no tiene que adivinar cómo hacer clic en los botones de la página web; al consultar primero la placa de la puerta, puede actuar de acuerdo con las reglas.
"Cimientos". Poppy no derriba los métodos de comunicación existentes de Internet. Está construido directamente sobre la autorización OAuth, la transmisión cifrada HTTPS, OpenAPI y el Protocolo de Contexto de Modelo. Si un usuario solo está consultando precios de productos, el asistente puede conversar como un visitante anónimo; una vez que se involucran operaciones de cuenta, debe pasar por un inicio de sesión autorizado para que la empresa pueda verificar la identidad.
"Autorización bidireccional". Del lado del usuario, los usuarios pueden decidir si otorgan al asistente permiso de solo lectura o permiten que modifique información y realice transacciones; del lado de la empresa, las empresas definen hasta dónde pueden llegar los asistentes externos en su propio terreno. Solo cuando ambas partes asienten se considera establecida una interacción.
A juzgar por la información del lanzamiento, el impulso conjunto de Sierra y Meta por este protocolo puede decirse que es muy complementario. Fundada por el ex codirector ejecutivo de Salesforce Bret Taylor y el ex ejecutivo de Google Clay Bavor, el negocio principal de Sierra es ayudar a las empresas a construir sus propios agentes de atención al cliente, situándose naturalmente en el "lado receptor"; el asistente personal Muse de Meta es un típico "lado visitante", que necesita llamar a las puertas de innumerables sitios web. El lado receptor y el lado visitante aportaron cada uno la mitad del esfuerzo, y solo entonces este estándar pudo aterrizar. Actualmente, cuando Muse visita sitios participantes, ya busca e invoca por defecto primero el protocolo Poppy.
Lo que más temen los protocolos abiertos es el problema del arranque en frío de qué fue primero, si el huevo o la gallina. Lo que realmente ayudó a Poppy a cruzar el umbral esta vez fue el gigante de infraestructura de comercio electrónico Shopify.
Al mismo tiempo que se lanzó el protocolo, Shopify habilitó y generó automáticamente archivos de descubrimiento de Poppy para cada comerciante en más de 175 países de todo el mundo, sin requerir ninguna configuración manual por parte de los comerciantes. Además, entre más de 100 socios de diseño había representantes de diversas industrias como Delta Air Lines, 1Password, Okta y Cloudflare, por lo que este sistema de control de acceso ya se había extendido a una cobertura considerable desde el primer día.
Un agente que no toca efectivo
Resuelto el problema de entrar por la puerta, el siguiente obstáculo es pagar.
Cuando se trata de dejar que un agente abra la cartera de uno, la reacción instintiva de la mayoría de las personas es de resistencia. El punto de partida del diseño de ChatGPT Wallet de OpenAI es muy claro: permite que el agente lleve una transacción hasta su finalización, pero de principio a fin nunca toca información real de fondos.
En el proceso real de compra, los usuarios pueden hacer que su dot busque productos, compare precios, añada artículos al carrito y prepare la página de pago. Pero en cuanto llega al paso de pago, dot debe detenerse y devolver la decisión al humano. Después de que el usuario verifique personalmente la lista de productos, el importe total y la tarjeta bancaria seleccionada, la autorización debe completarse mediante métodos biométricos como el reconocimiento facial o el escaneo de huellas dactilares antes de liberar la transacción.
El asistente personal de OpenAI dot (Rufus) inicia la confirmación de pago "Revisar compra" en la conversación | Fuente de la imagen: OpenAI
El diseño de seguridad más crítico está oculto en segundo plano. Ya sea el dot haciendo el trabajo de campo o el comerciante recibiendo el dinero, a lo largo de toda la transacción nunca ven tu número de tarjeta de crédito real. Después de que el usuario autoriza, el socio de la red de tarjetas genera una credencial de pago de un solo uso que contiene un número de tarjeta temporal, un código de seguridad y una fecha de caducidad. El comerciante solo recibe esta cadena de información temporal; tu número de tarjeta real nunca aparece.
Para hacer realidad este mecanismo, OpenAI incorporó a American Express, Mastercard y Visa para el desarrollo conjunto, preservando plenamente los puntos, beneficios y la protección contra contracargos originales de las tarjetas de crédito. OpenAI también trazó específicamente una línea en el lanzamiento,enfatizando que ChatGPT Wallet no es en absoluto una cartera de criptomonedas, ni utiliza pagos con blockchain o stablecoins, y funciona completamente sobre la infraestructura tradicional de banca fiduciaria y redes de tarjetas.
A juzgar por la información pública, los motivos comerciales de todas las partes son claros. Para OpenAI, si un asistente personal solo puede dar sugerencias y lanzar enlaces, permanecerá para siempre en la etapa de guía de compras; solo manteniendo el bucle de pago dentro del ecosistema conversacional pueden los dots pasar de asesores a cerradores de tratos. Para las redes de tarjetas tradicionales, una vez que los agentes se conviertan en una nueva entrada de consumo, nadie quiere ver el tráfico de transacciones cortado por nuevas redes de pago. Mediante esta cooperación, las tres principales redes de tarjetas conectaron naturalmente el nuevo canal de vuelta a sus propias redes de compensación.
Aun así, el primer paso de OpenAI sigue siendo bastante contenido.
ChatGPT Wallet está disponible inicialmente solo en lanzamiento limitado para suscriptores de ChatGPT Pro en Estados Unidos mayores de 18 años, y admite tarjetas bancarias elegibles emitidas en EE. UU., incluidas las emitidas por Amex, Visa, Mastercard y Chase. A juzgar por la información pública, comenzar con los usuarios de pago es muy probablemente un intento de proceder con mayor estabilidad en el control de riesgos.
Cuando los gigantes unen fuerzas
Poner estas dos noticias una al lado de la otra sobre la misma mesa revela un panorama cruzado bastante interesante.
Entre el primer lote de socios principales de Poppy, Shopify, Stripe, PayPal, Visa y Mastercard están todos en la lista; pasando a ChatGPT Wallet, los desarrolladores que lo respaldan son Amex, Visa y Mastercard. Los únicos que realmente abarcan ambos lados son Visa y Mastercard, que están tanto en la lista de Poppy como son socios de desarrollo de Wallet.
Un detalle aún más intrigante es que el propio nombre de OpenAI también aparece de forma destacada entre los más de 100 socios de diseño de Poppy.
Entre el primer lote de más de 100 socios de diseño de Personal Agent Protocol, OpenAI, Visa y Mastercard están todos incluidos | Fuente de la imagen: Sierra
En el lado del consumidor del mercado, Muse de Meta y dots de OpenAI son los competidores más directos, ambos compitiendo desesperadamente por el primer punto de entrada que los usuarios abren cada día. Pero una vez que se trata de la capa de acceso empresarial, los dos gigantes se sientan en la misma mesa de conferencias, preparándose para compartir la misma tarjeta de acceso. La razón no es difícil de entender: a las aerolíneas o a los minoristas les resultaría muy difícil mantener un conjunto separado de interfaces incompatibles para cada proveedor de modelos. En el lado del consumidor, cada uno puede competir a su manera por los puntos de entrada, pero en el lado empresarial, deben construir conjuntamente el mismo pase.
También hay una señal en la ruta técnica. Las transacciones automatizadas entre agentes fueron vistas alguna vez por muchos como un escenario potencial para las stablecoins. Pero a juzgar por esta ronda de implementación, la infraestructura financiera y de comercio electrónico existente ha elegido la ruta gradual de "protocolos de autorización estándar más credenciales de tarjeta virtual de un solo uso", dejando temporalmente de lado las soluciones cripto. Conectarse primero a los rieles maduros de control de riesgos y compensación y poner las transacciones en funcionamiento es el camino con menos problemas para el sistema comercial tradicional.
Por supuesto, la información pública todavía deja un suspenso.
Poppy y ChatGPT Wallet aún no han declarado si ya están conectados. En el futuro, cuando el dot de un usuario entre en una tienda de Shopify que haya habilitado el protocolo Poppy, si puede completar sin problemas el handshake y luego pagar con Wallet aún está por verificarse más adelante.
La autonomía del agente se detiene antes del carrito de compras
Al observar juntos la autorización bidireccional de Poppy y la autenticación biométrica obligatoria de ChatGPT Wallet, la línea roja común que traza la industria se vuelve clara: Human in the loop.
Ya sea leer datos, modificar pedidos o deducir dinero realmente, la autonomía del asistente se detiene precisamente frente al carrito de compras. Puede comparar precios en toda la web por ti y rellenar los campos de pago, pero quien finalmente acciona el interruptor para confirmar debe seguir siendo el usuario.
Este diseño preserva la seguridad, pero también deja varias preguntas sin respuesta.
Por ejemplo, la zona gris de quién asume la responsabilidad de la transacción. Si el asistente malinterpreta tu intención al seleccionar productos, o es inducido a realizar un pedido por indicaciones maliciosas ocultas mientras navega por páginas web, incluso si finalmente escaneas tu rostro, si la protección existente contra contracargos del banco puede cubrir "los errores cometidos por el asistente" aún no se ha definido en la información pública.
La cobertura y el umbral para poder participar en transacciones del protocolo aún permanecen. Shopify ha traído consigo una enorme cantidad de comerciantes, pero ¿cuánto tiempo tardarán los innumerables sitios web de cola larga de internet en colgar el cartel de Poppy? Por otro lado, ChatGPT Wallet actualmente está abierto solo para suscriptores Pro en Estados Unidos, y cuánto tiempo tendrán que esperar otros mercados y los usuarios comunes sigue siendo desconocido.
Además, la autenticación biométrica obligatoria para cada transacción ciertamente maximiza la sensación de seguridad. Pero imagina que en el futuro estás acostumbrado a que tu asistente pida café y compre artículos de uso diario todos los días, y cada pequeña cosa requiere sacar el teléfono para escanear tu rostro una vez. La tranquilidad prometida por los agentes totalmente automatizados se convertiría, en cambio, en una nueva fricción operativa en escenarios de alta frecuencia.
En la etapa actual, cuando los asistentes aún no son perfectos y la confianza social aún no se ha establecido, dejar que las personas mantengan firmemente el poder final de"hacer clic para confirmar" puede ser el costo que la industria debe pagar para obtener un boleto de entrada, y también determina el ritmo de comercialización de los asistentes personales.
La próxima vez, cuando le pidas a un asistente de IA que cambie una dirección de entrega y pague por ella en el camino, finalmente ya no será rechazado en la puerta como un rastreador. Presenta su identidad conforme, entra en la tienda, entiende el letrero, llena el carrito de compras, luego se detiene en la página de pago, te entrega el teléfono y espera a que tu rostro se alinee con la cámara.
El escaneo facial de hoy es el último umbral antes de que las personas entreguen la confianza a los asistentes. Pero algún día, cuando todos estén acostumbrados a dejar que los programas hagan los mandados para el consumo diario, ¿se convertirá esta confirmación en una mera formalidad que la gente descarte con un clic casual? Justo como los acuerdos de autorización que todos los sitios web y citas te piden firmar: casi nadie los entiende realmente, ni está dispuesto a leerlos con atención.
