Autor: Huá Lín Wǔ Wáng
Editado por: Jingyu
La era en la que el agente consume en nombre del usuario finalmente ha llegado.
El 13 de noviembre de 2026, hora estadounidense, dos empresas lanzaron dos eventos el mismo día. Por un lado, la empresa de agentes conversacionales empresariales Sierra, en asociación con Meta, lanzó oficialmente el protocolo personal Poppy v1.0, resolviendo el problema de cómo los asistentes «entran»; por otro lado, OpenAI lanzó el ChatGPT Wallet para asistentes personales dots, resolviendo el problema de cómo los asistentes «pagan».
Conectar la entrada y el pago el mismo día ya es suficientemente intrigante. Más digno de atención son los mismos nombres detrás de ambas propuestas. Visa y Mastercard aparecen simultáneamente en ambas listas, mientras que empresas como Shopify y Stripe, que gestionan la infraestructura de comercio electrónico y pagos, figuran entre los socios clave de Poppy.
La próxima competencia del agente, a primera vista, es una batalla entre gigantes por el acceso, pero la línea oculta subyacente es una posición anticipada en torno a los canales comerciales.
Protocolo de Agente Personal, PPP
Sierra y Meta lanzan conjuntamente el protocolo de agente personal Poppy v1.0｜Imagen cortesía del blog oficial de Sierra
Anteriormente, los asistentes personales solo podían acceder a sitios web empresariales como visitantes invisibles; los comerciantes no podían identificar quién era el visitante y no se atrevían a confiarle operaciones sensibles como consultar pedidos, cambiar direcciones, reservar vuelos o realizar preaprobaciones financieras.
Poppy, lanzado por Meta y Sierra, aborda fundamentalmente la confianza, permitiendo a las empresas, al recibir una solicitud, confirmar criptográficamente tres cosas: qué asistente está llamando, qué usuario representa y qué permisos tiene exactamente.
El núcleo del protocolo Poppy es la «puerta», la «base» y la «autorización bidireccional».
“Número de puerta”. Las empresas que se integran con Poppy colocan un archivo de configuración en la ruta estándar del sitio web /.well-known/poppy. Puedes imaginarlo como una guía para visitantes pegada en la entrada de la tienda, que especifica claramente qué puntos de comunicación están abiertos, cómo iniciar sesión y qué operaciones están permitidas. Cuando el asistente llegue, no necesitará adivinar cómo hacer clic en los botones de la página: primero revisa el número de puerta y actúa según las reglas.
«Base». Poppy no reemplaza los métodos de comunicación actuales de Internet; en su lugar, se construye directamente sobre OAuth para autorización, transmisión cifrada HTTPS, OpenAPI y el protocolo de contexto del modelo. Si el usuario solo consulta precios de productos, el asistente puede interactuar como visitante anónimo; sin embargo, cuando se traten operaciones de cuenta, se requerirá autenticación autorizada para que la empresa verifique la identidad.
“Autorización bidireccional”. El usuario puede decidir si otorga al asistente permisos de solo lectura o permite modificaciones de información y operaciones; por su parte, la empresa define hasta dónde puede llegar el asistente externo en su propio terreno. Ambas partes deben aceptar para que una interacción sea válida.
Según la información publicada, Sierra y Meta se unen para impulsar este protocolo, lo que resulta muy complementario. Sierra, fundada por Bret Taylor, exco-CEO de Salesforce, y Clay Bavor, exejecutivo de Google, se especializa en ayudar a las empresas a crear agentes de atención al cliente propios, situándose naturalmente en el lado del "receptor"; por su parte, Muse, el asistente personal de Meta, es un claro ejemplo de "visitante" que necesita acceder a innumerables sitios web. Ambos lados —receptor y visitante— aportaron la mitad del esfuerzo para lograr la implementación de este estándar. Actualmente, cuando Muse accede a sitios participantes, busca y activa automáticamente el protocolo Poppy por defecto.
El mayor desafío para los protocolos abiertos es el problema de arranque en frío, como el dilema del huevo o la gallina. Esta vez, quien realmente ayudó a Poppy a superar este umbral fue Shopify, el gigante de la infraestructura de comercio electrónico.
Al lanzar el protocolo, Shopify activó y generó automáticamente archivos de descubrimiento de Poppy para cada comerciante en más de 175 países del mundo, sin necesidad de ninguna configuración manual por parte de los comerciantes. Además, con más de 100 socios de diseño que incluyen representantes de diversas industrias como Delta Air Lines, 1Password, Okta y Cloudflare, este sistema de acceso tuvo una cobertura significativa desde el primer día.
Agente que no toca efectivo
Resuelto el problema de entrar, el siguiente obstáculo es pagar.
Pedirle a un agente que pague por ti genera una reacción instintiva de resistencia en la mayoría de las personas. La billetera ChatGPT lanzada por OpenAI tiene un propósito muy claro: permitir que los agentes lleven a cabo transacciones hasta su finalización, sin nunca acceder a información sobre fondos reales.
En el proceso real de compra, el usuario puede hacer que su DOT busque productos, compare precios, los agregue al carrito y prepare la página de pago. Pero tan pronto como llega al paso de pago, el DOT debe detenerse y devolver la decisión al ser humano. El usuario debe verificar personalmente la lista de productos, el monto total y la tarjeta de crédito seleccionada, y luego autorizar la transacción mediante un método de biometría, como reconocimiento facial o escaneo de huellas dactilares, para que se apruebe la operación.
El asistente personal de OpenAI dot (Rufus) inicia la confirmación de compra «Review purchase» en el chat | Crédito de la imagen: OpenAI
Diseños de seguridad más cruciales se encuentran en el backend. Tanto el repartidor como el comerciante que recibe el pago nunca ven tu número de tarjeta de crédito real en toda la transacción. Tras tu autorización, la red de organizaciones de tarjetas asociadas genera un comprobante de pago único que incluye un número de tarjeta temporal, un código de seguridad y una fecha de vencimiento. El comerciante recibe únicamente esta información temporal; tu número de tarjeta real nunca se expone.
Para implementar este mecanismo, OpenAI colaboró con American Express, Mastercard y Visa para su desarrollo, manteniendo plenamente los puntos, beneficios y protección contra disputas de las tarjetas de crédito originales. OpenAI también aclaró específicamente en el lanzamiento que ChatGPT Wallet no es una billetera criptográfica, no utiliza blockchain ni pagos en stablecoins, y opera completamente sobre la infraestructura tradicional de bancos y organizaciones de tarjetas.
Desde la información pública, los motivos comerciales de todas las partes son muy claros. Para OpenAI, si un asistente personal solo da consejos o comparte enlaces, siempre se quedará en la etapa de guía de compra; mantener el cierre de la transacción dentro del ecosistema de conversación permite que dots se convierta de un asesor en un agente de venta. Por su parte, para las organizaciones de tarjetas tradicionales, una vez que los agentes inteligentes se conviertan en nuevos puntos de entrada para el consumo, nadie quiere ver cómo el flujo de transacciones es desviado por redes de pago emergentes. A través de esta colaboración, las tres grandes organizaciones de tarjetas han integrado naturalmente este nuevo canal de vuelta a sus propias redes de liquidación.
Aun así, el primer paso de OpenAI sigue siendo bastante cauteloso.
Inicialmente, el monedero de ChatGPT estará disponible en una versión limitada para suscriptores estadounidenses de ChatGPT Pro mayores de 18 años, y admitirá tarjetas de débito emitidas en Estados Unidos elegibles, incluidas Amex, Visa, Mastercard y tarjetas emitidas por Chase. Según la información pública, comenzar con usuarios pagos probablemente busca avanzar con cautela en materia de gestión de riesgos.
Cuando los gigantes se unen
Al colocar estas dos noticias en la misma mesa para compararlas, se observa un interesante panorama cruzado.
En la lista inicial de socios clave de Poppy, figuran Shopify, Stripe, PayPal, Visa y Mastercard; por otro lado, en el caso de ChatGPT Wallet, los desarrolladores respaldados son Amex, Visa y Mastercard. Los únicos que realmente cruzan ambos lados son Visa y Mastercard, que aparecen tanto en la lista de Poppy como como socios de desarrollo del Wallet.
Un detalle aún más intrigante es que el mismo nombre de OpenAI aparece en la lista de más de 100 socios de diseño de Poppy.
El Protocolo de Agente Personal incluye más de 100 socios de diseño en su primera ola, incluidos OpenAI, Visa y Mastercard | Crédito de la imagen: Sierra
En el mercado de consumo, Muse de Meta y Dots de OpenAI son competidores directos, compitiendo ferozmente por ser la primera entrada que los usuarios abren cada día. Sin embargo, al llegar al nivel de acceso empresarial, ambos gigantes se sientan en la misma mesa de reuniones, preparándose para compartir la misma tarjeta de acceso. La razón es fácil de entender: las aerolíneas o minoristas difícilmente estarán dispuestas a mantener interfaces incompatibles separadas para cada proveedor de modelos. En el lado C, cada uno puede demostrar su ingenio para ganar acceso; en el lado B, es necesario construir conjuntamente un único pase.
También hay una señal en la hoja de ruta técnica. Las transacciones automáticas entre agentes fueron consideradas por muchos como un escenario potencial para las stablecoins. Sin embargo, según esta ronda de implementación, tanto la infraestructura financiera como la comercial han optado por una ruta progresiva: «protocolo de autorización estándar más credencial de tarjeta virtual única», dejando temporalmente de lado las soluciones criptográficas. Primero se integran los sistemas maduros de gestión de riesgos y liquidación para poner en marcha las transacciones; este camino es el más sencillo para los sistemas comerciales tradicionales.
Por supuesto, aún queda un misterio en la información pública.
Poppy y ChatGPT Wallet aún no han aclarado si ya están interconectados. Futuramente, cuando los usuarios de dot ingresen a una tienda Shopify que haya activado el protocolo Poppy, aún se debe verificar si podrán completar sin problemas el handshake y realizar el pago con el monedero.
El agente tiene autonomía, se detiene frente al carrito
Al comparar la autenticación de dos factores de Poppy con la biometría obligatoria de ChatGPT Wallet, se puede ver la línea común que la industria ha trazado: Human in the loop.
Ya sea que se trate de leer datos, modificar órdenes o realizar pagos reales, la autonomía del asistente se detiene precisamente antes del carrito de compras. Puede comparar precios en toda la web y completar los campos de pago por ti, pero el último paso de confirmar debe ser siempre realizado por el usuario.
Este diseño mantuvo la seguridad, pero dejó varias preguntas sin responder.
Por ejemplo, la zona ambigua de la responsabilidad de la transacción. Si el asistente malinterpreta tus intenciones al seleccionar productos, o si eres inducido a realizar una orden por indicaciones maliciosas ocultas durante la navegación web, incluso si finalmente autorizas la operación con tu rostro, la protección contra reembolsos existente del banco no ha definido aún si cubre los errores cometidos por el asistente.
Aún existen limitaciones y umbrales para participar en el comercio del protocolo. Shopify ha impulsado a una gran cantidad de comerciantes, pero ¿cuándo se verán las señales de Poppy en innumerables sitios web de cola larga en internet? Por otro lado, actualmente ChatGPT Wallet solo está disponible para usuarios con suscripción Pro en Estados Unidos; cuánto tiempo tendrán que esperar otros mercados y usuarios normales sigue siendo incierto.
Además, la biometría obligatoria en cada transacción realmente aumenta la sensación de seguridad. Pero imagina que en el futuro te acostumbres a que tu asistente ordene café y compre productos de uso diario todos los días, y cada pequeña tarea requiera sacar el teléfono y escanear tu rostro; la promesa de comodidad del agente automático se convierte en una nueva fricción operativa en escenarios de alta frecuencia.
En esta etapa, en la que los asistentes aún no son perfectos y la confianza social aún no se ha establecido, permitir que las personas mantengan el último poder de «hacer clic en confirmar» puede ser el costo necesario para que la industria obtenga su entrada, y también determina el ritmo de comercialización de los asistentes personales.
La próxima vez, cuando le pidas al asistente de IA que cambie la dirección de envío y pague por ti, ya no será rechazado como un bot. Muestra su identidad cumplida, entra en la tienda, lee las señales, completa el carrito y se detiene en la página de pago, extendiéndote el teléfono para que alines tu rostro con la cámara.
Este reconocimiento facial de hoy es el último obstáculo antes de que las personas confíen en el asistente. Pero ¿qué pasa cuando algún día todos estén acostumbrados a delegar sus gastos diarios a programas? ¿Será esta confirmación solo un trámite que la gente elimine con un clic, como todos los acuerdos de autorización que los sitios web y las referencias te piden firmar, que casi nadie realmente entiende ni quiere leer con atención?