Algorand lanza AC2, un protocolo abierto que mantiene a los agentes de IA lejos de las claves de los usuarios

El problema del control en el corazón del comercio agéntico

El blog de presentación¹ del nuevo protocolo de la Algorand Foundation arranca con una escena que resultará familiar a cualquiera que ejecute agentes de IA en producción: el entorno de ejecución del agente de un desarrollador quedó comprometido por la dependencia maliciosa de un plugin, y el atacante se marchó con las claves de API y los tokens de sesión que albergaba ese entorno, además de con acceso suficiente para empujar una fusión de código que parecía contar con la aprobación del ingeniero principal. El equipo no podía demostrar que no la hubiera aprobado una persona: la aprobación había sido un mensaje en un hilo de Slack. AC2², el Agentic Communication and Control Protocol, publicado por la Fundación el 25 de agosto, es la respuesta para la que se escribió ese escenario. Días después, el último episodio del pódcast Verifiably Random³ de la Fundación dejaba claro en su propio título lo que estaba en juego: «Who controls your AI agent?»

AC2 llega justo al centro del impulso de la Fundación hacia el comercio agéntico: agentes automáticos que compran bienes y servicios en nombre del usuario. Ese impulso ha dejado avances concretos este año. Coinbase integró en el primer semestre de 2026 la implementación que la Fundación ha hecho del estándar de pagos x402, que rescata el dormido código de estado HTTP 402 «Payment Required» y permite que un servidor exija el pago y que un agente lo liquide sobre raíles de blockchain en una sola ida y vuelta. GoPlausible, el proveedor de infraestructura de IA del ecosistema, lanzó en julio su facilitador de producción para verificar y liquidar esos pagos, y su panel público⁴ acumula ya 877.000 liquidaciones históricas y 286.000 dólares de volumen liquidado, el 77 % de ellas en la mainnet de Algorand, con un tiempo medio de liquidación de 0,4 segundos. El director de marketing, Marc Vanlerberghe, explicó a los espectadores del episodio que más de 1.000 desarrolladores se han inscrito en el Global x402 Challenge —que, según él, ha generado unos 3.000 endpoints— y que Algorand ocupa el tercer puesto en tráfico x402, por detrás de Base y Solana, según Token Terminal.

Y, sin embargo, cuanto más pueden hacer los agentes, más peligrosos resultan. El argumento que Vanlerberghe defiende en el episodio es sencillo: son sistemas no deterministas, y su comportamiento lo moldean unos LLM que ninguna demostración puede predecir del todo. Eso es tolerable en un chat; no lo es cuando ese mismo sistema guarda contraseñas, lee el correo o gasta dinero. La mayoría de los frameworks para agentes que existen hoy funcionan entregando al agente una copia de las credenciales del usuario, un modelo según el cual un atacante que comprometa el entorno de ejecución lo hereda todo. Las confirmaciones por chat, ya sea en WhatsApp, Telegram o Slack, añaden una comprobación humana pero ninguna criptografía: un «sí» en un hilo no demuestra nada sobre quién lo envió ni sobre qué aprobó.

Firmar como en un swap de una dapp, con un agente al otro lado

El diseño de AC2 trasplanta un patrón que Web3 lleva tiempo usando. Cuando intercambias tokens en una dapp, la aplicación nunca toca tus claves privadas: pide a tu billetera que se conecte, tú revisas y firmas la transacción, y la dapp la ejecuta. AC2 convierte al agente en la dapp. El agente prepara una acción —un pago, un commit de código, una llamada a la API— y envía una solicitud de firma por un canal cifrado de extremo a extremo a tu aplicación. Tú revisas los detalles y apruebas con una passkey: una autenticación FIDO2 ligada al hardware, confirmada con el rostro, la huella dactilar o el PIN del dispositivo, que reside en el hardware seguro del aparato y no en un software que un atacante pudiera pescar mediante phishing. La firma se delega de vuelta al agente, que completa la acción. La clave en sí nunca sale de tu dispositivo.

El transporte se arma con estándares abiertos en lugar de inventarse desde cero: DIDComm v2.0⁵ para los formatos de mensaje, WebRTC para la comunicación directa entre pares tras un handshake inicial y Liquid Auth, la capa de conexión basada en passkeys de la Fundación. No hay relé central: ningún operador intermedio que pueda registrar, mapear o bloquear la conversación. La identidad viene integrada, no añadida a posteriori. Tanto el usuario como cada agente tienen un identificador descentralizado (DID), el estándar del W3C para identificadores que una entidad controla por sí misma en lugar de recibirlos de una autoridad, y en el primer emparejamiento ambos quedan vinculados criptográficamente. Ese vínculo es lo que permitirá algún día que un comerciante pida a un agente de compras desconocido que demuestre quién es realmente su dueño: una cadena de procedencia que las interfaces de chat no pueden generar.

AC2 es específicamente agnóstico respecto a la blockchain; de hecho, funciona sin ninguna blockchain. La aplicación AC2 Wallet, publicada por Pera Wallet, Lda en colaboración con la Fundación, es una billetera Algorand de autocustodia, de modo que un usuario que quiera gastar USDC⁶ a través de un agente puede aprobar el pago y liquidarlo en la misma interfaz. Según la Fundación, una integración básica se resuelve con «unas cincuenta líneas para un flujo básico».

Lo que un usuario puede aprobar realmente

La capa entre la intención y la ejecución

El punto más determinante de AC2 dentro del conjunto más amplio de la pila agéntica es el que comparte con el protocolo AP2 de Google, presentado a finales de 2025 con Algorand entre sus socios de lanzamiento. AP2 define cómo registra un agente un mandato de intención —la descripción auditable de lo que puede hacer—, pero no especifica cómo llega ese mandato al usuario ni cómo lo firma este. AC2 es exactamente ese mecanismo que faltaba: el agente envía el mandato, el usuario lo firma en su dispositivo y la firma se devuelve para que el agente actúe en consecuencia. Esa misma separación de poderes se aplica a los pagos x402: el agente reúne los detalles del pago, el usuario los aprueba y el agente completa la llamada.

El análisis de Korea IT Times⁷ sobre el lanzamiento subraya qué garantiza el diseño y qué no. AC2 establece quién aprobó una solicitud concreta; no juzga si esa solicitud es adecuada. Un usuario puede seguir aprobando una transacción maliciosa o construida de forma engañosa si la billetera no presenta con claridad su destino, su importe y sus consecuencias: la prueba criptográfica puede demostrar que la aprobación se produjo, pero no que el usuario entendiera lo que aprobaba. Y como la versión actual exige una firma para cada acción, el diseño arrastra un riesgo de fatiga de aprobaciones: los usuarios bombardeados con avisos pueden acabar dejando de leerlos. El siguiente paso anunciado por la Fundación es la delegación acotada, que permite al usuario definir una sola vez techos de gasto, contrapartes autorizadas y ventanas temporales, tras lo cual el agente actúa con libertad dentro de esos límites y solo vuelve a consultarle en las excepciones.

El equilibrio que impone la autocustodia merece la misma atención. Los términos de la billetera son explícitos: «Si pierdes tu dispositivo o tu frase de recuperación, tu acceso a todo lo que hayas vinculado a través de AC2 podría perderse de forma permanente». Nadie conserva una copia de las claves para restaurarlo.

Una especificación con una semana de vida

Lo que se publicó el día del lanzamiento es una especificación abierta y una implementación de referencia⁸ —un borrador fechado el 1 de abril de 2026— junto con las versiones 1.0.0⁹ de un SDK, una CLI y un plugin de referencia para OpenClaw, el framework de agentes de código abierto. La adopción temprana se puede medir precisamente porque es pequeña: el repositorio de GitHub acumula 20 estrellas y la telemetría de npm muestra que el plugin de OpenClaw se descargó 458 veces la semana pasada y el SDK 247 veces, cifras coherentes con un lanzamiento de hace unos días más que con un despliegue amplio. Como señala el artículo de Korea IT Times, una especificación abierta solo se convierte en estándar del sector cuando las billeteras, los frameworks para agentes y los proveedores de servicios la implementan de forma coherente; lo publicado inicia ese proceso sin demostrarlo.

Los usuarios de OpenClaw pueden probar hoy mismo el flujo: instalar el plugin de AC2 y activarlo, ejecutar el comando de configuración, reiniciar el gateway y emparejar AC2 Wallet —disponible para Android e iOS— escaneando un código QR. Esa es la demostración que Bruno Martins hizo en el pódcast, conversando con un agente y aprobando una acción en directo. El episodio se cierra con Fred Estante, responsable de DeFi, repasando el ecosistema en su conjunto —DeFi, la adopción de x402 y los próximos cambios de gobernanza—, un recordatorio de que AC2 es una pieza de un impulso más amplio y no una herramienta aislada.

Quién tiene las claves

La pregunta que plantea el título del episodio tiene una respuesta refleja en el mundo cripto: quien tiene las claves controla la cuenta, «si no son tus claves, no son tus criptos». AC2 extiende esa disciplina de las cuentas a los agentes. Un agente puede ser rápido, barato e infatigable, pero bajo AC2 es estructuralmente incapaz de actuar sin preguntar, y cada respuesta que recibe es una firma, no un mensaje de chat. El destino del protocolo depende ahora de las billeteras y los frameworks para agentes que decidan convertir esa distinción en norma.

Fuente

• Verifiably Random S4:E2 — Who controls your AI agent? Introducing AC2 (YouTube)³
• AC2 Protocol²
• Introducing AC2 Protocol: The missing security layer for AI agents — Algorand Foundation¹
• algorandfoundation/ac2 (GitHub)⁸
• Panel del facilitador x402 de GoPlausible⁴
• AC2 Protocol¹⁰
• Algorand Launches AC2 To Keep AI Agents Off Users’ Keys - DailyCoin¹¹
• Algorand builds a human approval layer for AI agents | Watch¹²
• Trust in Agentic Commerce¹³
• Verifiably Random - Podcast - Apple Podcasts¹⁴
• Global x402 Challenge¹⁵
• Introducing the GoPlausible x402 Facilitator: Payments and intelligence for agentic commerce on Algorand¹⁶
• OpenClaw — Open-Source AI Assistant¹⁷
• AC2 Protocol²
• Season 4: Ep 2 - Who controls… - Verifiably Random - Apple Podcasts¹⁸
• Season 4: Ep 2 - Who controls your AI agent? Introducing AC2 - Verifiably Random | Acast¹⁹
• AI agent payments hit 2026 high as weekly transfers reach 8.7 million²⁰