Hasta ahora, la seguridad en el ecosistema de las monedas digitales se enfocaba en resguardar las claves secretas, las frases de recuperación y los dispositivos donde se almacenan. No obstante, la irrupción de asistentes automatizados con capacidad para realizar movimientos financieros está expandiendo el perímetro de vulnerabilidad hacia un aspecto que antes no se consideraba: el proceso de razonamiento del propio sistema.
Una prueba con Grok revela riesgos ocultos
Un caso documentado por CriptoNoticias ilustra esta nueva amenaza. Un especialista en seguridad ocultó comandos en código Morse dentro de una imagen. Aunque esas instrucciones eran imperceptibles para el usuario, el modelo de lenguaje las descifró y alteró su comportamiento conforme a las órdenes camufladas. Este fenómeno, denominado inyección indirecta de indicaciones, demuestra que un sistema puede acatar directrices que pasan desapercibidas para la persona que lo utiliza.
El incidente no implicó el desvío de fondos ni el acceso a billeteras. Sin embargo, sirve como advertencia sobre cómo un modelo de inteligencia artificial puede ser manipulado durante su fase de análisis. Si un agente con esa conducta recibe autorización para gestionar activos digitales, el problema ya no se limita únicamente a la custodia de la clave privada.
El foco de los ataques se desplaza de la clave al razonamiento
El esquema tradicional de protección de criptomonedas parte de una base simple: quien posee la clave privada controla los recursos. Por ello, las defensas se han concentrado en evitar que esa credencial sea sustraída mediante virus, estafas de phishing o fallos de hardware. Ese paradigma fue concebido para salvaguardar a humanos, no a inteligencias artificiales con capacidad de decisión autónoma.
La integración de agentes de inteligencia artificial introduce una capa intermedia entre el usuario y la firma de una transacción. Antes de autorizar una operación, el sistema interpreta lenguaje natural, consulta datos, examina documentos y determina qué acción ejecutar. Cada paso previo a la firma puede convertirse en un nuevo vector de ataque, incluso si las credenciales permanecen seguras.
Según el proyecto de OWASP sobre riesgos en aplicaciones de modelos de lenguaje, la inyección indirecta de instrucciones se ubica entre las amenazas más graves. Este tipo de agresión consiste en esconder órdenes dentro de páginas web, archivos, imágenes u otros contenidos que posteriormente serán procesados por un agente. El atacante busca influir en la interpretación del modelo, no quebrantar su criptografía.
En un contexto financiero, esa conducta podría traducirse en alterar la dirección de destino de una transferencia, conceder permisos excesivos sobre un contrato inteligente o firmar una operación distinta a la esperada. La clave privada puede seguir resguardada mientras el dinero termina en otro lugar, porque la decisión fue manipulada antes de la firma.
Ledger propone aislar la inteligencia artificial del proceso de firma
Uno de los actores que ha comenzado a enfrentar este escenario es Ledger, fabricante de dispositivos de hardware para criptomonedas. En diversas publicaciones sobre seguridad para agentes autónomos, la compañía sostiene que los sistemas de inteligencia artificial no deberían tener acceso directo a las claves privadas ni capacidad para firmar operaciones sin mecanismos adicionales de control. La inteligencia artificial no debe convertirse en el custodio inmediato de los fondos.
Según Ledger, un agente puede preparar una transacción, evaluar el contexto o recomendar una estrategia, pero la autorización final debería permanecer aislada dentro de un entorno seguro, protegido por políticas predefinidas o por la confirmación del usuario. Separar el razonamiento del proceso de firma reduce el impacto de un engaño, incluso si el agente interpreta información maliciosa.
La postura de Ledger es relevante porque la empresa ha dedicado años a desarrollar hardware diseñado para mantener las claves privadas fuera del alcance de dispositivos conectados a internet. En su gestión de claves criptográficas, la compañía sostiene que ese principio sigue siendo válido en la era de los agentes autónomos, aunque ahora debe ampliarse a la forma en que la inteligencia artificial interactúa con dichos dispositivos. La seguridad comienza mucho antes de que una transacción sea firmada.
Un modelo de amenazas en construcción
El caso de Grok no demuestra que los agentes de inteligencia artificial sean inherentemente inseguros. Tampoco implica que cualquier sistema autónomo pueda ser manipulado con facilidad. Lo que sí evidencia es que los modelos de lenguaje interpretan información de maneras que pueden ser explotadas por un atacante si no existen mecanismos adecuados para validar el contexto que procesan. La nueva superficie de ataque reside en la capacidad del agente para razonar.
Mientras tanto, empresas del ecosistema de las criptomonedas y del sector tecnológico continúan desarrollando asistentes capaces de operar billeteras, automatizar estrategias de inversión e interactuar directamente con protocolos descentralizados. Esa tendencia está impulsando la creación de nuevos modelos de seguridad para sistemas que no solo procesan información, sino que también toman decisiones económicas. La industria todavía está definiendo las reglas para proteger agentes con autonomía financiera.
El experimento con Grok funciona como una demostración temprana de esa transición. El nuevo perímetro de ataque ya no termina en la clave privada, sino que también incluye todo aquello que un agente de inteligencia artificial puede leer, interpretar y convertir en una acción antes de solicitar una firma. A medida que estos sistemas asuman más responsabilidades dentro del ecosistema de las criptomonedas, esa capa intermedia pasará a ocupar un lugar central en la protección de los activos digitales.