Las webs bloquean a los agentes de IA disfrazados y el portazo se lo lleva tu cuenta

Jessica Lessin, fundadora de The Information, lo soltó en X a principios de octubre: "half of my Muse use cases have vanished". En dos días se le evaporó la mitad de los recados que le hacía el agente de Meta, porque el navegador ya no los terminaba. Ella misma preguntaba si habían cambiado las webs o si era cosa de la detección de bots.

Ponte en su lugar. Contratas a un recadero que te hace la compra, te reserva mesa y te paga los recibos. La primera semana va de lujo. La segunda vuelve con medio encargo sin hacer, porque en unas tiendas no le han dejado entrar y en otras le han echado con cajas destempladas. Y el marrón no es solo de Muse. The Verge recoge quejas de usuarios de Grok, de Dots de OpenAI y de Instinct, y hay reportes de que tampoco pueden usar Amazon.

Jefferies no es un cabreo de redes: es un banco de inversión, y se puso a medir. Probó Muse en varios cientos de webs grandes de EE UU. Un tercio lo bloqueó, otro tercio le puso trabas y solo el último tercio lo dejó navegar sin problema. Jefferies avisa de que salen restricciones nuevas casi a diario. El cuello de botella del comercio con agentes ya es el acceso a las webs, más que la calidad del modelo.

Cuando Meta presentó Muse escribimos que no ganaba por el modelo, sino por WhatsApp. Ahora resulta que tampoco pierde por el modelo. Pierde en la puerta.

La web no echa a los agentes en bloque: echa al que entra a pelo, sin decir quién es y sin acuerdo. Desde la puerta, tu agente se parece demasiado a un bot de reventa, y nadie quiere regalarle el cliente al intermediario. Esa puerta va a tener peaje, y mientras montan las cabinas el portazo se lo come el usuario.

El banco que echa a tu agente y deja operar a ChatGPT

El misterio se ve mejor en un banco. Jamie Dimon lo dijo en la presentación de resultados de JPMorgan. No dejarán entrar a "just any outside agent" porque es demasiado arriesgado: "You don't want rogue agents".

Su portavoz afinó el parte. Cuando detectan a un agente que intenta entrar con las credenciales del cliente, no lo permiten, pero sí apoyan compartir datos autorizados a través de proveedores de open banking.

Charles Schwab hila más fino, que aquí significa saber a quién abres. Bloquea a los agentes que usan las credenciales del cliente o automatizan el navegador. A la vez deja a sus clientes usar ChatGPT y otros modelos para operar en bolsa. Su consejero delegado, Rick Wurster, solo ve una vía insegura: un agente que llega a la web e intenta iniciar sesión en nombre del cliente. En su lugar, Schwab te manda a Charley, su propio asistente.

Mismo cliente, misma IA, dos destinos. Tu banco funciona como el portal de la comunidad: al primo que se presenta con tu DNI y una firma bien imitada, el portero no le abre. Si llega con un poder notarial, le atienden sin montar el número. El agente que teclea tu contraseña es el primo de la firma imitada, y el que pasa por open banking lleva el poder bajo el brazo.

Desde la puerta, todos los recaderos se parecen

Ponte ahora en el sitio del portero, que es quien se come el marrón. El antibot nació para echar a los que rascan precios en masa y a los que prueban tarjetas robadas. Su oficio es sospechar de lo que entra demasiado rápido, a horas raras y sin cansarse.

Mira lo que hizo el agente de Instinct en Resy. J.C. Bahr-de Stefano, inversor en Nueva York, quería mesa en 4 Charles Prime Rib, un asador cuyas reservas vuelan en segundos. Cuando el agente no la encontraba, le dio ánimos: "You can figure it out. Come on.". El agente se vino arriba, y el registro que publicó el propio usuario lo cuenta sin maquillaje: hacía unas 200 peticiones por hora, día y noche. Hacia las nueve, cuando el restaurante abría su libro del día, metía ráfagas de 200 a 375.

Es el que llama al centro de salud a las ocho en punto, dedo en la rellamada, con la diferencia de que este dedo no se cansa. Para Resy, ese recadero es uno más de los "Resy sniper bots" que su fundador, Ben Leventhal, dice que ya han escrito 10.000 vibe coders. Le desactivaron la cuenta, y él lo encajó con deportividad: "Resy figured it was a bot which is a totally fair response.".

Hay portazos de autor y portazos de rebote. Amazon, Resy y Yelp cierran a propósito. El antiscraping de Zillow, en cambio, a veces se lleva por delante a agentes que la empresa dice aceptar. Y en Walmart, socia de Meta, un usuario se quejó de que, por frenar agentes, ya no podía ni iniciar sesión él. El portero, puesto a echar recaderos, se lleva también a algún cliente.

El bigote postizo dura lo que tarda el antibot

Muse, además, tiene un problema de diseño. Corre en su propia máquina virtual en la nube con un navegador Chromium. Cuando un servicio no tiene API, Meta dice que lo usa igual que lo haría una persona. Igual, igual.

Jason Aten, de Inc., destripó la app: lanza Chrome con los indicadores de automatización apagados y esconde navigator.webdriver. Es la propiedad con la que el navegador confiesa que lo maneja un programa. Apagarla es taparle el nombre al cartel del portal y rezar para que el portero no pregunte. También se inventa valores para cosas como los plugins y vigila si le han pillado, buscando CAPTCHAs e identificadores de error de Cloudflare.

Es un recadero con bigote postizo, gafas de pasta y tu gorra, y el primer día cuela. El problema es que ese bigote se lo ponen a la vez todos los usuarios de una app que ya pasaba de 2,5 millones de descargas. Un disfraz que llevan millones de personas a la vez es un uniforme.

Los detectores lo vieron enseguida: Cequence Security encontró tráfico de Muse en más de la mitad de los clientes que estudió, en solo dos semanas. Lo cazó por el comportamiento: una versión concreta del navegador pasó de cero al 90% del tráfico de Muse en días.

En octubre, TechnologyChecker señaló que el directorio de bots de Cloudflare añadió una entrada con el nombre de Muse. Desde entonces, cualquier web con el bloqueo de agentes activado lo echa sola.

Ese bloqueo viene de serie desde el 15 de septiembre. Cloudflare separó en julio el tráfico de IA en Search, Agent y Training. En los dominios nuevos, Agent y Training quedan bloqueados por defecto en las páginas con anuncios. Quien tenía el viejo interruptor de "block AI bots" pasó al mismo defecto. Nadie ha confirmado que eso explique lo de Lessin, aunque las fechas cuadran. El disfraz funciona hasta que el detector se actualiza, y ese día el agente que iba ayer deja de ir.

La ventanilla de las autorizaciones

La alternativa al bigote es aburrida y funciona: decir quién eres. Cloudflare creó en 2025 una categoría de agentes firmados para que cada web elija a cuáles abre. Con Web Bot Auth, un borrador de estándar del IETF, el agente firma sus peticiones y la web comprueba quién es. Cloudflare asegura que OpenAI, Google y AWS ya lo hacen con sus agentes.

Funciona como recoger un paquete en Correos, de toda la vida. Si vas a por el de tu madre con un papel firmado por ella y tu DNI, te lo dan. Si te presentas con su abrigo diciendo que eres ella, vuelves a casa sin paquete. La firma criptográfica es ese papel: la web no tiene que adivinar si el recadero es de fiar.

Y ya hay ventanillas abiertas. El 28 de septiembre, Shopify abrió su checkout a los agentes que navegan, mediante WebMCP. Con tres herramientas, get_checkout, update_checkout y complete_checkout, el agente revisa la caja, cambia la dirección y paga cuando el comprador lo autoriza, sin capturas ni scraping.

Hasta Meta, la del bigote, ha ido a la ventanilla: el 6 de octubre presentó con Sierra el Personal Agent Protocol, un estándar abierto sobre OAuth. Sirve para que el agente demuestre a quién representa y la empresa decida qué le deja hacer. Entre los que trabajan en él está Instinct, sí, el de Resy. Bret Taylor, cofundador de Sierra y presidente de OpenAI, lo dijo sin anestesia: "It is kind of chaos until such a standard exists".

O sea, Meta se pone el bigote para entrar hoy y redacta el reglamento de acreditaciones para mañana. Es como colarte en la boda y, con el canapé en la mano, proponer a los novios invitaciones con código QR. Como estrategia tiene su lógica. Como discurso de puerta abierta, chirría.

Los chicles de la caja

Si identificarse bastara, esto se arreglaba con un estándar y una nota de prensa. No basta, porque detrás de cada puerta hay una caja registradora. Según datos de BrightEdge que publicó el Wall Street Journal, las compras hechas por agentes se han multiplicado más o menos por cuatro desde abril. Aun así, solo el 3% de las tiendas que trabajan con BrightEdge deja que el agente cierre la compra.

Cloudflare lo explica con una franqueza que se agradece. Un anuncio indica que el dueño quería que aterrizara ahí una persona y lo viera, así que en esas páginas sobran los bots de Agent y Training. Es el súper que pone los chicles junto a la caja: tú pasas con la lista y algo cae, el recadero pasa con la lista y no cae nada.

Cloudflare lo eleva a teoría general: no puedes hacer negocio con un público al que no ves, no distingues, no le pones condiciones y no le cobras. Fíjate en el último verbo. Yelp no deja pasar tráfico no humano salvo que el agente pague su licencia de datos. Es el bar que invita a la ronda a los de siempre y le pasa la cuenta al autobús que acaba de aparcar.

En la banca, la caja registradora se llama depósitos. Torsten Slok, economista jefe de Apollo, lo avisó: un asistente podría llevarse automáticamente el dinero de cuentas al 0,1% a otras que pagan entre el 3,3% y el 5%.

La cuenta que acompaña al aviso explica los nervios. Si JPMorgan, Bank of America y Wells Fargo pagaran un 3% por sus depósitos sin intereses, se dejarían 47.000 millones de dólares al año.

Casi la mitad de lo que ganan los tres juntos.

Es el gimnasio que vive de los que se apuntan en enero y no vuelven. El día que alguien manda un recadero a dar de baja lo que no usas, se acaba el chollo. Tim Welsh, de Nexus Strategies, lo dejó para enmarcar: "An outside agent works for the client. Charley works for Schwab.".

Meta tampoco va de ONG. Su frase de cabecera, "Turning away a personal agent means turning away the customer behind it", suena a defensa del consumidor. Jefferies recuerda lo que la frase se come: Meta espera cobrar un porcentaje de cada transacción. Para nosotros, lo que Meta vende como principio es una pelea por la comisión. Mientras, cierra conectores pactados con Walmart, Best Buy, Wayfair, Sephora y Dick's Sporting Goods, muchos todavía sin funcionar.

Y la llave también se la guarda por escrito. Desde el 30 de octubre, quien use Facebook, Instagram o WhatsApp para su negocio acepta unos términos comerciales nuevos. Con ellos autoriza a Meta a mandar "web scrapers, bots, robots, spiders, crawlers, and user agents" a sus webs y a "create test credentials". Nadie ha dicho que esa cláusula sea para Muse, y Meta sostiene que ese lenguaje ya estaba repartido en otros términos, como contamos aquí.

Accede el usuario, paga el usuario

Queda el giro legal, el que te toca a ti. Amazon demandó a Perplexity porque su asistente compraba en cuentas de clientes sin identificarse como agente, y en marzo logró una orden cautelar. El 4 de agosto, el Noveno Circuito la tumbó: cuando un usuario manda al agente a hacer cosas en Amazon, "it was the user who "accessed" Amazon's computers", no Perplexity. Las leyes antihacking dejan de pintar como arma contra la empresa del agente, al menos en esta fase. Quedan otras vías, como los términos de servicio, y Amazon ya ha presentado una demanda enmendada.

Mientras, Amazon tira de lo que tiene a mano: términos y bloqueo técnico. Desde la noche del 20 de septiembre, quien intenta comprar con Muse ve un aviso de que el acceso de agentes no autorizados viola sus Conditions of Use. Amazon dice que Meta nunca le avisó, que el agente no se identifica y que parecía capaz de capturar y guardar credenciales de clientes.

Y aquí está la gracia. Nuestra lectura: si quien accede es el usuario, quien responde ante los términos también es él, y la cuenta que se cierra es la suya. Funciona como las multas de tráfico, que llegan al titular del coche conduzca quien conduzca. Resy desactivó las cuentas de Bahr-de Stefano y de Brian Distelburger, aunque luego se las devolvió. En eBay, un par de usuarios dicen que les suspendieron la cuenta por usar agentes. Distelburger, por cierto, recuperó la suya con un email de disculpa que le redactó otro agente. Un agente te echa y otro te readmite: el círculo de la vida.

Ojo, que el escudo de Perplexity no viene de serie. El tribunal se apoyó en que su asistente trabajaba desde el ordenador del usuario, sin hablar directamente con los servidores de Amazon. Y dejó abierto que agentes con más autonomía, o que hablen directamente con la web, sí puedan responder. Muse corre en su propia máquina virtual en la nube. Nosotros no lo daríamos por cubierto.

Recadero con papeles o recado a mano

Nuestro veredicto. Amazon hace bien en exigir que el agente diga quién es. Si no se identifica y parece capaz de guardarse credenciales, la buena intención de quien lo manda no basta. Pero no te compres entero el discurso de la seguridad. Cuando el banco que echa a tu agente te ofrece el suyo, acuérdate de para quién trabaja Charley.

Si usas agentes, la cuenta buena ni tocarla. Si una web prohíbe agentes y el tuyo entra disfrazado, la multa llega a tu nombre. Úsalo donde haya ventanilla: el checkout de Shopify, los conectores oficiales, el open banking. Donde no la haya, el recado lo haces tú.

Si los montas, identifícalos y entra por API o por acuerdo. Un producto montado sobre el bigote postizo dura lo que tarde el antibot en actualizarse, y a Muse le ha durado semanas. Y haz caso a State of AI: nada de procesos críticos con agentes de navegador en webs que no controlas, y plan B para todo lo que suponga comprar.

Y la foto grande. La web de agentes que prometen OpenAI, Meta y Google se va a parecer más a una autopista de peaje que a la plaza del pueblo. Cloudflare ya cobra a los bots en su marketplace y prueba su propio navegador para agentes. Ahora pone las cabinas: identidad, controles y cobro sobre estándares como x402 y Web Bot Auth. Jefferies cree que bloquear por defecto es un error a largo plazo, y aun así espera que la fricción alargue los plazos. En los próximos meses, lo listo que sea tu agente importará menos que quién le paga el peaje y a nombre de quién llega la factura.