Socure se prepara para verificar agentes de IA, no solo a humanos — la pregunta correcta no es quién es el agente, es quién hizo clic para autorizarlo
En una entrevista publicada el 16 de agosto de 2026 por Biometric Update, el director de producto de Socure, Chung-Man Tam, describe una cadena de confianza en cuatro etapas — identidad de la persona, autoridad delegada, identidad y alcance del agente, cumplimiento de cada acción dentro de ese alcance — y predice que «verificar agentes se volverá tan habitual como verificar humanos». Socure ha medido un aumento de más del 8.000% en los ataques de fraude pilotados por IA en su red durante 2025. Lo que la entrevista nunca dice es cómo se traduce esa «autorización» en la práctica, acción por acción, en el momento exacto en que importa.
El 16 de agosto de 2026, Biometric Update publicó una larga entrevista con Chung-Man Tam, director de producto de Socure — la plataforma de verificación de identidad que cerró el segundo trimestre de 2026 con 364 millones de dólares de ingresos recurrentes anuales, un 63% más interanual, y que presta servicio a más de 3.000 clientes en más de 190 países, entre ellos 18 de los 20 mayores bancos estadounidenses. Tam describe un cambio estructural, no una moda pasajera: la pregunta histórica de la identidad digital — «¿es real esta persona?» — cede paso a una pregunta más amplia — «¿quién o qué está al otro lado, y con qué autoridad?». Los agentes autónomos ya abren cuentas, mueven dinero y toman decisiones en nombre de empleados y clientes, y la infraestructura de identidad construida para humanos todavía no sabe responder a esa realidad. Socure ha medido un aumento de más del 8.000% en los ataques de fraude pilotados por IA en su red durante 2025 — una cifra que Tam atribuye a un «multiplicador de fuerza»: un defraudador humano tiene límites físicos sobre cuántas cuentas puede abrir en un día, un agente autónomo no tiene ninguno. El modelo que propone Socure es una cadena de confianza de cuatro eslabones: verificar a la persona, verificar que ha delegado su autoridad, verificar la identidad y el alcance exacto del agente al que se la ha delegado, y luego verificar que cada acción de ese agente se mantiene dentro de ese alcance. «Hoy verificamos a la persona y confiamos en la sesión», resume Tam. «Mañana habrá que verificar a la persona, verificar que ha delegado su autoridad, verificar la identidad y el alcance del agente, y luego verificar que la acción emprendida se mantiene dentro de ese alcance.» Socure apuesta por ampliar sus grafos de identidad existentes en lugar de crear una pila de confianza separada para los agentes: «cuando verificamos la legitimidad de un agente, eso beneficia a toda la organización de la red», dice.
Es una infraestructura seria, construida para un problema real — pero no necesariamente el problema de todo el mundo. En una plataforma que recibe agentes pertenecientes a miles de organizaciones externas, es imposible saber a priori si un agente que se presenta es realmente quien dice ser: es exactamente el terreno donde la identidad criptográfica de agente, la autoridad delegada y la vigilancia de comportamiento en red de Socure tienen sentido, y donde AppH probablemente no tendría una respuesta mejor. Pero no es el terreno de AppH. Cada cuenta de AppH hace funcionar un único agente, escrito y operado por AppH de principio a fin — nunca existe la duda de «qué agente externo acaba de conectarse», porque solo hay uno, y ya se sabe quién es. La pregunta que de verdad importa nunca es, por tanto, «¿es este agente auténticamente quien dice ser?» — eso ya está resuelto por construcción — sino «¿ha hecho clic realmente un humano para aprobar esta acción concreta antes de que se ejecutara?». Es la lógica del flujo de aprobación de las Automatizaciones en AppH: un agente propone un presupuesto, un recordatorio, una consolidación contable — y nada sale hasta que el responsable del negocio ha hecho clic, acción por acción, registrada en un audit trail de solo escritura desplegado desde este verano en las Automatizaciones, el Mantenimiento de flota y las Citas. Ni token de autoridad cifrado, ni grafo de confianza en red — un botón, y un humano que tiene que pulsarlo. Más simple que lo que construye Socure, y para el problema concreto que tiene AppH, más que suficiente.
A favor de AppH
- La entrevista de Socure valida, desde un ángulo totalmente independiente, el instinto que AppH defiende desde el principio: las acciones de agentes con consecuencia real necesitan un mecanismo de confianza real, no solo una capacidad técnica. Un aumento del 8.000% en los ataques pilotados por IA en un año no es una anécdota, es una señal que todo el sector se toma en serio — en una dirección distinta a la nuestra, pero por la misma razón de fondo.
- La cadena de confianza de cuatro etapas que describe Tam — persona, autoridad delegada, identidad del agente, cumplimiento de la acción — se encuentra casi tal cual en la arquitectura de AppH, simplemente resuelta de otra manera: un único agente por cuenta resuelve por construcción los dos primeros eslabones, y el clic de aprobación del responsable del negocio en cada acción con consecuencia real resuelve el cuarto en tiempo real, no a posteriori.
En contra / el límite honesto
- Si AppH abre algún día su plataforma a agentes de terceros — un marketplace de integraciones, agentes construidos por otros proveedores — el problema que resuelve Socure se convierte también en un problema de AppH, y un simple botón de aprobación ya no bastará: habrá que saber, criptográficamente, qué agente de terceros actúa y con qué autoridad, antes incluso de plantear la pregunta de la aprobación. Ese día, la arquitectura actual de AppH ya no basta tal cual.
- El registro de auditoría de AppH traza qué hizo un agente y cuándo lo aprobó un humano — pero no tiene nada parecido a la inteligencia de red de Socure, la comparación de señales de fraude entre miles de organizaciones. AppH solo ve a sus propios clientes; un defraudador ya detectado en otro lugar por la red de Socure seguiría siendo, por ahora, invisible para AppH mientras no haya actuado antes en un cliente de AppH.
Hay una tentación real, al leer esta entrevista, de concluir que Socure está construyendo una pieza que pronto necesitará cualquier proveedor de agentes de IA — y para una parte del mercado, la de las plataformas multiinquilino que alojan agentes de orígenes múltiples y no controlados, probablemente sea cierto: no pueden conformarse con un botón, necesitan saber criptográficamente quién actúa antes de plantearse quién autoriza. Pero generalizar esa necesidad a cualquier producto que toque agentes de IA sería un error de categoría, y una pyme que compra un agente de AppH para su contabilidad no tiene ese problema: tiene un único agente, operado por un único proveedor, y la pregunta real nunca ha sido «quién es este agente» sino «quién dijo que sí antes de que actuara». Socure inventa una infraestructura de identidad para un mundo donde la autoridad se delega a través de cadenas de agentes que se desconocen entre sí; AppH responde a una pregunta más estrecha y más verificable: en nuestro caso, nunca ha habido una acción de agente sin clic humano, no porque se haya prometido en un comunicado, sino porque es literalmente lo que hace el producto, cada vez, sin excepción que se pueda desactivar. La profundidad de la identidad de agente es un tema real para el mercado al que sirve Socure; nunca es un sustituto de la pregunta de quién pulsó el botón.
Verificado por un humano de AppH