El toque que el modelo no puede dar.

Un asistente conectado a una cuenta de trading es dos productos completamente distintos según un solo detalle: si puede terminar una acción o solo proponerla. Todo lo demás —qué tan bueno es el modelo, cuántas herramientas tiene, qué bien escribe— viene después de esa línea. Aquí está dónde la traza amparo, y qué hace falta para mantenerla trazada.

La mitad de lectura es la mitad fácil

Darle tu cuenta a un modelo para que la mire es sobre todo un ejercicio de plomería. El asistente de amparo tiene 22 herramientas de lectura: saldos en la billetera y en tus exchanges, posiciones y órdenes abiertas, historial de operaciones, ganancias y pérdidas, el registro fiscal, las carteras que sigues y sus libros, búsqueda de mercados y precios en vivo, condiciones de resolución, gas, estado de la membresía y el registro de movimientos de dinero. Pregúntale cuál fue tu peor mercado del mes y va y lo averigua.

La única regla de diseño que importa aquí es quién aporta la identidad. Cada herramienta toma el usuario y la dirección de la billetera de tu sesión, nunca del modelo. No existe un parámetro de usuario que pueda rellenar, bien o mal, así que «busca los saldos de la cuenta 4471» no es una frase que pueda formular. Y las rutas de administración no es que estén prohibidas: están ausentes de la lista de herramientas, así que para el modelo no existen.

Eso te da un asistente que puede responder preguntas. En el momento en que quieres uno que pueda hacer algo, el problema entero cambia de forma.

Qué es de verdad la mitad de escritura

El asistente tiene exactamente una manera de afectar al mundo, y no es una herramienta de ejecución. Es una herramienta de preparación: escribe una fila con el tipo de acción, sus parámetros, un token aleatorio y un vencimiento de 24 horas, y devuelve un enlace. Eso es todo su poder de escritura.

No se ordena nada. No se firma nada. No se mueve ningún saldo. La fila es inerte: no existe en ninguna parte un punto final del servidor que la ejecute. Solo dos rutas la tocan siquiera: una la vuelve a leer, otra la marca como usada.

Después la abres tú y una tarjeta muestra qué pasaría. Un toque la ejecuta; cualquier otra cosa, no.

Por qué esa línea y no una más estricta

Podrías ponerla más arriba: cero herramientas de escritura, el asistente explica y tú vas y lo haces. Eso es más seguro en un sentido trivial y peor en la práctica, porque devuelve a la persona la parte más propensa a errores —transcribir un mercado, un lado y un monto entre pantallas—, que es exactamente el trabajo para el que pedía ayuda.

Podrías ponerla más abajo: dejar que ejecute, con reglas. «Nunca más de 50 dólares.» «Solo estas plataformas.» El problema es que un motor de reglas metido entre un modelo de lenguaje y una llave es algo en lo que tienes que acertar por adelantado, para siempre, para cada tipo de acción que agregues alguna vez. La línea de arriba solo hay que acertarla una vez.

La versión más fuerte del argumento es lo que implica un compromiso total. Supón que el modelo está liberado, el prompt envenenado y el servidor respondiendo lo que un atacante quiera. El peor resultado alcanzable es una tarjeta en tu pantalla que dice algo engañoso, porque el último paso exige una firma producida en un origen que la página no puede programar y el servidor no puede falsificar. Eso es un fallo acotado, y los fallos acotados son los únicos que vale la pena diseñar.

La inyección de prompts no es un caso raro: es la entrada

El asistente lee títulos de mercados. Los títulos de mercados los escriben desconocidos. Las etiquetas de las carteras que sigue, también. Todo resultado de una herramienta es, en sentido de seguridad, texto influido por un atacante que entra en el contexto del modelo, y la manera honesta de construir es suponer que algo de eso está intentando algo.

Dado eso, salen dos mecanismos más, y ambos consisten en hacer que la salida del modelo importe menos.

El modelo no escribe los números

Cuando se prepara una apuesta, el servidor va y lee los mejores precios reales de la plataforma y calcula él mismo las participaciones y el pago, ya con las comisiones. Después, cuando la tarjeta se abre en tu navegador, se vuelve a cotizar otra vez: recorriendo la escalera real de ofertas para tu monto, porque la primera estimación usó el precio de la punta y una orden más grande que las participaciones que descansan ahí se llena bajando por el libro, a un promedio peor. Si una parte no tiene vendedor, la tarjeta lo dice antes de que apruebes y no después de quedarte corto.

Así que el modelo aporta la intención —qué mercado, qué lado, cuánto— y los números que te piden aprobar vienen de un lugar al que no llega.

El modelo no puede escribir un enlace

La otra mitad de la superficie de inyección es la burbuja del chat: texto que parece una URL, apuntando a una página que hace algo. Por eso cualquier URL de la app que aparezca en la prosa del modelo y que no haya devuelto una herramienta en ese turno se borra antes de mostrar el mensaje — y el prompt del sistema se lo dice al modelo sin rodeos, para que no gaste salida intentándolo. Todo enlace accionable de la pantalla vino de la herramienta que preparó aquello a lo que apunta.

Qué ejecuta la aprobación, que es nada nuevo

La última pieza es la que se arruina fácil por ser demasiado ingenioso. Cuando apruebas, el ejecutor no llama a ninguna API especial de agente. Llama a los mismos puntos finales de preparar → firmar → enviar que llaman los botones de la app, en el mismo orden, con el mismo paso de firma en el medio.

Es una negativa deliberada a construir una segunda manera de mover dinero. Todas las comprobaciones del servidor siguen delante: si la plataforma se puede usar donde estás, si tu membresía lleva esa parte, si el monto supera el mínimo de la plataforma. Un camino de asistente capaz de saltarse un mínimo en silencio no sería una funcionalidad: sería una segunda implementación, menos probada, del código más peligroso del producto.

Hay catorce tipos de acción en total, y son poco vistosos a propósito: comprar o vender un resultado en Polymarket, Azuro o Myriad; la pata de cobertura de una apuesta igualada; un swap; un puente; abrir un perpetuo o ponerle take-profit y stop-loss; arrancar un movimiento de dinero desde o hacia el banco; mover dinero hacia o desde tu saldo para apostar; guardar una cartera en tu lista. Cuatro de esos solo arrancan un proceso asíncrono, así que la pantalla final dice «va en camino» y no «listo» — una distinción que vale la pena cuando lo que arrancaste tarda unos minutos.

Algunas cosas no tienen ningún tipo de acción. Earn de rendimiento fijo y la cobertura de divisas no lo tienen: el asistente responde con datos y te abre la pantalla. Tampoco lo tiene la pata en la casa de apuestas de una apuesta de cobertura, por la razón simple de que ningún software puede colocar esa apuesta por ti — solo puede ponerle precio a la cobertura.

Las partes incómodas

Un diseño así tiene costos, y una página que solo contara la mitad tranquilizadora no valdría la lectura.

• El token es al portador. Cualquier usuario autenticado que tenga el enlace puede abrir la tarjeta — a propósito, porque la cuenta con la que entras en el teléfono y la cuenta a la que está atada tu app de chat suelen ser dos accesos distintos de la misma persona. Se argumenta que es seguro porque la aprobación siempre corre bajo la billetera y la firma de quien abre, así que un portador solo puede gastar su propio dinero. Es un argumento real, y también es un ensanchamiento; es de esas cosas que hay que volver a mirar cada vez que se agrega un tipo de acción.
• Una tarjeta puede estar vieja. Veinticuatro horas es mucho tiempo en un mercado, que es justo por lo que una apuesta se vuelve a cotizar al abrirse en vez de confiar en el precio con el que se preparó. Aprobar el martes algo preparado el lunes debería sentirse como una decisión nueva, porque lo es.
• No se puede cancelar a mitad. Una vez que los pasos arrancan, la tecla de escape se ignora. Una acción de varios pasos interrumpida entre firmas deja el dinero en un lugar ambiguo, y eso es peor que unos segundos más de espera.
• El modelo es un tercero. El asistente de amparo funciona sobre DeepSeek, que procesa en China. No se envía absolutamente nada antes de que hayas leído eso y aceptado, el consentimiento queda con fecha y se retira en el momento, y aplica al chat y a nada más del producto. La entrada por voz suma un segundo procesador para la transcripción, en Estados Unidos, y el texto aterriza en la casilla para que lo leas antes de enviarlo.
• Corre con presupuesto, y lo dice. Alrededor de un dólar de gasto de modelo por quincena y por cuenta, aplicado rechazando una ronda que no puede pagar en vez de cortarla por la mitad. Un modelo que se detiene a media frase porque se acabó el dinero es peor fallo que uno que se niega a empezar.

Una más, menos evidente: una respuesta cortada no debe parecerse a una respuesta terminada. Que una generación se trunque significa que viste el principio de una respuesta, no una respuesta — así que el servidor le pide que continúe exactamente desde donde paró, dos veces como máximo, y si aun así no termina, la burbuja queda marcada como cortada. Antes, una conexión caída se veía idéntica a una respuesta completa, que es un pequeño horror por derecho propio.

Si estás construyendo uno de estos

Lo transferible no es el código, es la forma:

• Dale al modelo un canal de propuestas, no credenciales. Tiene que ser estructuralmente incapaz de completar algo, no meramente estar instruido para no hacerlo.
• Dibuja la confirmación con estado vuelto a derivar, nunca con la salida del modelo. Si el modelo puede escribir el número que un humano revisa, el humano está revisando al modelo.
• Pon el paso irreversible detrás de un secreto que el anfitrión del modelo no tenga. Una política es una promesa; una llave ausente es un hecho.
• Trata cada resultado de herramienta como texto hostil, y acota lo que un resultado hostil puede lograr — aquí, una tarjeta engañosa y nada más.
• Deja escrito que la aprobación automática, un token más amplio o un tipo de acción nuevo reabren el análisis entero. Y después reábrelo de verdad.