La pregunta no es si un agente puede iniciar un pago — cualquier pila de LLM lo hace desde hace años. La pregunta es qué ocurre cuando se convence al modelo. Para un banco, un agente cuyo límite vive en un prompt de sistema no es un producto sino un hallazgo de auditoría: mover ese límite solo requiere un prompt mejor.
El caso legítimo termina en 403
Un reembolso de 240,00 €: la vinculación del agente, la lista de herramientas permitidas y el control de políticas pasan, la clase de seguridad marca la herramienta como destructiva — y la llamada termina en HTTP 403 con una solicitud de aprobación. El agente puede solicitar, no pagar.
La inyección de prompt muere en el control de políticas
La misma conversación, con una instrucción oculta de 48.500,00 €. La demo muestra con honestidad que el modelo cae. El control de políticas evalúa importe, divisa y corredor con los argumentos reales — determinista y fail-closed — y deniega. Como se sitúa antes del control de aprobación, no se crea ninguna fila pendiente: ningún clic puede levantar el límite, y la interfaz muestra un bloque rojo sin botón de confirmación.
Aprobación, ejecución, evidencia
Una persona aprueba. La aprobación genera un token de un solo uso ligado exactamente a este servidor y esta herramienta, con caducidad. Solo entonces se mueve el dinero. Una segunda llamada necesita una nueva aprobación, porque el token está consumido. Después actúan el límite de tasa y el registro de auditoría.
Es real: los cinco controles y su orden, la semántica del token de un solo uso con vinculación a servidor y herramienta, la propiedad fail-closed y el hecho de que una llamada denegada por la política no crea ninguna fila de aprobación. Es ejemplo: el proveedor de servicios de pago y todos los importes, nombres e IBAN — el conector de la demo es un sandbox y no mueve dinero real. Junto a él existe un conector Wero real en Integraciones; no hay una API pública de Wero, por eso habla ISO 20022 pain.001 contra la pasarela de su banco o PSP y lee pain.002 para el estado. Permanece inactivo hasta que se configuren endpoint, ordenante y credenciales.
Véalo en su propio caso de uso.
30 minutos, adaptados a su sector, marcos e integraciones. Se va con un escenario concreto, no con un bucle de ventas.