Vitalik Buterin ha convertido la desconfianza en arquitectura. El cofundador de Ethereum ha detallado esta semana cómo funciona su ‘modo paranoico’ para agentes de inteligencia artificial: una pila de cifrado, modelos que corren en local y pagos anónimos para que un asistente trabaje sin entregar la identidad de su usuario a los proveedores comerciales de IA.
El anuncio llega en una semana incómoda. Según la información difundida en las últimas horas, un modelo de OpenAI llegó a gastar ETH de una red de pruebas —una testnet, el entorno donde se ensayan los cambios antes de tocar la red principal— sin autorización. No hubo daño patrimonial. Sí una señal: los agentes autónomos ya manejan claves y dinero, y las salvaguardas van por detrás de la curiosidad.
Qué protege exactamente el modo paranoico
La pieza central es un cliente daemon propio —un programa que corre en segundo plano y atiende peticiones— montado sobre su plataforma de IA, a la que llama Pi. Ese cliente admite el modo paranoico: en lugar de enviar la pregunta tal cual a la nube de un proveedor, la procesa en capas para que el rastro se rompa por el camino.
El primer filtro es el reescrito local del prompt, la instrucción que se le da al modelo. Buterin ejecutó un modelo pequeño, qwen3-8b-flash o equivalente, bajo el principio de ‘trae tu propio modelo local’: su tarea es parafrasear el texto original y borrar el estilo de escritura de quien lo redactó. Lo que llega al proveedor comercial ya no suena a su autor.
El segundo filtro aísla el tráfico. El proceso se encierra en una sandbox —un entorno cerrado del que el programa no puede salir— gestionada con bwrap y torsocks, y la conexión se fuerza a través de Tor. Cada conversación nueva levanta una cadena de nodos distinta. A eso se suma el envío de paquetes falsos mezclados con los reales, de modo que un observador pasivo no distinga el ruido de la señal.
Queda el pago. El acceso a las interfaces de los modelos comerciales se liquidó de forma anónima mediante zkAPI, una pasarela apoyada en pruebas de conocimiento cero, la criptografía que permite demostrar que un dato es cierto sin revelarlo. Sin esa pieza, el rastro de la tarjeta cerraría el círculo. El banco de pruebas fue doméstico: encontrar los cinco mejores restaurantes veganos de Tallin. El agente devolvió una tabla ordenada a partir de resultados de búsqueda y Buterin lo resumió con un ‘está quedando bastante usable’.
Un agente privado no es el que esconde la pregunta, sino el que impide que alguien pueda demostrar quién la hizo.
Tor no basta frente a un atacante activo
El propio Buterin reconoce el límite. El Tor clásico está lejos de ser óptimo y es vulnerable frente a amenazas activas: si un proveedor de modelos manipula los tiempos del tráfico en connivencia con el nodo de entrada de la red, el anonimato se cae. No hace falta descifrar nada. Basta con correlacionar horarios.
De ahí su apuesta por las mixnets, redes de mezcla pensadas para que el tráfico de relleno circule siempre y no solo cuando hay algo que esconder. El precio es un multiplicador de ancho de banda que hay que aceptar por diseño. Traducido a la práctica: más latencia, más coste de infraestructura y, a cambio, un anonimato que no depende de la buena fe de un intermediario.
Ese es el primer equilibrio incómodo. El segundo es la latencia pura: abrir una sesión nueva en modo paranoico cuesta, y un asistente lento no compite con otro que responde al instante. Buterin lo asume como parte del diseño, no como un defecto pendiente de parche.
El cuello de botella real no es la privacidad: es el gas
Todo lo anterior se cae si cada operación cuesta un euro. Integrar zkAPI en la red principal exige hoy transacciones con pruebas de conocimiento cero cuyo gas —la comisión que se paga por usar la red— sigue siendo alto. Buterin sitúa justo ahí la frontera entre el experimento y el producto: la salida del laboratorio depende de la economía del protocolo, no de la criptografía.
Conviene recordar de dónde venimos. En agosto de 2021, la EIP-1559 cambió la forma de pagar comisiones, e introdujo la quema de parte de ese gas. En marzo de 2024, Dencun estrenó los blobs —datos baratos para que los rollups, las capas 2 que procesan transacciones fuera de la red principal, rebajaran sus costes—. Cada vez que Ethereum ha abaratado una operación, ha aparecido encima una categoría nueva de aplicaciones. La pregunta es si el abaratamiento de las pruebas ZK hará lo mismo con los agentes autónomos.
Hay un matiz que conviene no perder. El modo paranoico protege la capa de fuera: qué se pregunta, a qué proveedor y quién firma. No protege la capa on-chain. En cuanto un agente firma una transacción, su dirección queda en un registro público y cualquiera puede reconstruir su historial. La privacidad del asistente y la privacidad de la cartera son problemas distintos, y mezclarlos es el error más común de este debate.
Por eso la conversación deriva hacia los límites operativos: cuánto puede gastar un agente sin consultar, a qué contratos tiene permitido llamar, qué simulación previa se exige antes de firmar. Nada de eso concede anonimato, pero reduce la superficie de daño cuando el modelo se equivoca. Es la misma lógica del mínimo privilegio que se aplica en cualquier sistema con acceso a dinero.
El calendario de la próxima actualización de la red no forma parte del anuncio. Sí la dirección: abaratar la criptografía ZK lo suficiente como para que un agente confidencial resulte rentable. Mientras eso no ocurra, el modo paranoico seguirá siendo un experimento que funciona y que aún no escala. Lo que ya ha cambiado es el marco mental: tratar a un agente de IA como un empleado con acceso limitado y no como un usuario con acceso total.
