Vincular claves de agentes autónomos con perfiles biométricos
Qué exige el nuevo estándar Know Your Agent a los fondos algorítmicos
Hasta hace poco, dar de alta una clave de API para un agente autónomo era una tarea de infraestructura: se generaba el token, se guardaba en el gestor de secretos y se asignaba a un servicio. El nuevo estándar Know Your Agent rompe esa lógica. Cada credencial debe quedar atada a un perfil biométrico verificable de la persona que responde por el agente, y esa atadura tiene que sobrevivir a auditorías, rotaciones de personal y cambios de rol.
Qué datos biométricos se admiten en la práctica
Los supervisores europeos y estadounidenses no exigen una modalidad concreta, pero sí piden que el vínculo sea resistente a suplantación. En los despliegues que hemos visto, lo habitual es combinar una verificación facial con prueba de vida en el momento del alta, más una huella o llave física como segundo factor para operaciones de alto umbral. El perfil biométrico no se guarda junto a la clave: se guarda una referencia firmada que el sistema de cumplimiento puede resolver cuando llega una solicitud de auditoría.
Revocación cuando un ingeniero cambia de rol
El punto delicado aparece cuando la persona responsable deja el puesto. Una clave huérfana sigue operando aunque su titular ya no esté en la plantilla, y eso es exactamente lo que el estándar busca evitar. La transferencia de responsabilidad no puede ser un correo interno: requiere que otro ingeniero ya verificado acepte formalmente la titularidad, que se reemita la referencia biométrica y que la clave anterior quede inactiva en el mismo acto administrativo. Los equipos con rotación alta suelen descubrir aquí que su inventario de credenciales no estaba tan actualizado como creían.
Fricciones reales en equipos de investigación
En mesas cuantitativas donde un mismo ingeniero mantiene varias estrategias en producción, la carga de verificación se multiplica. Algunos fondos han optado por agrupar claves bajo un responsable de área, pero el regulador suele rechazar esa simplificación si el agente opera con autonomía real sobre umbrales relevantes. La alternativa que está funcionando mejor es separar el alta biométrica de la gestión diaria: se verifica una vez por trimestre y las operaciones rutinarias quedan cubiertas por esa verificación vigente.
Plazos de adaptación
Los supervisores europeos manejan ventanas de adaptación más cortas que los estadounidenses, aunque ninguno ha publicado todavía un calendario único. Lo prudente es tratar el vínculo biométrico como un control en producción antes de que llegue la primera revisión formal, no como un proyecto que se activa cuando aparece el requerimiento.
Si tu equipo está revisando cómo encajar este control en el ciclo de vida de credenciales, en la sección de reviews hay casos concretos de fondos que ya pasaron por esa transición. También puedes escribirnos desde contacto si necesitas contrastar el enfoque con el de otros despliegues.