Por Renato Ulianov
Hasta hace poco, un «agente de IA» que compra y vende criptomonedas era una demo de conferencia. Hoy cualquiera puede conectar un modelo de lenguaje a un exchange en una tarde. La pregunta que me hago desde hace meses, mientras construyo herramientas de trading automatizado, no es si estos agentes son inteligentes, sino qué pasa cuando se equivocan con dinero de verdad.
Un experimento que conviene recordar
Entre el 18 de octubre y el 3 de noviembre de 2025, el laboratorio estadounidense Nof1 organizó Alpha Arena: seis modelos de IA recibieron 10.000 dólares reales cada uno para operar contratos perpetuos en Hyperliquid, sin intervención humana. Solo dos de los seis modelos terminaron por encima del capital inicial; los otros cuatro perdieron, aproximadamente, entre el 40 % y el 60 %.
Diecisiete días y sesenta mil dólares no bastan para concluir qué modelo «sabe» operar. Pero la lección es clara: los modelos más avanzados del mundo pueden perder más de la mitad del capital en dos semanas. Si eso les pasa a ellos, con equipos de investigación detrás, conviene pensarlo dos veces antes de entregar las claves de nuestra cuenta a un bot que alguien anuncia en Telegram.
Tres formas de perder dinero con un agente
Después de mucho tiempo escribiendo y depurando bots, veo tres riesgos distintos que a menudo se mezclan.
El primero es el más obvio: el agente decide mal. Un modelo de lenguaje no tiene una ventaja garantizada en el mercado; interpreta datos y genera decisiones plausibles, que no es lo mismo que decisiones rentables. Alpha Arena es el ejemplo.
El segundo es menos conocido: el agente se deja convencer. En noviembre de 2024, un agente llamado Freysa custodiaba un fondo en cripto con una única regla: no transferir el dinero bajo ningún concepto. Tras 482 intentos de 195 participantes, uno de ellos lo convenció de que su función para aprobar transferencias servía en realidad para recibir fondos. Freysa la ejecutó y entregó unos 47.000 dólares. No hubo un fallo de código: hubo un texto bien escrito. Es lo que en seguridad se llama inyección de instrucciones (prompt injection), y OWASP la sitúa en el primer puesto de su lista de riesgos para aplicaciones con modelos de lenguaje. Un agente que lee noticias, tuits o mensajes de terceros para decidir está expuesto a que alguien escriba justo lo que lo hará actuar.
El tercero no tiene nada que ver con la IA y, sin embargo, es uno de los que mayores pérdidas puede provocar: falla la ejecución. El 1 de agosto de 2012, Knight Capital desplegó mal una actualización de su sistema de trading y, en los primeros 45 minutos de la sesión, generó millones de órdenes no deseadas y más de cuatro millones de ejecuciones. Según documentó después la SEC, las pérdidas superaron los 460 millones de dólares. Un agente de IA hereda todos los problemas de cualquier bot: órdenes duplicadas tras un corte de conexión, posiciones que el sistema cree cerradas y siguen abiertas, reintentos a ciegas. La IA añade riesgo; no sustituye al que ya existía.
Lo que he aprendido construyendo bots
En mi caso, la lección más cara no vino de una mala estrategia, sino de los reinicios: un bot que se reinicia en mitad de una operación y no sabe qué dejó abierto puede duplicar una orden o abandonar una posición. De ahí salen las reglas que aplico hoy, y que valen igual para un agente de IA.
Separar al que decide del que ejecuta. El modelo puede proponer, pero las órdenes pasan por una capa determinista con límites que el modelo no puede cambiar: tamaño máximo por operación, pérdida máxima diaria, activos permitidos. Si el límite vive dentro del prompt, no es un límite; es una sugerencia.
Claves sin permiso de retirada. Ningún bot necesita poder retirar fondos para operar. En muchos exchanges se pueden configurar claves API con permisos limitados al trading; en Hyperliquid existen las API wallets, claves delegadas que firman operaciones en nombre de una cuenta. Es fundamental revisar exactamente qué acciones permite cada clave. Restringir los permisos reduce el riesgo de transferencias no autorizadas, pero no impide que un agente comprometido provoque pérdidas mediante operaciones de mercado.
Ante la duda, solo reducir. Si el estado que el sistema tiene guardado no coincide con el estado real de la cuenta, el bot no debería abrir nada nuevo: solo cerrar o reducir posiciones hasta que una persona revise la diferencia.
No reintentar a ciegas. Si el exchange no responde, lo prudente es parar y consultar el estado real antes de volver a enviar la orden. Muchas duplicaciones nacen de un «por si acaso».
Registrarlo todo. Cada decisión del agente, con los datos que la motivaron, debería quedar escrita. Sin registro no hay forma de saber si perdió dinero por el mercado, por un error o porque alguien lo manipuló.
Cinco preguntas antes de dar dinero a un agente
Para quien esté pensando en usar uno, propongo cinco preguntas sencillas:
- ¿La clave que voy a entregar puede retirar fondos o autorizar transferencias? Si la respuesta es sí, no la entregues.
- ¿Qué límites de pérdida existen fuera del modelo, y quién puede cambiarlos?
- ¿Qué hace el bot si se corta la conexión o se reinicia en mitad de una operación?
- ¿De qué fuentes lee el agente para decidir, y podría alguien escribirle en ellas?
- ¿Puedo ver el historial de cada decisión y el motivo por el que la tomó?
Si quien vende el producto no sabe responderlas, el problema no es la inteligencia del agente.
El futuro es automático, pero no debería ser ciego
Creo que los agentes de IA van a operar una parte creciente del mercado cripto, y que algunos lo harán bien. Pero la diferencia entre una herramienta útil y una forma rápida de perder dinero no estará en qué modelo elijamos, sino en los límites que pongamos a su alrededor. Un buen agente no es el que nunca se equivoca: es el que, cuando se equivoca, no puede hacer demasiado daño.
Sobre el autor
Renato Ulianov es creador del canal de YouTube Trade with Renato, dedicado a los mercados cripto, la macroeconomía y la inteligencia artificial, y fundador de DegenScan.
Fuentes
- Alpha Arena (Nof1), resultados de la temporada 1: South China Morning Post
- Alpha Arena — ForkLog
- Freysa — The Block