La verdad es que, cuando empecé a investigar la seguridad de los agentes on-chain, mi enfoque estaba totalmente en la capa del modelo: limpieza de entradas, alineación de salidas, refuerzo con RLHF. Pensaba que mientras mantuvieras cerrada la “puerta” del LLM, el dinero estaría a salvo. Pero después de ver algunos casos reales de ataque me di cuenta: este camino no conduce a ninguna parte.
Lo aterrador del prompt injection es que no ataca una vulnerabilidad del sistema, sino la ambigüedad natural con la que los modelos de lenguaje tratan las “instrucciones” y los “datos”. El informe de OWASP de 2026 clasifica este tipo de ataques como la primera amenaza para los LLM: el volumen de ataques creció un 340% año con año. Pero detrás de estas cifras, lo que de verdad vale la pena reflexionar es esto: estos ataques no tienen características fijas. Las reglas de filtrado que hoy escribes, mañana ya pueden ser descifradas con nuevas vías de evasión. La creatividad del atacante siempre va un paso por delante y la detección siempre llega tarde.
En ese momento volví a revisar la arquitectura del Newton Protocol y me di cuenta de que su punto de entrada es completamente distinto al de los demás.
La mayoría de los planes de seguridad para agentes, tanto el filtrado de entradas como la aprobación manual, en esencia dependen de la “intercepción aguas arriba”: detenerlos antes de que la instrucción llegue a la capa de ejecución. La lógica de Newton es al revés: no importa por lo que pase el agente, ni si el proceso de razonamiento ya fue contaminado; cuando la transacción realmente va a materializarse, la policy on-chain realiza una verificación forzada en el último instante. ¿Se excede el spending cap? No se ejecuta. ¿La dirección objetivo no está en la lista de approved payees? No se ejecuta. ¿No coincide con la mandate preconfigurada por el usuario? Igual: no se ejecuta.
Estas reglas no están escritas en una lógica de contrato que pueda eludirse; existen como restricciones criptográficas independientes. Los operadores en la red EigenLayer AVS evalúan por su cuenta, generan pruebas de conocimiento cero, y luego se agregan en una firma BLS; el resultado se registra on-chain como receipt. Incluso si el agente fuera controlado por completo mediante prompt injection, en la capa de ejecución aún hay una barrera criptográfica independiente del modelo. La frase del litepaper, “spending limits enforced at the cryptographic level”, no es retórica: es un compromiso arquitectónico. Dice criptografía, no código.
En seguridad de software, esta distinción tiene un equivalente clásico: defensa en profundidad. No confíes en que ninguna línea de defensa única pueda bloquear todos los ataques; cada capa debe imponer sus propias restricciones independientes. Newton pone esa restricción justo en el momento en que los fondos realmente se mueven, no durante el “pensamiento” del agente.
Claro, aquí tengo una pregunta que todavía no he terminado de aclarar: la granularidad de la policy. Si es demasiado fina, aprisiona la autonomía del agente; si es demasiado gruesa, equivale a no fijar límites. Para agentes de alta frecuencia y para agentes de baja frecuencia y grandes montos, las reglas obviamente no pueden ser las mismas. Esto no se puede resolver con tecnología: hay que validarlo con casos reales en la etapa Mainnet Beta. Newton todavía está en periodo de verificación; si este punto puede mantenerse firme depende de cuántos protocolos de agentes estén dispuestos a externalizarle la capa de autorización.
La lógica de tokens de NEWT es bastante clara: gas, autorización, el staking de los operadores y la gobernanza, todo pasa por ahí, con un mecanismo tipo EIP-1559. El total es de 1.000 millones y la circulación ronda los 220 millones; la presión de liberación existe objetivamente. Pero, honestamente, no basta con mirar el gráfico de precios: fíjate en un indicador: cuántos Authorization Receipt se generan por semana. Si ese número sube, significa que de verdad hay agentes que viven gracias a ello. Si no sube, por muy bonita que sea la narrativa, seguirá siendo una torre de humo.
El tamaño de los agentes on-chain aún es pequeño, pero crece cada trimestre. Si Newton logra asentar esta “verificación obligatoria previa a la ejecución” durante esta ventana, los protocolos que entren después lo tendrán muy difícil para eludirla. Pero como siempre: el periodo de verificación acaba de comenzar; dejemos que las balas vuelen un rato más.