x402 mueve el dinero. No dice quién lo permitió

HTTP 402 lleva en la especificación desde 1997: reservado, con una nota que decía que estaba pensado para uso futuro. Durante casi toda la historia de la web fue el código de estado sin nada estándar que decir a continuación, que es distinto de ser inutilizable y acaba en el mismo silencio.

x402 le dio algo que decir a continuación. El servidor responde a una petición con un 402 y con las condiciones bajo las que respondería de verdad. El cliente paga. Reintenta con la prueba, y esta vez el servidor sirve. Sin cuenta, sin clave intercambiada de antemano, sin persona en ninguno de los extremos. Para una máquina que compra una sola llamada de API esa es exactamente la forma correcta, y es una pieza de diseño genuinamente buena.

Y es, deliberadamente, solo la mitad del problema.

Qué es un raíl y qué no

Un raíl de liquidación responde: cómo se mueve el valor de A a B y cómo sabe B que ha llegado. Las redes de tarjetas responden. Las transferencias bancarias responden. x402 responde para una máquina que paga por una única petición, que es el caso que los raíles antiguos manejan mal.

Ningún raíl responde a si A debería haber pagado.

Para una persona esa pregunta suele ser invisible, porque quien decide y quien paga son la misma y la decisión ocurre en su cabeza. Para un agente las dos cosas se separan. El agente que gasta no es la parte de quien es el dinero. Otro puso los fondos, otro leerá el extracto, y el agente actúa sobre una instrucción dada antes, con otras palabras, acerca de una situación que aún no había ocurrido.

Esa distancia no es un problema de transporte, y quitarle fricción al transporte no la acorta. La ensancha. Mientras pagar era difícil, la fricción hacía el trabajo de un control.

Tres cosas que necesita un agente que gasta y que el raíl no da

Un registro de aquello con lo que alguien accedió. No un número en un fichero de configuración, que es la suposición de quien escribió la configuración. Un registro de aquello con lo que el principal accedió, atado al agente, que pueda mostrarse después y leerlo alguien que no estaba allí.

Una regla que sobreviva a que convenzan al agente. Un agente lee texto como parte de su trabajo, y el texto que lee sabe discutir con él. Las instrucciones son consultivas en el peor sentido posible: valen hasta que llega algo más convincente a mitad de tarea. Todo lo que tenga que valer pase lo que pase debe comprobarlo el sistema del otro lado de la llamada, no llevarlo el agente en su contexto.

Una forma de devolver lo que no puede decidir. Un agente sin vía de escalado tiene solo dos movimientos, actuar o fallar, y ambos están mal justo en los casos que importan. La compra que queda algo fuera de los términos es exactamente la que la persona quería ver.

Qué construimos y por qué está cada pieza

No hacemos pagos. El club mueve preguntas entre agentes: tu agente le pregunta algo al agente de otro miembro, bajo términos que fijaron ambos principales. El dinero está ausente y el problema de autoridad es idéntico, y por eso todo esto se traslada.

El agente de un miembro opera bajo un mandato: un registro firmado que dice qué puede tratar, qué puede revelar, si puede ser citado, con qué frecuencia puede ser interrumpido y qué debe escalar. Está versionado, y la versión que regía en una llamada se recupera desde la llamada.

Sus permisos efectivos son la intersección de los alcances de su token con los de ese mandato, resuelta en cada petición. Esa es la parte que la gente se salta, y es la que decide si todo lo demás es cierto. Si los permisos se congelan en una credencial al emitirla, estrechar tu mandato mañana no cambia nada de lo que ya has entregado. Habría que encontrar cada token y revocarlo, incluidos los olvidados. Recalcular la intersección por llamada hace que el estrechamiento sea retroactivo sin que nadie haga nada.

De los siete alcances, mandate:write se retiene a todo agente que construimos. Un agente que puede ampliar su propio mandato no tiene mandato.

Un agente que responde corre en un contexto aislado y sin herramientas. Puede informarte y no puede acordar, reservar, comprar ni prometer. Ese límite es la razón por la que los miembros accedieron a exponer un agente: el peor caso es una frase que no habrían escrito, y una frase se corrige. Un compromiso no.

Lo que el mandato no cubre escala. Se convierte en una decisión en la cola del principal con la cosa que la levantó adjunta, así que la persona responde con el contexto ya delante en vez de reconstruirlo.

Y cada llamada queda registrada contra el agente, el principal y la credencial por la que llegó. No por el registro en sí, sino porque "quién permitió esto" tiene que tener respuesta después del hecho, y no solo antes.

La prueba

Cuando los pagos de agentes sean corrientes habrá muchos sistemas afirmando que un agente está autorizado a gastar. Una pregunta separa a los que lo dicen en serio.

Si el principal estrecha sus términos esta tarde, ¿se estrechan también las credenciales emitidas el mes pasado?

Si sí, los términos son un mandato: se consultan en el momento de la llamada y atan lo que esté en circulación. Si no, son un memorándum que se copió una vez en unos cuantos tokens, y el principal tiene hoy menos control del que tenía al emitirlos, que es la dirección equivocada para un sistema que está a punto de empezar a gastar su dinero.

x402 no responde a esa pregunta, y no debe. Alguien tiene que hacerlo.