El agente de comercio que no protege su memoria no merece la confianza que pide.

Gadgil et al. (2025) demuestran que, aunque resulta difícil forzar a un agente a sobreescribir sus propios archivos de memoria usando contenido externo no confiable, los payloads ya plantados en esos archivos pueden atacar exitosamente sesiones presentes y futuras [1]. El matiz importa: la barrera de entrada no es alta si el atacante consigue una sola escritura exitosa en el archivo de memoria. A partir de ahí, la infección persiste entre sesiones.

Esto modifica cualitativamente el modelo de amenaza para inyección de prompts [1]. La inyección clásica era efímera —se agotaba con la sesión—. En un agente de comercio con memoria persistente, una instrucción maliciosa inyectada una vez puede redirigir decisiones de compra, alterar preferencias de producto o manipular criterios de pago durante un período indeterminado.

IntentTune [3] demuestra que las señales de comportamiento específicas del usuario —en particular las consultas de búsqueda previas— superan tanto a las estadísticas poblacionales como a la información estática de perfil para resolver intención en consultas sub-especificadas. Un agente de commerce con acceso a la sesión histórica puede desambiguar una búsqueda como «reloj» infiriendo género, grupo de edad, categoría e intención de talla con mucha mayor precisión que uno que opere solo con señales poblacionales [3].

CoPersona [4] complementa esta vía para usuarios con historiales escasos: su grafo multiplex descompone interacciones en facetas y recupera señales de pares comportamentalmente similares, logrando mejoras consistentes sobre baselines sólidos en múltiples dominios [4].

Creemos que estas dos piezas, juntas, definen el estándar mínimo de un recomendador agéntico serio: resolución de intención por historial propio cuando hay datos, completada con señales colaborativas por faceta cuando no los hay. Pero cada pieza depende de almacenar y consultar datos de comportamiento persistentes — exactamente el tipo de archivo que Gadgil et al. identifican como vector de ataque [1].

Trapeznikov y Utushkin (2025) reformulan la recuperación top-K como un MDP sobre el posterior implícito de ALS, donde cada ítem seleccionado modifica el estado del usuario y, por tanto, lo que debería recuperarse a continuación [6]. La recuperación estática ignora esta dinámica; la planificación consciente tiende a superarla en todos los datasets bajo leave-last-n [6].

Bi-NAS [5] muestra que la búsqueda de arquitectura en dos niveles, combinada con LLMs en modo zero-shot, mejora tanto la precisión de las recomendaciones como la efectividad de las explicaciones en cuatro datasets del mundo real [5]. Las explicaciones se alinean con las preferencias de características del usuario y las puntuaciones de calidad del ítem.

Nuestra posición: en un agente que opera con memoria persistente y planificación dinámica, la explicabilidad no es un nice-to-have para el usuario — es una herramienta de auditoría contra la manipulación. Si el agente puede explicar por qué recomienda algo, un sistema de supervisión puede detectar cuándo la justificación es incoherente con el historial real del usuario, señal potencial de un payload inyectado en memoria [1].

Qian (2025) confirma experimentalmente que en economías acopladas de agentes LLM, el crecimiento relativo de un agente iguala su información reclamada relativa, con un error máximo de 46 millinats [2]. La concentración de riqueza es brutal: el agente mejor informado absorbe esencialmente la totalidad del pool de riqueza en 4 de 5 semillas de mercado [2].