Internet está inundado de bots. Ya representan alrededor del 50% de todo el tráfico de Internet, una cifra que está a punto de dispararse hasta el 90% en 2030, a medida que la gente empiece a utilizar los llamados agentes de inteligencia artificial (IA) para realizar en su nombre tareas mundanas de Internet como abrir cuentas, comprar zapatos o entradas y pedir comida.
Es un gran problema para las empresas. Los minoristas online no quieren que los bots se hagan con productos codiciados más rápido que cualquier humano, los bancos tienen que asegurarse de que los estafadores no puedan hacerse con cuentas y las redes sociales quieren mantener alejados a los suplantadores de identidad. Tampoco quieren impedir que el creciente número de buenos bots haga lo que sus propietarios pretenden.
Si añadimos la IA a la mezcla, la cosa empeora. Las técnicas de detección de bots de la vieja escuela, como los CAPTCHA –en los que se pide a los usuarios que seleccionen cuadrados que contienen una motocicleta o descifren una palabra codificada para demostrar que son humanos–, simplemente no son rivales para los modelos sofisticados. Según Rick Song, cofundador y CEO de la plataforma de verificación de identidad Persona, la IA también ha facilitado enormemente la imitación de la voz de una persona, la falsificación de su rostro y la creación de documentos de identidad falsos.
«Quizá esta distinción constante de ‘esto es un bot o no’ sea una distinción absurda que quizá ya no tenga sentido», dijo Song, de 34 años, a Forbes. «La verdadera cuestión es quién está detrás de la IA y cuál es su intención».
Asegurarse de que un usuario es quien dice ser es la base de Persona, con sede en San Francisco, que ofrece software de autenticación de identidad a 3.000 empresas, entre ellas OpenAI, LinkedIn, Etsy, Reddit, DoorDash y Robinhood. Utiliza una combinación de métodos para verificar la identidad de una persona, como pedirle que suba una foto de su documento de identidad oficial, que se haga un selfie o grabe un vídeo mientras gira la cabeza o parpadea, o que escanee el chip NFC incrustado en un pasaporte. En caso de que una persona suponga un riesgo significativo, se le puede pedir que realice una ‘prueba de vitalidad’, en la que se le pide que levante su DNI y mueva la cara para demostrar que está viva y es la verdadera propietaria del documento. Los modelos de aprendizaje automático de la empresa también pueden detectar señales de riesgo, como la red que utiliza una persona, lo lejos que está de la ubicación que figura en su documento de identidad, la forma en que interactúa con un dispositivo y su presencia en Internet.
«Incluso hoy en día, gran parte de la actividad de los bots es de naturaleza muy mecánica», afirma Song. «Muchos bots tienden a usar copiar y pegar mucho más, o hay más vacilaciones entre las entradas o simplemente un tipo de comportamiento muy rítmico».
Fundada en 2018, Persona anunció el miércoles que ha recaudado 200 millones de dólares en financiación de Serie D liderada por Ribbit Capital y Founders Fund junto con la participación de los inversores existentes Coatue, Index Ventures, First Round Capital y Bond. Song dijo que su empresa, valorada ahora en 2.000 millones de dólares y con 417 millones de dólares de financiación total, firmó contratos anuales por valor de 100 millones de dólares el año pasado.
El éxito de Persona radica en la creación de procesos de verificación personalizados, denominados ‘flujos’, que se adaptan a las necesidades específicas de sus clientes y se ajustan en función del caso de uso concreto y el nivel de riesgo que presenta una persona. Por ejemplo, Persona crea un flujo diferente para una persona que intenta verificar su edad para pedir alcohol en una aplicación de reparto de comida que para alguien que solicita un préstamo. «No hay una solución única para la identidad», afirma Song.
OpenAI utiliza Persona para examinar a cientos de millones de usuarios de 225 países que se registran en ChatGPT y su API, garantizando que las personas incluidas en listas de vigilancia y sanciones internacionales no se cuelen y utilicen sus modelos de forma perjudicial e ilegal. Las personas que no están marcadas como usuarios de riesgo no necesitan pasar por un proceso de verificación más exhaustivo ni revisar manualmente sus cuentas, lo que reduce la fricción durante el registro. La plataforma de aprendizaje en línea Coursera recurrió a Persona para verificar sus 168 millones de usuarios en 200 países en función de la clase que están tomando. Quienes acceden a un curso acreditado por la universidad se examinan de manera diferente que un estudiante ocasional para asegurar que es un proceso de incorporación sin problemas. DoorDash empezó a utilizar Persona durante la pandemia para comprobar los antecedentes del aluvión de repartidores que llegaban a su plataforma, exigiéndoles que presentaran selfies y comparándolos con un documento de identidad oficial.
Aunque los bots y los defraudadores siempre han formado parte de Internet, la IA representa un nuevo y asombroso desafío. Según un informe de la empresa de ciberseguridad Imperva, las empresas estadounidenses pierden entre 18.000 y 31.000 millones de dólares al año por ataques basados en IA. Las pérdidas mundiales por ataques de bots, en los que los estafadores acaparan los costes de los servidores, oscilan entre 68.000 y 116.000 millones de dólares. Una de las formas en que los bots atacan a las empresas es mediante la creación de cuentas falsas que pueden beneficiarse de incentivos como créditos por recomendación, descuentos y promociones.
Las personas pueden decidir utilizar bots o contenidos generados por IA por razones válidas, como tener una barrera lingüística o una discapacidad. Los bots buenos representaron el 14% del tráfico automatizado en 2024, mientras que los maliciosos fueron responsables del 37% de la actividad en Internet, según el estudio de Imperva.
En los casos en los que el uso de bots puede rastrearse hasta un humano y pueden verificarse sus razones para utilizar IA, «queremos asegurarnos de no adoptar un enfoque autoritario», dijo un director senior de asuntos regulatorios en una empresa que utiliza Persona para verificar las identidades de los nuevos usuarios.
La subcontratación de Persona para verificar la identidad aborda varios retos a la vez. Una empresa que lucha contra los perfiles falsos en su plataforma optó por Persona para verificar a las personas reales porque hacerlo internamente requeriría costosos recursos de ingeniería. «Sólo queremos que alguien nos resuelva el problema», dijo un ingeniero de la empresa a Forbes. Otro cliente dijo que optaron por utilizar Persona porque no querían almacenar la información de identificación personal de las personas.
Persona almacena los datos que recopila de los usuarios de sus clientes en servidores de AWS y GCP, pero esos datos son propiedad de las propias empresas y están gestionados por ellas. Tratar con grandes cantidades de datos confidenciales conlleva sus propios problemas: En octubre de 2024, Persona se enfrentó a una demanda colectiva que alegaba que recopilaba información de identificación personal de algunos usuarios de Illinois a partir de permisos de conducir y selfies y la utilizaba para entrenar sus modelos de IA. La demanda fue desestimada voluntariamente por los demandantes. Una demanda similar presentada en febrero de 2024 alegaba que la empresa recopiló y almacenó datos biométricos como escaneos geométricos faciales de conductores de reparto de DoorDash en Illinois sin su consentimiento. La portavoz de Persona, Evelyn Ju, dijo que las reclamaciones carecen de fundamento y que la compañía «siempre ha adoptado un enfoque de privacidad y cumplimiento primero».
Persona es un nuevo actor en el mercado de verificación de identidad, dijo Akif Khan, analista VP de Gartner. Se enfrenta a empresas como la plataforma de verificación de identidad biométrica aeroportuaria Clear Secure, que salió a bolsa en 2021 y registró 770 millones de dólares en ingresos en 2024, y Jumio, con sede en Sunnyvale, que proporciona herramientas basadas en IA para la verificación de identidad y afirma haber procesado más de mil millones de dólares en transacciones. También hay empresas aún más nuevas, como Worldcoin, de Sam Altman, que utiliza un dispositivo biométrico esférico apodado ‘orbe’ para escanear el iris de las personas a cambio de tokens criptográficos, una forma bastante extraña de demostrar que una persona es real y humana.
Khan señaló, sin embargo, que las empresas cautelosas ante la creciente amenaza de deepfakes, lo que podría traducirse en más oportunidades de negocio para Persona dado su uso de señales de riesgo en línea, dijo.
Cuando Song fundó Persona en 2018, la verificación de identidad era realizada principalmente por equipos humanos con sede en Europa del Este, dijo Thomas Laffont, cofundador de la firma de inversión tecnológica Coatue Management, quien emitió un cheque de 750.000 dólares en la ronda semilla de la compañía ese año y ha invertido en cada ronda desde entonces. La idea de Song era utilizar software. «Eso les permitía tener un precio más competitivo y que los clientes utilizaran más el producto. Porque si cada vez que un humano participaba, se creaba un ‘cuello de botella», dice Laffont a Forbes.
Song había pasado cinco años trabajando en soluciones de fraude de identidad como ingeniero en el gigante del software para puntos de venta Square, que a principios de la década de 2010 lanzó productos como la aplicación de pago digital Cash App y el proveedor de préstamos Square Capital, que requerían diferentes métodos de verificación de identidad. Song se dio cuenta de que una solución de software flexible y automatizada podía adaptarse a las necesidades de verificación de una empresa. Se asoció con su entonces compañero de piso Charles Yeh, actual director de tecnología de Persona, para crearla.
«El reto fundamental de la identidad en Internet es su incertidumbre y su uso para todo tipo de cosas, desde el cumplimiento hasta la confianza y la seguridad, desde la prevención del fraude hasta la seguridad», afirma Song. «Las empresas trataban la identidad como una solución milagrosa. Pero lo que he visto es que no hay una única forma de resolver todo esto«.
Los agentes de IA requerirán otra solución. Song cree que las empresas que creen agentes tendrán que registrar los robots para que sea más fácil detectarlos. En cuanto a los humanos, Persona espera crear perfiles de identidad para cada persona utilizando los cientos de actividades que realizan en línea a lo largo del tiempo, como pedir comida o navegar por las redes sociales, para que Persona pueda verificar más rápidamente que son humanos. Song afirma que estos perfiles serán resistentes a las manipulaciones y reutilizables, de modo que puedan presentarse en cualquier sitio durante el proceso de verificación, algo que cree que la gente querrá utilizar a pesar de los evidentes inconvenientes para la privacidad.
«Hoy en día se revela cada vez más información sobre uno mismo. Estás dando mucha información», afirma Song. «Nuestro sueño es esta idea de una identidad portátil autosuficiente, de propiedad personal».
