Ninguna IA tiene autoridad propia.

Los agentes ya no solo escriben: hacen.

Un agente que redacta un correo y se equivoca no cuesta nada. Un agente que lo manda, paga la factura, borra la copia de seguridad o exporta el padrón de clientes se equivoca y ya pasó. No hay deshacer, y quien responde es la persona que le dio el acceso.

Hoy el control está en el sitio equivocado: en el modelo. Instrucciones, filtros, “no hagas esto”. Eso se rompe con una frase metida en un correo, y quien lo dice no es un vendedor de seguridad: OpenAI admitió en 2026 que la inyección de instrucciones puede que nunca se parchee del todo.

Mandato firmado, decisión determinista, recibo verificable.

1. Uno · el mandato

   Una persona escribe qué puede hacer un agente: el objetivo, las acciones permitidas, los topes por operación, el presupuesto acumulado y cuándo quiere aparecer ella. Lo firma con su passkey, y lo que firma son los 32 bytes del hash del mandato: la firma cubre el texto exacto, no algo parecido.

2. Dos · la decisión

   Cada intento pasa por diez comprobaciones en orden fijo: sistema, mandato, catálogo, permiso, límites, presupuesto, procedencia, forma de la actividad reciente, reversibilidad y contexto. El resultado es uno de tres: pasa, pide una persona, o no pasa. No hay un modelo decidiendo esto.

3. Tres · el recibo

   De cada decisión sale un recibo firmado con Ed25519, encadenado al anterior y anclado fuera del servidor. Se verifica con la clave pública y nada más: no hay que preguntarle al sistema que lo emitió.

/firewall

Cinco frases, y todo lo demás se deduce de ellas.

1. 1La autoridad se presta, y quien presta responde.

   La empresa a la persona, la persona al agente, el agente al subagente, nunca más de lo que recibió. Cada recibo nombra la cadena entera.

2. 2La autoridad correcta no se adivina: se calibra con evidencia.

   Un agente empieza observado, y su mandato crece por incrementos que una persona firma y que citan los recibos que los justifican.

3. 3La autoridad prestada no cubre lo que el agente leyó de fuera.

   Un dato que solo apareció en un correo o en el resultado de una herramienta no tiene la confianza del mandato, aunque el tipo de acción esté permitido.

4. 4La IA baja el costo de estar en el bucle, pero no saca a la persona de él.

   Aconseja, redacta y señala. Solo puede añadir fricción: pedir que mire una persona. Nunca permite nada por su cuenta y nunca firma.

5. 5La prueba vale fuera de quien la produce.

   Recibos firmados, encadenados y anclados fuera del servidor, verificables sin preguntarle nada al sistema que los emitió.

Un papel estrecho a propósito.

Un modelo puede dar una segunda lectura de una acción y pedir que la mire una persona. Puede redactar el borrador del mandato que después firmas tú. Puede elegir cuál de diez preguntas hiciste sobre tu propia operación. Lo que no puede hacer nunca es permitir algo, firmar algo, o poner un número en una respuesta.

Lo último no es un detalle. En la pantalla de abajo, las cifras las cuenta una consulta del servidor y el modelo, como mucho, eligió qué pregunta hiciste. La pantalla lo dice en voz alta.

/preguntar

Gratis mientras sea tuyo. De pago cuando sea de tu equipo.

Cobrar por decisión comprobada gravaría el comportamiento seguro: estrecharías lo que pasa por Venia para pagar menos, y lo que no pasa por Venia no está protegido. Y cobrar por persona que aprueba empujaría a concentrar las aprobaciones en una sola, cuando el producto vende la regla de dos personas. Así que agentes, decisiones y recibos son ilimitados en todos los planes, incluido el gratuito, y el de equipo es plano en vez de por asiento.

Un sistema protegido es el servidor MCP, la base o el servicio, no cada una de sus herramientas. Los subagentes gastan del presupuesto del padre y no cuentan aparte. Los límites del plan libre se cumplen de buena fe: Venia corre en tu máquina y no lleva telemetría, así que no hay una llave que los imponga ni nada que llame a casa.

Los límites, antes de que preguntes.

• No detecta intenciones.

  Verifica autoridad. Si firmas un mandato que permite algo, lo permite, y el recibo dirá que la firma fue tuya.

• No protege lo que no pasa por él.

  Un agente con una credencial propia, por fuera del proxy, está fuera de Venia. Parte del trabajo de un piloto es encontrar esos caminos.

• La vía de dinero corre hoy contra un banco simulado.

  El motor, los recibos, el proxy MCP y el SDK funcionan contra herramientas reales. Ninguna vía de pago real está conectada todavía, y lo decimos antes de que preguntes.

La abres. Eso es toda la instalación.

Sin registro, sin tarjeta y sin instalar nada. La consola corre dentro de tu navegador — no es una demostración con datos inventados, es el motor decidiendo, firmando recibos y encadenándolos, en tu pestaña. Registras una passkey y ya estás dentro.

Todo se queda en tu máquina: la base, las claves y la bóveda viven en tu navegador, no en un servidor nuestro. No hay cuenta que crear porque no hay nada tuyo en ninguna parte.

Para proteger un agente, envuelve el servidor MCP que ya usa: venia init --server "…". Imprime la URL donde firmas el mandato con tu passkey, y el JSON para tu cliente MCP.

Cuando alguien tiene que responder por esto.

El plan libre no necesita nada de nosotros. Escribe solo si necesitas lo que el navegador no te puede dar: anclaje fuera de tu red, calibración de autoridad con tus propios recibos, y un contrato que tu equipo de seguridad pueda firmar. Contesta una persona en menos de un día hábil, y lo que nos cuentes es confidencial por defecto.