World ID, zkPassport, EUDI: Probando el humano

Introducción

Un agente autónomo puede custodiar una clave privada, firmar una transacción y liquidar un pago sin que haya una persona en el circuito. Esa parte ya está resuelta. Lo que no está resuelto es la afirmación que una contraparte realmente necesita antes de extender crédito, otorgar un límite de tasa o contar un voto: que detrás de este agente hay un humano concreto y responsable, y que ese mismo humano no está también detrás de otros diez mil agentes que golpean el mismo endpoint.

La custodia de claves escala gratis. La condición de persona, no. Toda credencial que afirme unicidad tiene que estar anclada en algo genuinamente difícil de duplicar, y todo candidato a ancla es un artefacto físico o institucional, no criptográfico. Se están construyendo tres al mismo tiempo, y discrepan sobre cuál debería ser ese artefacto.

World reporta casi 18 millones de personas verificadas como humanos únicos a través de su hardware Orb en 160 países, y ha lanzado una actualización de protocolo que llama full-stack proof of human: una app dedicada de gestión de credenciales, un SDK de código abierto y la generación de nullifiers trasladada a la red OPRF distribuida de TACEO. ZKPassport sostiene la visión opuesta sobre dónde debe residir la confianza: lee el chip NFC de un pasaporte o documento nacional ICAO 9303 y genera pruebas de conocimiento cero sobre él enteramente en el teléfono del usuario. La Unión Europea ha legislado una tercera respuesta, exigiendo a los estados miembros que ofrezcan a los ciudadanos una billetera de identidad digital, con una meta que suele citarse para diciembre de 2026, mientras su propio grupo de trabajo técnico no ha resuelto qué construcción de conocimiento cero debe usar la billetera.

Estas no son tres implementaciones de un mismo diseño. Son tres apuestas distintas sobre qué institución tiene menos probabilidad de traicionar al usuario, y cada apuesta falla de una manera distinta. Una advertencia seria sobre las fuentes antes de continuar: apareció cobertura sobre la alianza de World con Coinbase y Cloudflare en pagos de agentes vía x402 alrededor de marzo de 2026, pero no pudimos recuperar el artículo, y todo detalle específico sobre esa integración en lo que sigue queda marcado como no verificado en lugar de tratarse como establecido.

El triángulo en el que queda atrapada toda credencial de personhood

Un sistema de prueba de personhood tiene que entregar tres propiedades, y se tensionan entre sí.

Unicidad significa que un servicio puede detectar que dos registros provienen de la misma persona y rechazar el segundo. La construcción estándar es un nullifier: un valor pseudoaleatorio derivado de forma determinista del secreto de identidad del usuario y un identificador de alcance (scope), usualmente el dominio de la aplicación verificadora. Misma persona, misma app, mismo nullifier. El verificador almacena el valor, lo vuelve a ver y rechaza el duplicado sin llegar a saber quién es la persona.

Unlinkability significa que dos servicios que comparan notas no pueden saber que están observando a la misma persona. Esto se sostiene solo si la función del nullifier es impredecible fuera de su alcance, de modo que el nullifier de la app A no revele nada sobre el nullifier de la app B. Tiene además una segunda forma, más difícil: la entidad que emitió la credencial no debería poder reconocer a sus propios usuarios en el mundo real. La unlinkability frente a terceros y la unlinkability frente al emisor son propiedades separadas, y los sistemas suelen cumplir la primera mientras fallan silenciosamente en la segunda.

Recuperabilidad es la que la gente subestima. Si la credencial no es más que una clave privada, perder el teléfono significa perder la personhood, y volver a registrarse tiene que ser indistinguible de un intento sybil. Por eso el ancla debe ser algo que el usuario pueda volver a presentar: un iris, un pasaporte, un registro gubernamental. Ese requisito es precisamente lo que convierte al ancla en un objeto físico o institucional, y por eso las preguntas interesantes sobre estos sistemas son preguntas sobre cadenas de suministro de hardware y autoridades emisoras, no sobre curvas elípticas.

Las tres propiedades se limitan entre sí. Una función determinista de un dato biométrico da unicidad y recuperabilidad, pero entrega poder de correlación a quien la calcule. Un nullifier de un solo uso da fuerte unlinkability pero elimina el punto de referencia estable que un verificador necesitaría para revocar a un mal actor. La emisión estatal da la recuperabilidad más fuerte de todas y la unlinkability frente al emisor más débil. Todo lo que sigue es una variación sobre cómo posicionarse dentro de ese triángulo.

El Orb como oráculo de unicidad

El enfoque de World trata la unicidad como un problema de medición. El Orb fotografía los ojos y el rostro del usuario, deriva un código a partir de esas imágenes, transmite el código y las fotos al propio dispositivo del usuario y, según la descripción del flujo que da World, las borra del hardware. El dispositivo divide el código en fragmentos y los envía a un conjunto de nodos AMPC, que determinan conjuntamente si este humano ya fue registrado antes. La deduplicación ocurre sobre datos compartidos de forma secreta, así que ningún nodo individual tiene una plantilla biométrica con la que hacer coincidencias contra una base de datos externa.

Esa arquitectura responde a la objeción que la gente plantea primero, que es que una empresa está construyendo una base de datos global de iris. No responde a la objeción que más importa. El usuario no puede observar si el borrado realmente ocurrió. Todo, desde el momento en que se dispara el obturador hasta el momento en que el código llega al teléfono, sucede dentro de un dispositivo sellado que el usuario no construyó, no puede inspeccionar, y frente al cual está parado durante quizás treinta segundos. Un Orb modificado o falsificado que retenga imágenes antes del borrado se vería idéntico a uno que cumple, desde donde está parado el usuario. El propio anuncio de World es una entrada de blog corporativo y no una auditoría independiente, y el material fuente que tenemos no contiene ninguna revisión de seguridad de terceros sobre el sistema de deduplicación AMPC, la derivación del nullifier o la cadena de atestación del hardware.

La actualización 4.0 sí cambia algo real. La generación del nullifier se traslada a la OPRF Network de TACEO, una capa de ejecución privada distribuida donde múltiples nodos independientes producen conjuntamente la prueba, de modo que ninguna parte controla en solitario la generación de pruebas. World describe la propiedad resultante como reconocimiento pseudónimo oblivious. Combinado con el paso a nullifiers de un solo uso, esto cambia la forma de la pregunta de confianza. Ya no es “¿tiene World un valor que vincula mis sesiones?” sino “¿puede un umbral de nodos OPRF confabularse para recalcular uno?”. Son supuestos genuinamente distintos, y el segundo es mejor. Pero el número que determina cuánto mejor, el umbral de nodos honestos y la composición del conjunto de nodos, no aparece en el material que tenemos. Hasta que aparezca, la afirmación de descentralización es direccional, no cuantificada.

Los nullifiers de un solo uso también implican algo sobre dónde reside el estado. Si el valor que recibe un verificador es fresco en cada presentación, el verificador no puede detectar un duplicado comparándolo con valores que ya vio antes. La detección de duplicados tiene que delegarse a una capa que pueda reconocer a un usuario recurrente sin saber quién es, que es lo que sugiere el planteo del reconocimiento oblivious sobre lo que hace la red OPRF. Eso es una inferencia a partir de la arquitectura descrita, no un mecanismo documentado, y es relevante porque significa que la red OPRF no es solamente un generador de pruebas. Es una dependencia de liveness. Si se detiene, el reconocimiento se detiene.

Abrir el código del SDK para que cualquier aplicación pueda actuar como autenticador de World ID amplía la superficie de integración y permite a los desarrolladores auditar el cliente. Deja el firmware del Orb y el conjunto de nodos donde estaban. La parte del stack que menos se cuestionaba es ahora la parte más inspeccionable.

La pieza orientada a agentes, AgentKit, se presenta como el mecanismo que prueba que un humano único y verificado está detrás de un agente de IA. World afirma la capacidad. El material que tenemos no explica el vínculo criptográfico, y volvemos sobre por qué ese vacío es el importante más adelante.

Leer el chip en lugar del ojo

ZKPassport reubica el ancla en un documento que un gobierno ya emitió. El usuario acerca su teléfono a un pasaporte, documento nacional o permiso de residencia compatible con ICAO 9303, la app lee el chip NFC y circuitos Noir generan pruebas de conocimiento cero en el propio dispositivo. Nada sale del teléfono salvo la prueba y lo que el usuario haya elegido explícitamente revelar. Probar edad por encima de un umbral sin revelar la fecha de nacimiento; probar nacionalidad sin revelar el nombre.

La construcción del identificador es donde el diseño se vuelve interesante. ZKPassport deriva un identificador único mediante el hash de los datos del chip junto con el dominio verificador y un valor de scope usando Poseidon2. El resultado es estable por servicio y distinto entre servicios, lo que da unlinkability frente a terceros por construcción. No da unlinkability frente al emisor, y el propio FAQ del proyecto lo dice. Un gobierno que haya conservado un registro de los datos que firmó en un chip determinado, y que conoce el dominio y el scope, que son públicos, puede recalcular el identificador y hacerlo coincidir con un ciudadano nombrado. En la configuración predeterminada, las presentaciones son unlinkable frente a todos excepto frente a la parte mejor posicionada para abusar del vínculo.

La solución documentada es un modo de identificador con sal (salted) construido sobre un OPRF verificable, que inyecta un secreto que el emisor nunca ve en la derivación. Funciona. También se presenta como una opción, lo que traslada la decisión de privacidad más consecuente del sistema a cualquier integrador que esté armando el flujo. Si los despliegues en producción usan por defecto identificadores con sal o sin sal es algo que no pudimos determinar, y es la diferencia entre una credencial que resiste la correlación estatal y una que no.

Hay una segunda dependencia debajo de la criptografía. Un conjunto de datos de chip firmado prueba que una autoridad nacional certificó esos atributos; no prueba que la persona que lo presenta sea la persona que describe el documento. La respuesta de ZKPassport es Private Facematch, una selfie multiángulo comparada localmente contra la fotografía almacenada en el chip. Para ejecutarse, requiere atestación de dispositivo mediante Google Play Integrity o Apple App Attestation, y se niega a ejecutarse en dispositivos rooteados, con jailbreak, GrapheneOS o con esquemas de firma no soportados. El sistema de pruebas minimiza la confianza requerida. El chequeo que vincula un rostro vivo con el documento se terceriza a dos proveedores de plataforma, y los usuarios a quienes más les importaría la autosoberanía son precisamente los excluidos de él.

La misma tensión aparece en el peso de la app. Supera los 400MB, de los cuales 128MB son una structured reference string de configuración confiable de Aztec que soporta circuitos de hasta un tamaño de subgrupo de 2^21, y 180MB son modelos de aprendizaje automático locales para el reconocimiento facial. El SRS ata la solidez de zkPassport a la ceremonia de Aztec. El brief del tema describe a zkPassport como adquirida por Aztec y a su sistema de pruebas como UltraHonk; ninguno de esos detalles aparece en la documentación que recuperamos, así que ambos deben tratarse como no confirmados.

La pregunta sin resolver es el replay del chip. Si un adversario obtiene una copia de los datos firmados del chip de otra persona, ya sea clonándolo o extrayéndolos durante una lectura legítima, tiene todo lo que consume el circuito. Nada en la documentación que tenemos especifica si zkPassport exige que el chip demuestre liveness mediante los propios protocolos de autenticación del documento, o si se espera que Facematch cargue con eso por sí solo. Si es lo segundo, entonces la propiedad de resistencia a la suplantación de todo el sistema descansa en el chequeo facial atestiguado por la plataforma, lo que devuelve el análisis a Google y Apple.

Bruselas no ha decidido qué significa unlinkability

La UE legisló la billetera y dejó abierta la criptografía. Se espera que los estados miembros ofrezcan a los ciudadanos una EUDI Wallet para fines de 2026, fecha que tomamos del brief del tema y no de las fuentes técnicas que consultamos. Mientras tanto, el grupo de trabajo de Architecture and Reference Framework abrió un hilo de discusión sobre integración de pruebas de conocimiento cero en febrero de 2025, y ese hilo muestra a los participantes discutiendo definiciones en lugar de converger en un esquema.

La división sustantiva es entre BBS+ y construcciones SNARK o STARK de propósito general. Parte del hilo es taxonómica: si BBS+ cuenta siquiera como un sistema genuino de prueba de conocimiento cero no interactiva. La respuesta aclaratoria que se ofrece en la discusión es que BBS+ es un esquema de firma que admite una prueba eficiente de conocimiento tipo Schnorr sobre una firma que cubre un conjunto de atributos, vuelta no interactiva mediante Fiat-Shamir, lo cual es un objeto distinto de un circuito SNARK que prueba afirmaciones sobre una firma convencional como ECDSA. Un participante observa que en el contexto EUDI, “ZKP” suele usarse coloquialmente para referirse a lo primero. La estandarización de BBS+ se persigue a través del IETF, tomando como base el trabajo de Tessaro-Zhu.

La taxonomía no es la parte interesante. Las consecuencias de implementación sí lo son. BBS+ exige que el emisor firme credenciales en formato BBS+, lo que significa que cada ministerio, registro y emisor acreditado de toda la unión adopta nueva criptografía antes de que un solo ciudadano obtenga una presentación unlinkable. Un enfoque SNARK deja que los emisores sigan firmando con los algoritmos que ya tienen y traslada todo el trabajo a la billetera, con costos de generación de pruebas órdenes de magnitud más altos.

Después está el hardware. El ARF ata la integración de ZKP al dispositivo y aplicación criptográfica segura de la billetera, el WSCD y el WSCA. Si la clave de la credencial debe permanecer dentro de un elemento seguro certificado, la prueba se ejecuta dentro de ese elemento o se divide de forma que el elemento realice una operación pequeña mientras el host maneja el resto. Los elementos seguros certificados no ejecutan probadores SNARK. Pueden ejecutar una respuesta tipo Schnorr. El régimen de certificación, en otras palabras, ejerce presión hacia BBS+ independientemente de cualquier argumento de privacidad, lo que significa que la propiedad de unlinkability que terminen teniendo los ciudadanos europeos podría estar determinada por lo que cabe en una tarjeta inteligente y no por lo que el grupo de trabajo concluyó sobre el riesgo de vigilancia.

El hilo también dedica tiempo a establecer que las pruebas de conocimiento cero tienen un error de soundness insignificante pero no nulo, del orden de 2^-100. Eso es una convención criptográfica estándar y no una debilidad específica de EUDI. Que haya sido necesario establecerlo en un hilo de un grupo de trabajo es una lectura razonable de dónde estaba el proceso a principios de 2025 respecto de una fecha de entrega en 2026. No encontramos evidencia en el material consultado de una decisión final en un sentido u otro, y sería un error tratar la elección de esquema como resuelta.

Radio de impacto, no probabilidad

La comparación útil no es cuál sistema es más difícil de romper. Es qué pasa después de una brecha: cuántas credenciales quedan afectadas, si alguien lo nota, y quién tiene autoridad para arreglarlo.

Al leer la fila de particionamiento aparece una diferencia real. Un compromiso de zkPassport queda naturalmente acotado por la autoridad emisora. Si la infraestructura de firma de documentos de un país se filtra, todas las credenciales de ese país quedan bajo sospecha y los verificadores pueden aplicar una lista negra por emisor mientras el resto del mundo sigue funcionando. Ningún evento único invalida el ancla globalmente, porque el ancla nunca fue global. El costo de esa resiliencia es que el protocolo no tiene ninguna autoridad de remediación. Espera a que un estado rote sus claves.

El particionamiento de World es más fino en un sentido y más grueso en otro. Un Orb comprometido afecta a la cohorte que enroló, que está acotada y, en principio, es abordable: invalidar las verificaciones de ese dispositivo y volver a escanear a esos usuarios. Un solo operador controla todo el pipeline y puede actuar sin esperar a nadie. La falla más gruesa es una brecha en la propia función de unicidad, es decir, una técnica que produce dos registros aceptados a partir de una sola persona. Ahí la revocación no ayuda, porque no hay un dispositivo malo que revocar, y el operador estaría remediando la propiedad que justifica la existencia de todo el sistema.

El modelo EUDI se degrada de la manera menos elegante, por una razón que no tiene nada que ver con la fortaleza criptográfica. Su modo de falla dominante no es la falsificación sino la correlación, y la correlación no deja rastro. Un usuario cuyas presentaciones están siendo vinculadas por el emisor observa exactamente lo mismo que observaría un usuario con unlinkability perfecta. No hay anomalía que detectar, ni documento falsificado que aparezca, ni remediación que exigir, y como la provisión de la billetera es obligatoria y no electiva, no hay salida competitiva. El sistema con la recuperabilidad más fuerte, porque el estado siempre puede reemitir, tiene la menor capacidad de revelar su propia falla.

La cobertura juega en sentido contrario y debería moderar cualquier conclusión. El modelo de documento solo sirve a personas que poseen documentos de identidad electrónicos modernos, y el requisito de atestación de dispositivo lo acota más todavía. La verificación por Orb alcanza poblaciones que ningún esquema basado en pasaporte puede alcanzar, lo cual es parte de por qué los 18 millones reportados abarcan 160 países. La degradación elegante es una propiedad de un ancla a la que alguien realmente puede llegar.

Dónde se gasta la garantía

Cualquiera sea el ancla que use un sistema, la garantía se consume en el momento en que un humano delega en agentes, y ahí es donde las fuentes se vuelven más escasas. World posiciona a World ID junto con AgentKit como el mecanismo que vincula un agente a un humano verificado. Nada en el material que recuperamos describe cómo se construye ese vínculo, si se aplica un tope de agentes por humano, o cómo se mantiene la responsabilidad por agente individual. El vacío importa porque el espacio de diseño solo contiene rincones malos y un camino angosto entre ellos.

Si el agente presenta el mismo nullifier atado al scope que su principal, entonces un servicio ve una identidad por humano por scope. La unicidad se transfiere perfectamente y la operación multiagente muere, porque el servicio no puede distinguir dos agentes del mismo principal ni limitarles la tasa de forma independiente.

Si en cambio el agente presenta un valor fresco y unlinkable que solo atestigua que algún humano verificado lo respalda, los agentes se vuelven ilimitados. La prueba de personhood se ha convertido en una prueba de que existe al menos un humano en algún punto río arriba, lo cual no es una afirmación escasa. Toda propiedad que estableció el Orb o el chip del pasaporte se gasta en la primera delegación.

El camino intermedio es una derivación con tope: el nullifier del agente es una función del secreto de identidad del humano, el scope del servicio y un índice, con el circuito probando que el índice está por debajo de cierto límite sin revelarlo. Eso requiere detección de duplicados con estado a través de la tupla humano-scope-índice, que es exactamente el tipo de reconocimiento oblivious que una red OPRF podría proveer. Es un diseño coherente. No tenemos evidencia de que sea el implementado.

Dos tensiones más sobreviven incluso al diseño con tope. Primero, la unicidad solo se convierte en una defensa utilizable si los verificadores denominan sus límites en humanos y no en agentes, y para aplicar un presupuesto por humano a través de varios agentes, un verificador debe poder agrupar esos agentes por principal dentro de su propio scope. Eso es una reducción deliberada de unlinkability, adoptada como el precio de la responsabilidad, y debería ser una decisión explícita del protocolo y no una emergente.

Segundo, la revocación choca directamente con los nullifiers de un solo uso. Bloquear a un agente que se comporta mal requiere un identificador estable para bloquear, y un valor fresco en cada presentación no ofrece ninguno. O la autoridad de revocación reside dentro de la capa de reconocimiento, lo cual concentra poder en la red OPRF, o los verificadores mantienen su propio estado linkable por scope, lo cual erosiona la privacidad que los valores frescos se introdujeron a proteger. La mejora en unlinkability y el requisito de responsabilidad tiran de la misma soga.

Qué resolvería estas preguntas

Las divulgaciones específicas que cambiarían el análisis son acotadas e identificables. Para World: el umbral de nodos honestos y la membresía de la red OPRF de TACEO, una auditoría independiente de la deduplicación AMPC y la derivación del nullifier en lugar de una entrada de blog corporativo, y una declaración sobre qué pasa con el reconocimiento y la recuperación si TACEO discontinúa el servicio. El SDK de código abierto es una mejora real en la superficie auditable y no toca ninguno de estos tres puntos.

Para zkPassport: si el identificador vOPRF con sal es el predeterminado en las integraciones de producción o una opción que la mayoría de los despliegues omite, y si el protocolo exige liveness del chip o deja toda la resistencia a la suplantación en manos de un chequeo facial condicionado a la atestación de Google y Apple. La adquisición por parte de Aztec, si la información reportada es correcta, concentra el stack de pruebas, el SRS y la aplicación bajo un mismo techo, lo cual importa por lo que implica para la auditabilidad de circuitos por parte de terceros que no trabajan para Aztec.

Para la UE: si el grupo de trabajo del ARF resolvió la cuestión de BBS+ después de febrero de 2025, y si fue así, si la resolución se derivó de un análisis de unlinkability o de lo que puede ejecutar un dispositivo criptográfico seguro certificado. Lo segundo significaría que los estados miembros entregaron una propiedad de privacidad elegida por una restricción de hardware, a cientos de millones de personas, bajo un plazo legal.

La razón por la que vale la pena seguir estos tres conjuntos de preguntas juntos es que los rieles de pago para agentes no van a esperar a ninguna de ellas. La infraestructura de liquidación se está construyendo ahora mismo sobre credenciales de personhood cuyos modos de falla están documentados principalmente por los proveedores que las construyeron, y la primera prueba seria no va a ser una ruptura criptográfica. Va a ser un verificador descubriendo que su límite de tasa por humano fue, todo este tiempo, un límite de tasa por agente.

Referencias

• World, full-stack proof of human announcement
• ZKPassport documentation FAQ
• EUDI Wallet ARF discussion, Topic G: Zero Knowledge Proof