Os bancos já estão bloqueando agentes que fazem login usando credenciais entregues pelos próprios clientes. O JPMorgan afirma que está bloqueando serviços de credenciais compartilhadas que movimentam dinheiro, enquanto trabalha em uma forma de fazer isso corretamente.
Estamos entrando em um cisma. Algumas empresas estão construindo uma porta de entrada para os agentes, enquanto outras estão bloqueando os caminhos por onde eles entram. O Walmart acabou de anunciar um Agent Gateway baseado em MCP, começando com um beta para desenvolvedores, e Perfis de Agente previstos para o mês que vem, com limites de gastos.
Na teleconferência de resultados da Meta, Zuckerberg disse que compras eram o caso de uso mais comum do Muse, com um ticket médio acima de US$ 200. Isso é absolutamente um problema financeiro, e a recompensa por resolvê-lo é enorme.
David Sacks argumenta que os bancos deveriam oferecer suporte a um acesso que os clientes possam conceder, limitar e revogar. Concordo com a direção. A pergunta mais difícil é como.
Para o seu banco, seu agente parece um gigantesco problema de fraude e responsabilidade.
Entregar meu login não diz ao banco qual agente está usando a conta, o que pedi para ele fazer ou se a ação corresponde à minha instrução. Um cliente pode aprovar o acesso sem aprovar tudo o que um agente possa tentar fazer.
Sinto que um mapa vem aí.
Existem quatro camadas: Entrada, Identidade, Ferramentas e Intenção.
1. Entrada: dê ao agente um caminho de acesso suportado.
Personal Agent Protocol, ou PAP (agora chamado Poppy), dá a uma empresa uma maneira de publicar como os agentes podem interagir com ela: onde fazer login, quais interfaces oferece e qual acesso será concedido.
Meu agente descobre essas informações e usa um fluxo de login suportado. Eu aprovo o acesso; a empresa decide o que permite. Esse acesso pode ser limitado e revogado. Bank of America e Wells Fargo são parceiros de design, o que significa que estão ajudando a moldar o protocolo, e não prometendo que meu agente poderá usar seus aplicativos bancários amanhã.
O Trusted Agent Protocol (TAP) da Visa permite que um agente de compras se apresente com informações assinadas: “Sou um agente de compras aprovado pelo programa da Visa, estou comprando para este cliente e aqui está como ele vai pagar”. O comerciante pode verificar essas informações antes de permitir que o processo continue. Ainda assim, é preciso checar se eu aprovei a compra.
O Web Bot Auth permite que o site verifique quem opera o agente. Dizer que você é o “Muse” não é suficiente; o site confere a assinatura da requisição com a chave pública divulgada pelo operador. O TAP usa essa abordagem para agentes de compras.
Eles são complementares: “oi, sou um bot, sou um bot do bem e gostaria de fazer uma coisa”.
2. Identidade: traga as provas que o serviço exige.
O x401 da Proof permite que o serviço peça evidências sobre a pessoa por trás do agente. O banco diz o que precisa, o agente apresenta uma credencial e o banco a verifica. “Meu agente diz que eu sou Simon” é apenas uma alegação; uma credencial assinada por um emissor confiável transforma isso em prova.
OpenID for Verifiable Presentations (OpenID4VP) é a forma como a carteira apresenta essa credencial. O x401 pede a evidência; o OpenID4VP ajuda a entregá-la.
Os padrões FIDO são a base das passkeys. Eu desbloqueio a minha com o rosto, impressão digital ou PIN do dispositivo, e meu aparelho envia uma assinatura que o serviço pode conferir. Meus dados biométricos ficam no meu dispositivo. Isso me autentica sem entregar minha senha ao agente; mas, por si só, não estabelece minha identidade legal.
Um cliente atual do banco talvez precise apenas se autenticar. Um novo cliente ou um serviço restrito pode exigir também identidade ou elegibilidade verificadas.
3. Ferramentas: dê ao agente uma operação precisa.
O MCP permite que o banco descreva o que um agente pode fazer e como pedir. “Para bloquear um cartão, chame esta ferramenta e me passe o ID do cartão.” O agente envia o ID; o banco devolve um resultado.
O WebMCP oferece ferramentas estruturadas pelo navegador, para que o agente possa usar uma função de bloqueio de cartão em vez de adivinhar em qual botão clicar. Uma API fornece uma interface de software direta. O MCP pode descrever uma operação enquanto a API executa o trabalho por baixo dos panos.
O Agent2Agent (A2A) permite que meu agente entregue uma tarefa ao agente da empresa e acompanhe seu progresso. Ele não comprova que eu autorizei a tarefa.
O navegador é como os agentes vão acessar muitos serviços no futuro previsível. Eles vão clicar pelas páginas porque é o que está disponível, e um pop-up inesperado pode arruinar o trabalho.
A empresa ainda controla o acesso. Descobrir uma ferramenta de “transferir dinheiro” não dá ao meu agente permissão para esvaziar minha conta.
4. Intenção: alinhe a ação ao que eu aprovei.
Aquela sensação horrível quando você não encontra seu celular já é ruim o bastante sem precisar avisar cada banco um por um. Quero que meu agente bloqueie meus cartões e trave o aparelho. “Bloqueie meu cartão” não é permissão para transferir meu saldo ou alterar os dados da minha conta.
Uma compra adiciona condições. Se peço ao meu agente para reservar um hotel, “adequado” significa academia com pesos livres acima de 11 kg, frigobar e cancelamento grátis, porque planos de viagem mudam na última hora. Posso aprovar um quarto específico, datas específicas e US$ 200 por noite, taxas incluídas.
A aprovação é só uma etapa. O serviço receptor então precisa comparar a reserva real com essas condições. Um quarto de US$ 190 com US$ 60 em taxas extras ultrapassa meu limite. Assinar um pagamento também não vai provar que o hotel tem a academia que eu queria.
O x401 também pode solicitar uma ação assinada. Eu reviso as condições no meu dispositivo, aprovo, e o serviço verifica a resposta assinada antes de prosseguir. Isso pode abranger mudanças de conta e documentos, além de pagamentos, onde o provedor oferecer suporte.
O Verifiable Intent da Mastercard entrega à empresa uma evidência assinada que conecta minha permissão à compra feita pelo agente. Ele verifica se as assinaturas e a transação respeitam os limites, em vez de simplesmente acreditar na palavra do agente.
O AP2 do Google vincula permissões de checkout e pagamento, chamadas de mandatos. O comerciante verifica o que o agente pode comprar; o provedor de pagamento verifica se ele pode usar meu método de pagamento naquele checkout.
O Visa Intelligent Commerce fornece instruções e controles de pagamento. Eu autentico uma instrução; o agente solicita credenciais de pagamento, e a Visa verifica a requisição e o pagamento do comerciante com base nessa instrução. O TAP ajuda a reconhecer o agente; esses controles governam o pagamento.
A Autenticação Forte de Cliente europeia oferece uma comparação útil de escalonamento: para pagamentos remotos relevantes, a aprovação está vinculada ao valor e ao beneficiário. Mas isso não nos dá uma permissão universal para toda a operação do celular perdido.
A empresa ainda precisa dizer sim.
No fim das contas, os consumidores precisam ter controle sobre o que os agentes fazem.
Sim, cada banco ainda terá que conceder acesso ao seu serviço. Minha instrução não pode dar permissão em nome do banco. Os protocolos para tudo isso existem, só precisam ser conectados, e o agente precisa relatar os resultados para que eu saiba o que está protegido e o que ainda exige atenção.
Seu apetite por risco pode variar.
Fico tranquilo deixando um agente seguir em frente com compras abaixo de algumas centenas de dólares. Mas, acima disso, quero que ele me consulte e deixe um rastro de auditoria de um agente conhecido que fez aquelas coisas.
Se tivermos
- Permissões do consumidor (via intenções)
- Vinculadas às identidades dos criadores dos agentes e das pessoas.
- Que possam solicitar permissões de empresas e bancos
- E então houver um rastro de auditoria para tudo isso
Não teremos mais agentes sem permissão.
Claro, o problema é que “com permissão” muitas vezes significa “pago”. O acordo de acesso a dados entre JPMorgan e Plaid já inclui precificação, e esse acordo levou quase uma década para ser concluído.
Você acha que os bancos não vão exigir mais da Meta?
Passamos anos facilitando para os clientes clicarem nos botões certos. Agora, o agente deles chega com uma instrução.
Precisamos tornar possível comprovar sua autoridade e concluir o trabalho.
E isso pode significar que os bancos sejam pagos ao longo do caminho.
Se você gostou deste texto, eu escrevo em brainfood.xyz - dá uma olhada lá :)
