Os bancos já estão bloqueando agentes que fazem login usando credenciais entregues pelos próprios clientes. O JPMorgan afirma que está bloqueando serviços de credenciais compartilhadas que movimentam dinheiro, enquanto trabalha em uma forma de fazer isso corretamente.
Estamos entrando em um cisma. Algumas empresas estão construindo uma porta de entrada para os agentes, enquanto outras estão bloqueando os caminhos por onde eles entram. O Walmart acabou de anunciar um Agent Gateway baseado em MCP, começando com um beta para desenvolvedores, e Perfis de Agente previstos para o mês que vem, com limites de gastos.
Na teleconferência de resultados da Meta, Zuckerberg disse que compras eram o caso de uso mais comum do Muse, com um ticket médio acima de US$ 200. Isso é absolutamente um problema financeiro, e o prêmio por resolvê-lo é enorme.
David Sacks argumenta que os bancos deveriam oferecer suporte a um acesso que os clientes possam conceder, limitar e revogar. Concordo com a direção. A pergunta mais difícil é como.
Para o seu banco, seu agente parece um gigantesco problema de fraude e responsabilidade.
Entregar meu login não diz ao banco qual agente está usando a conta, o que eu pedi para ele fazer ou se a ação corresponde à minha instrução. Um cliente pode aprovar o acesso sem aprovar tudo o que um agente venha a tentar.
Sinto que um mapa está chegando.
Existem quatro camadas: Entrada, Identidade, Ferramentas e Intenção.
1. Entrada: dê ao agente um caminho de acesso suportado.
Personal Agent Protocol, ou PAP (agora chamado Poppy), dá a uma empresa uma maneira de publicar como os agentes podem interagir com ela: onde fazer login, quais interfaces oferece e que tipo de acesso concederá.
Meu agente descobre essas informações e usa um fluxo de login suportado. Eu aprovo o acesso; a empresa decide o que permite. Esse acesso pode ser limitado e revogado. Bank of America e Wells Fargo são parceiros de design, o que significa que estão ajudando a moldar o protocolo, e não prometendo que meu agente poderá usar seus aplicativos bancários amanhã.
O Trusted Agent Protocol (TAP) da Visa permite que um agente de compras se apresente com informações assinadas: “Sou um agente de compras aprovado pelo programa da Visa, estou comprando para este cliente e esta é a forma como ele vai pagar.” O comerciante pode verificar essas informações antes de deixar o processo continuar. Ainda assim, é preciso checar se eu aprovei a compra.
O Web Bot Auth permite que o site verifique quem opera o agente. Dizer que você é o “Muse” não basta; o site confere a assinatura da requisição com a chave pública divulgada pelo operador. O TAP usa essa abordagem para agentes de compras.
Eles são complementares: “oi, sou um bot, sou um bot do bem e gostaria de fazer uma coisa”.
2. Identidade: traga a prova de que o serviço precisa.
O x401 da Proof permite que o serviço peça evidências sobre a pessoa por trás do agente. O banco diz o que precisa, o agente apresenta uma credencial e o banco a verifica. “Meu agente diz que eu sou o Simon” é apenas uma alegação; uma credencial assinada por um emissor confiável transforma isso em evidência.
OpenID for Verifiable Presentations (OpenID4VP) é a forma como a carteira apresenta essa credencial. O x401 pede a evidência; o OpenID4VP ajuda a entregá-la.
Os padrões FIDO são a base das passkeys. Eu desbloqueio a minha com o rosto, impressão digital ou PIN do dispositivo, e meu aparelho envia uma assinatura que o serviço pode conferir. Meus dados biométricos ficam no meu dispositivo. Isso me autentica sem entregar minha senha ao agente; mas, por si só, não estabelece minha identidade legal.
Um cliente atual do banco pode precisar apenas se autenticar. Um novo cliente ou um serviço restrito também pode exigir identidade verificada ou comprovação de elegibilidade.
3. Ferramentas: dê ao agente uma operação precisa.
O MCP permite que o banco descreva o que um agente pode fazer e como pedir. “Para bloquear um cartão, chame esta ferramenta e me passe o ID do cartão.” O agente envia o ID; o banco devolve um resultado.
O WebMCP oferece ferramentas estruturadas pelo navegador, para que o agente possa usar uma ferramenta de bloqueio de cartão em vez de adivinhar em qual botão clicar. Uma API fornece uma interface de software direta. O MCP pode descrever uma operação enquanto a API faz o trabalho pesado por baixo.
O Agent2Agent (A2A) permite que meu agente entregue uma tarefa ao agente da empresa e acompanhe seu progresso. Ele não comprova que eu autorizei a tarefa.
O navegador é a forma como os agentes acessarão muitos serviços no futuro previsível. Eles vão clicar pelas páginas porque é o que está disponível, e um pop-up inesperado pode arruinar o trabalho.
A empresa ainda controla o acesso. Descobrir uma ferramenta de “transferir dinheiro” não dá ao meu agente permissão para esvaziar minha conta.
4. Intenção: alinhe a ação ao que eu aprovei.
Aquela sensação ruim quando você não encontra seu celular já é péssima sem ter que avisar cada banco um por um. Quero que meu agente bloqueie meus cartões e trave o aparelho. “Bloqueie meu cartão” não é permissão para transferir meu saldo ou alterar os dados da minha conta.
Uma compra adiciona condições. Se peço ao meu agente para reservar um hotel, “adequado” significa academia com pesos livres acima de 11 kg, frigobar e cancelamento gratuito, porque planos de viagem mudam de última hora. Posso aprovar um quarto específico, datas determinadas e US$ 200 por noite, incluindo taxas.
A aprovação é apenas uma etapa. O serviço receptor então precisa comparar a reserva real com essas condições. Um quarto de US$ 190 com US$ 60 em taxas extras ultrapassa meu limite. Assinar um pagamento também não vai provar que o hotel tem a academia que eu queria.
O x401 também pode solicitar uma ação assinada. Eu reviso as condições no meu dispositivo, aprovo, e o serviço verifica a resposta assinada antes de prosseguir. Isso pode cobrir alterações de conta e documentos, além de pagamentos, onde o provedor oferecer suporte.
O Verifiable Intent da Mastercard entrega à empresa uma evidência assinada que conecta minha permissão à compra feita pelo agente. Ele verifica se as assinaturas e a transação respeitam os limites, em vez de simplesmente acreditar na palavra do agente.
O AP2 do Google vincula as permissões de checkout e pagamento, chamadas de mandatos. O comerciante verifica o que o agente pode comprar; o provedor de pagamento verifica se ele pode usar meu método de pagamento naquele checkout.
O Visa Intelligent Commerce fornece instruções e controles de pagamento. Eu autentico uma instrução; o agente solicita credenciais de pagamento, e a Visa verifica a solicitação e o pagamento do comerciante em relação a essa instrução. O TAP ajuda a reconhecer o agente; esses controles regem o pagamento.
A Autenticação Reforçada de Cliente da Europa oferece uma comparação útil de validação adicional: para pagamentos remotos relevantes, a aprovação está vinculada ao valor e ao beneficiário. Mas isso não nos dá uma permissão universal para todo o processo de perda do celular.
A empresa ainda precisa dizer sim.
No fim das contas, os consumidores precisam ter controle sobre o que os agentes fazem.
Sim, cada banco ainda terá que conceder acesso ao seu serviço. Minha instrução não pode dar permissão em nome do banco. Os protocolos para tudo isso existem, só precisam ser conectados, e o agente precisa relatar esses resultados para que eu saiba o que está protegido e o que ainda exige atenção.
Seu apetite ao risco pode variar.
Fico tranquilo deixando um agente seguir em frente com compras abaixo de algumas centenas de dólares. Mas, acima disso, quero que ele me consulte e deixe um rastro de auditoria de um agente conhecido que fez algumas coisas.
Se tivermos
- Permissões do consumidor (via intenções)
- Vinculadas às identidades dos criadores dos agentes e das pessoas.
- Que possam solicitar permissões a empresas e bancos
- E houver um rastro de auditoria para todo o processo
Não teremos mais agentes sem permissão.
Claro, o problema é que “com permissão” muitas vezes significa “pago”. O acordo de acesso a dados entre JPMorgan e Plaid já inclui precificação, e esse acordo levou quase uma década para ser concluído.
Você acha que os bancos não vão exigir mais da Meta?
Passamos anos facilitando para os clientes clicarem nos botões certos. Agora, o agente deles chega com uma instrução.
Precisamos tornar possível comprovar sua autoridade e concluir o trabalho.
E isso pode significar que os bancos serão pagos ao longo do caminho.
Se você gostou deste texto, eu escrevo em brainfood.xyz - dá uma olhada lá :)
