Do KYC ao KYA no comércio agênico
Os ecossistemas de pagamentos já estão exportando seus manuais de KYC e de gestão de riscos para o mundo dos agentes. As estruturas de comércio baseadas em agentes e os padrões de protocolo emergentes introduzem:
Registro de agentes e habilitação para pagamentos, de modo que apenas agentes de IA verificados possam possuir credenciais tokenizadas e realizar transações na rede.
Fluxos de integração de agentes confiáveis, nos quais os agentes são avaliados previamente, recebem chaves criptográficas e são obrigados a assinar seu tráfego, para que comerciantes e intermediários possam distinguir agentes de compras confiáveis de bots genéricos na borda da rede.
Tokens vinculados a agentes e artefatos de intenção verificáveis, que associam um agente de IA, uma credencial de pagamento e um registro de intenção assinado, de modo que os participantes subsequentes possam verificar se uma transação está vinculada a um agente específico e a um mandato específico.
Paralelamente, o Protocolo de Pagamentos por Agentes (AP2) surgiu como um protocolo aberto para a economia de agentes, projetado para possibilitar pagamentos seguros, confiáveis e interoperáveis, conduzidos por agentes, em diversas redes e métodos de pagamento.
Nessa arquitetura de credenciais em camadas verificáveis, os agentes de compras são explicitamente identificados dentro da credencial verificável do usuário, de modo que são criptograficamente autorizados a agir em nome do titular do cartão ou a utilizar o instrumento de pagamento do titular dentro de limites predefinidos. Na camada “autônoma”, o usuário delega a um agente específico ao incorporar a chave pública desse agente. Quando o agente posteriormente cria credenciais de finalização de compra ou pagamento, ele as assina com essa chave vinculada e comprova sua posse, fornecendo aos comerciantes e provedores de pagamento um registro portátil e verificável de forma independente de que esse agente autorizado específico — e não algum cliente arbitrário — é quem está exercendo a intenção de pagamento delegada pelo usuário.
Por que o KYA é importante (e o que ele realmente verifica)
O KYA é a base necessária, pois os participantes do ecossistema de pagamentos não podem simplesmente confiar em “qualquer agente” que afirme representar um titular de cartão. No mínimo, os provedores devem comprovar que operam uma plataforma de agentes reforçada, alinhada às diretrizes modernas de segurança para LLM, conforme catalogadas em padrões do setor, como o OWASP.
No que diz respeito à identidade, o KYA visa atribuir a cada agente uma identidade criptograficamente verificável, em vez de tratá-lo como um consumidor opaco de API. Essa prova criptográfica vincula um ID de agente, metadados de modelo/versão e capacidades à assinatura de um provedor; essas credenciais podem ser apresentadas durante a interação com outros atores e verificadas pelas redes de pagamento antes mesmo que um agente receba um token de pagamento.
Os limites do KYA estático
O problema é que tudo isso se baseia, fundamentalmente, na confiança pré-execução. Auditorias de provedores, diagramas de arquitetura, chaves assinadas e fluxos de integração informam quem desenvolveu o agente e como ele foi configurado, mas não garantem o que ele fará em produção.
Os agentes de IA são não determinísticos: a mesma entrada pode produzir resultados diferentes em execuções sucessivas, pois são orientados por modelos probabilísticos e por um contexto em constante evolução. Mesmo em ambientes rigidamente controlados, os grandes modelos de linguagem apresentam um “desvio não determinístico” quantificável em execuções repetidas, o que se torna mais pronunciado em caso de mudança na distribuição e atualizações do modelo. Em sistemas reais, esse desvio é amplificado por:
- Injeção de comandos e manipulação de lógica. Um invasor pode inserir instruções para adicionar itens ocultos, trocar de comerciantes ou sempre atingir os limites de gastos, enquanto as assinaturas HTTP e as credenciais KYA parecem todas válidas.
- Envenenamento de memória – agentes de longa duração com memória persistente podem ser gradualmente condicionados de modo que, posteriormente, comandos aparentemente normais desencadeiem ações maliciosas
- Ataques à cadeia de suprimentos – ferramentas, plug-ins ou marketplaces do MCP comprometidos podem alterar o comportamento do agente sem afetar sua identidade externa: o agente continua “o mesmo”, mas a ferramenta que ele aciona agora extrai dados ou altera os conteúdos do carrinho de compras.
Expansão emergente do escopo – mesmo sem a presença de um invasor, os agentes exibem comportamentos emergentes à medida que os modelos, as instruções ou as ferramentas mudam; eles passam a realizar ações que violam políticas comerciais implícitas, como escolher repetidamente comerciantes de maior risco ou reinterpretar instruções vagas do usuário para justificar gastos maiores.
Nenhum desses modos de falha é visível nas credenciais estáticas que o KYA valida nem nos protocolos baseados em agentes que utilizam credenciais verificáveis. Os identificadores e as chaves do agente permanecem intactos, e as restrições adulteradas contidas nas credenciais verificáveis não são detectáveis pelo usuário; o que sofre desvio é a cadeia de decisões entre a “intenção do usuário” e a “solicitação de pagamento”.
Além disso, um “agente de compras” em produção raramente é um único modelo estático. Geralmente, trata-se de uma orquestração de múltiplos subagentes, ferramentas e fluxos de trabalho em constante evolução, cada um com seus próprios prompts, modelos e cadência de lançamento. Congelar uma única versão do agente para certificação rapidamente se torna irrealista, já que os provedores lançam atualizações frequentes de modelos, trocam de ferramentas ou reconfiguram as topologias dos subagentes; o comportamento efetivo do sistema pode mudar sem qualquer modificação visível na credencial KYA original.
Portanto, basear-se exclusivamente no KYA estático cria uma ilusão perigosa de controle: a documentação indica “o mesmo agente”, mas o sistema ativo, com múltiplos agentes, evoluiu, e é exatamente por isso que é necessária uma verificação contínua em tempo de execução.
Saiba mais em nossa série de posts sobre comércio com IA autônoma:
Capítulo I: IA agênica e pagamentos: quando a IA ganha uma carteira e vontade própria.
Capítulo II: Comércio com IA Agênica: quando sua carteira ganha um cérebro.
Capítulo III: Comércio com IA agênica: publicação na Llamas.
Capítulo IV: Repensando a segurança na era da IA Agênica.
Capítulo V: Da emoção aos algoritmos: por que o comércio agênico precisa de uma nova camada de confiança.
Capítulo VI: Preenchendo a lacuna de confiança no comércio agênico.
Capítulo VII: Estrutura de confiança: construindo confiança verificável para transações autônomas.
Capítulo IX: O KYA não é suficiente: apresentando o FACT, a camada de confiança em tempo de execução para o comércio agênico.
Capítulo X: O agente que colou na prova
