Com apenas um dia de diferença, duas empresas adotaram abordagens distintas para lidar com agentes pessoais.
Em 20 de setembro, duas semanas após a Meta lançar o Muse, a Amazon bloqueou o agente em seu site.¹ Na manhã seguinte, o CEO da Shopify, Tobi Lütke, anunciou que o Muse poderia finalizar compras por meio do Shop Pay em todas as lojas da Shopify.
A Amazon não gostou da forma como o Muse se comportava. A Meta nunca avisou à Amazon que o agente seria usado, e o Muse navega sem se identificar. Por isso, a Amazon viu o que parecia ser um cliente com sessão iniciada avançando para a finalização da compra mais rápido do que qualquer pessoa conseguiria.
A Shopify, por outro lado, trabalha com a Meta desde o lançamento do Muse. Pelo novo acordo entre as empresas, o Muse finaliza as compras pelo Shop Pay, onde os lojistas conseguem ver quando um agente está comprando, e a Shopify fica com o volume de pagamentos.
A Apptopia estima que o Muse alcançou 1,8 milhão de downloads no iOS nos seus primeiros 12 dias nos EUA e no Canadá, superando os 1,3 milhão do ChatGPT no lançamento.² Enquanto isso, Noah Shinn, CEO da Instinct, afirma que sua startup está se aproximando de US$ 1 bilhão em transações anuais, cerca de metade delas relacionadas a viagens.³
À medida que esses números aumentam, mais comerciantes terão de tomar a mesma decisão, e os clientes da Sardine já começaram a perguntar como lidar com transações realizadas por agentes. Seja qual for a opção escolhida, as equipes antifraude precisam saber qual agente está no site e quem o enviou, pois um fraudador com credenciais roubadas pode enviar um agente perfeitamente legítimo para fazer compras na conta de outra pessoa.
Principais conclusões
- Um agente pessoal de IA faz compras usando as credenciais do seu proprietário. Um fraudador que tenha roubado essas credenciais pode enviar um agente perfeitamente funcional para fazer compras em nome do proprietário, e a transação parecerá legítima em todas as camadas.
- Agentes na nuvem, como o Meta Muse, operam a partir de infraestruturas de data centers distantes do cliente que os acionou, enquanto agentes locais são executados no próprio dispositivo e na rede do cliente. Os dois apresentam sinais de fraude muito diferentes e exigem lógicas de detecção distintas.
- Bloquear todo o tráfego de agentes prejudica vendas legítimas. Permitir todo o tráfego de agentes abre as portas para fraudes por injeção de prompts em agentes de IA, invasão de contas e fraudes em pagamentos. Nenhuma dessas abordagens generalistas funciona para comerciantes que desejam aproveitar o volume gerado por agentes sem assumir os riscos associados.
- Sardine avalia cada sessão de agente em três dimensões. Verifica se a sessão está a ser conduzida por software e qual é o agente, se o agente corresponde ao histórico conhecido da conta e se aquilo que o agente está a tentar fazer se enquadra no comportamento normal da conta.
- O Protocolo de Agente Confiável da Visa oferece aos agentes uma forma de assinar suas solicitações e se identificar perante os comerciantes, mas uma solicitação assinada identifica quem criou o agente, não quem o enviou. Os comerciantes ainda precisam verificar o proprietário e avaliar o que o agente está fazendo.
Como um agente pessoal de IA é visto pelo comerciante
Um agente pessoal faz compras como o seu proprietário faria. Inicia sessão com as credenciais do cliente e navega pelas páginas dos produtos até encontrar aquilo que foi incumbido de procurar, concluindo depois a compra como qualquer cliente habitual.
Os comerciantes veem coisas diferentes dependendo de onde o agente é executado. O Muse e o agente do ChatGPT da OpenAI controlam navegadores nos servidores de seus criadores, e a Meta fornece a cada usuário do Muse uma máquina isolada na nuvem, com uma versão atualizada do navegador Chromium.⁴
O Comet da Perplexity, um navegador com IA, é executado no próprio computador do cliente. A sessão de um agente na nuvem é iniciada a partir de um centro de dados a quilómetros de distância do cliente que a solicitou, enquanto a sessão de um agente local é iniciada a partir do dispositivo e da rede habituais do cliente, o que faz com que se pareça ainda mais com o cliente, porque, de certa forma, é mesmo isso.
De qualquer forma, o agente deixa rastos. Os agentes na nuvem tendem a chegar dos mesmos centros de dados, acompanhados de sessões praticamente idênticas, e ambos os tipos de agentes percorrem as páginas de forma programática, de maneiras que nenhuma pessoa faria. Sinais como estes permitem à Sardine detetar sessões automatizadas, incluindo agentes como o Muse e o Instinct, mesmo quando o seu tráfego parece ser o de um comprador comum.
Agente de nuvem Muse, agente do ChatGPT | Agente local Comet da Perplexity | |
Onde é executado | Um navegador nos servidores do fabricante. O Muse fornece a cada usuário uma máquina isolada na nuvem. | Um navegador com IA no próprio computador do cliente. |
De onde vem a sessão | Um data center, a quilômetros de distância do cliente que o solicitou. | O dispositivo e a rede habituais do cliente. |
Qual é o aspeto | Uma sessão que nunca exibe o dispositivo do próprio cliente. | Ainda mais parecido com o cliente, porque, de certa forma, é isso mesmo. |
Vestígios que deixa | Os mesmos centros de dados, sessões quase idênticas e movimentos na página que nenhuma pessoa faria. | Movimento de página que ninguém faria. |
Por que permitir ou bloquear deixa de funcionar para agentes
Bloquear todos os agentes é a solução mais simples. A Amazon impede qualquer atacante de usar o Muse, mas também rejeita todos os clientes que enviaram o Muse até lá para comprar algo. Embora uma empresa tão grande e diversificada como a Amazon possa suportar o impacto a curto prazo, outras empresas não podem simplesmente dar um “não” generalizado.
Essas empresas também não podem simplesmente deixar todos os agentes passarem. Se um invasor usar injeção de prompt, poderá inserir instruções em uma página que o agente lê enquanto faz compras, orientando-o a alterar o endereço de entrega da conta antes de finalizar a compra. O comerciante envia o pedido ao invasor e, quando o verdadeiro cliente contesta a cobrança, é o comerciante que arca com o estorno.
Nenhum dos extremos é adequado para um comerciante que deseja realizar vendas por meio de agentes sem se expor às fraudes que podem vir junto. Esse comerciante precisa avaliar cada sessão de agente com base em quem está por trás dela e no que ela está fazendo, e a Sardine divide essa avaliação em três perguntas.
Como a Sardine detecta agentes pessoais de IA e decide até que ponto confiar neles
Detecção de tráfego de agentes de IA e verificação de sessões de agentes de IA
Primeiro, a Sardine determina se a sessão está sendo conduzida por um software e, quando possível, identifica qual é o agente. A detecção de bots da Sardine busca padrões comportamentais comuns a agentes de IA, impressões digitais técnicas específicas, características de implementação e sinais geográficos. Agentes que se identificam facilitam o trabalho. O agente ChatGPT da OpenAI assina suas solicitações, permitindo que a Sardine o identifique apenas pelos cabeçalhos. Para agentes que não assinam suas solicitações, a Sardine se baseia nesses outros sinais.
Verificação do cliente por trás do agente de IA
O nome de um agente não revela nada sobre quem o enviou, por isso a Sardine verifica o agente em relação à conta que ele está usando. O histórico da conta é ainda mais importante no caso de agentes na nuvem, em que o cliente pode ficar totalmente oculto por trás do agente. Um cliente que assume o controle do navegador de um agente na nuvem para digitar o número de um cartão continua operando na máquina do agente, portanto a sessão nunca mostra o dispositivo do próprio cliente.
Quando a Sardine observa o mesmo agente na mesma conta e no mesmo dispositivo durante meses, é provável que seja o cliente a encarregá-lo de realizar tarefas. A Sardine sinaliza para uma análise mais atenta um agente que aparece pela primeira vez a partir de uma infraestrutura desconhecida, logo após uma redefinição de palavra-passe. Essa sequência faz parecer que alguém mudou as fechaduras e entrou por conta própria.
Verificando o que o agente de IA está tentando fazer
Até mesmo o agente de um cliente pode tentar fazer algo que o próprio cliente jamais faria, por isso a Sardine avalia o que o agente está tentando realizar. É comum as pessoas delegarem aos agentes tarefas como refazer semanalmente um pedido de supermercado. Poucas, porém, os encarregariam de alterar uma conta de recebimento ou transferir US$ 50.000, e a Sardine considera solicitações desse tipo sinais de alerta.
Cada empresa define esse limite por conta própria. Uma aplicação de compras de supermercado e uma plataforma de câmbio de criptomoedas confiarão aos agentes tarefas muito diferentes, e cada uma pode configurar os seus próprios limites no motor de regras da Sardine. Por exemplo, um comerciante pode associar o nome do agente ao histórico da conta e permitir que um agente conhecido, numa conta habitual, conclua a compra sem o tratar como qualquer outro bot.
Defina seus próprios termos para o tráfego de agentes
Os agentes atuais navegam pela Web da maneira mais difícil. Os programadores criaram sites para pessoas, por isso o Muse e os seus pares percorrem páginas de produtos e preenchem formulários de finalização de compra tal como faria um comprador. A Visa aposta que isso não vai durar. Em outubro de 2025, lançou o Trusted Agent Protocol em parceria com a Cloudflare, que permite aos agentes aprovados assinar os seus pedidos para que os comerciantes possam verificar quem está a bater à porta.⁵
Quando mais agentes assinarem o seu tráfego, será mais fácil para os comerciantes saber qual deles apareceu. Uma assinatura identifica quem criou o agente, mas não revela em nome de quem ele está a agir. Por isso, os comerciantes ainda terão de decidir quais agentes aceitarão e o que estes poderão fazer. Um site de viagens, por exemplo, poderá permitir que os agentes reservem e remarquem voos, mas exigir que o cliente confirme qualquer alteração a uma conta de fidelização.
Um comerciante capaz de distinguir o agente habitual de um cliente de um desconhecido pode aprovar de imediato as compras do agente conhecido e reservar a fila de análise para as sessões que pareçam uma tentativa de invasão.
Os agentes pessoais continuarão a iniciar sessão com as palavras-passe dos seus proprietários, e cada vez mais começarão a identificar-se durante o processo. Os comerciantes que conseguirem determinar qual proprietário enviou cada agente ficarão com as vendas e deixarão as apropriações de contas à porta.
Para saber mais sobre como as equipes de prevenção a fraudes podem gerenciar transações realizadas por agentes como um canal distinto, leia Repensando a prevenção a fraudes no comércio agêntico. Se quiser conversar sobre como o mecanismo de detecção e regras da Sardine lida especificamente com sessões de agentes na sua plataforma, entre em contato com a equipe.
Perguntas frequentes
O que é um agente pessoal de IA no contexto do comércio?
Um agente pessoal de IA é um software que faz compras, reservas ou transações em nome de um utilizador específico. Utiliza as credenciais desse utilizador e segue as suas instruções. Alguns exemplos são o Muse da Meta e o agente de compras do ChatGPT da OpenAI. Do ponto de vista do comerciante, o agente inicia sessão, navega pelas páginas e conclui a compra da mesma forma que o titular da conta faria normalmente, mas a sessão é conduzida por software, e não por uma pessoa diante de um ecrã.
Qual é a diferença entre um agente de IA na nuvem e um agente de IA local?
Um agente de IA na nuvem é executado nos servidores de quem o criou, o que significa que o endereço IP e a impressão digital do dispositivo vêm de um centro de dados sem qualquer relação com a residência ou o telemóvel do cliente. Um agente de IA local é executado no próprio dispositivo do cliente e acede através da rede e do hardware que este utiliza habitualmente, o que faz com que se pareça muito mais com o cliente. Os agentes na nuvem tendem a revelar uma origem associada a centros de dados e padrões de sessão quase idênticos, enquanto os agentes locais se confundem com o tráfego normal dos clientes. Esta distinção altera a forma como se interpretam os sinais de fraude.
O que é fraude por injeção de prompts em agentes de IA?
A fraude por injeção de prompts ocorre quando um invasor insere instruções ocultas numa página Web, que são lidas por um agente de IA durante a navegação. O agente segue essas instruções em vez do pedido original do cliente. Num contexto de comércio eletrónico, isto pode redirecionar uma morada de entrega antes da finalização da compra, alterar uma conta de pagamento ou desencadear outras ações que o verdadeiro cliente nunca autorizou. O comerciante envia a encomenda ao invasor e o verdadeiro cliente contesta a cobrança.
Qual é a diferença entre uma sessão de agente de IA e um ataque normal de bots?
Um ataque comum de bots é um abuso automatizado sem um usuário legítimo por trás. O preenchimento automatizado de credenciais, o teste de cartões e a extração de dados são exemplos típicos. Um agente pessoal de IA é uma automação que atua em nome de um usuário legítimo, operando na conta real desse usuário com suas credenciais verdadeiras. O bloqueio indiscriminado de bots atinge ambos os casos e faz o comerciante perder vendas legítimas. Uma verificação eficaz das sessões de agentes de IA distingue as sessões que têm um proprietário real daquelas que não são autorizadas ou estão sendo usadas de forma abusiva.
Que tipos de atividade de agentes de IA os comerciantes devem sinalizar como de alto risco?
Os sinais de alto risco incluem um agente que acede a partir de uma infraestrutura desconhecida numa primeira sessão imediatamente após uma redefinição de palavra-passe, um agente que tenta alterar uma conta de recebimento ou iniciar uma transferência bancária de elevado valor, um agente que navega diretamente para definições sensíveis da conta sem seguir o percurso de navegação habitual e um agente numa conta sem qualquer histórico anterior de atividade de agentes. Cada empresa define os seus próprios limites. Uma aplicação de supermercado e uma plataforma de câmbio de criptomoedas definirão comportamentos aceitáveis dos agentes de formas muito diferentes.
