A internet está priorizando agentes: de bloquear bots a capacitar agentes de IA

A web foi construída para humanos, blindada contra máquinas e agora está sendo reconstruída para máquinas que agem em nosso nome.

Durante quase toda a história da internet comercial, um bot era algo a ser barrado.

Colocamos CAPTCHAs na frente dos formulários. Fizemos impressão digital de navegadores, pontuamos comportamento, limitamos requisições, desafiamos dispositivos desconhecidos e bloqueamos faixas inteiras de endereços IP. Construímos uma indústria de segurança enorme em torno de uma única pergunta:

Isto é uma pessoa de verdade?

Agora, quase da noite para o dia, estamos fazendo a pergunta oposta.

Como deixamos uma máquina reservar a viagem, comparar planos de seguro, fazer as compras, remarcar a reunião, lançar o relatório de despesas e operar o software em nome de uma pessoa?

A internet não está apenas ficando mais automatizada. Está ficando agent-first. As máquinas já não apenas rastreiam páginas em segundo plano. Estão virando usuárias, clientes, negociadoras e representantes.

Essa mudança promete uma internet bem mais conveniente. Também nos obriga a revisitar quase toda suposição que fizemos enquanto defendíamos a anterior.

A web nunca foi só para humanos

A web inicial dependia de automação.

Rastreadores de busca tornavam páginas descobríveis. Leitores de RSS reuniam atualizações. Ferramentas de monitoramento verificavam se os sites estavam no ar. Ferramentas de acessibilidade transformavam conteúdo em formatos utilizáveis. Bots de arquivamento preservavam páginas que de outro modo desapareceriam.

O Protocolo de Exclusão de Robôs original foi criado em 1994 como um acordo leve entre donos de sites e rastreadores automatizados. Um site podia publicar preferências num arquivo robots.txt, e um bot bem-comportado podia escolher respeitá-las.

Era um contrato social, não uma fronteira de segurança.

A web comercial mudou os incentivos. A automação virou um jeito de raspar dados proprietários, testar credenciais roubadas, criar contas falsas, açambarcar estoque escasso, mandar spam, cometer fraude publicitária e sobrecarregar sistemas. Um bot podia executar a mesma ação que uma pessoa, só que mais rápido, mais barato e milhões de vezes.

Então a suposição de trabalho endureceu:

Humanos são legítimos. Máquinas são suspeitas.

Essa suposição nunca foi totalmente exata. Há muita gente que se comporta mal e muitos bots úteis. Mas era simples o bastante para construir defesas em volta.

Software agêntico quebra esse atalho.

Agora um bot pode ser o cliente

Um agente de IA pode chegar a um site por um navegador, clicar nos mesmos botões que uma pessoa clicaria e usar a mesma conta. O tráfego é automatizado, mas a intenção pertence a um cliente real.

Produtos como o ChatGPT agent tornaram isso concreto: um agente pode navegar por sites, usar dados conectados, preencher formulários, fazer pesquisa e pausar para pedir aprovação antes de ações relevantes. Capacidades semelhantes estão se espalhando por navegadores, sistemas operacionais, ferramentas de trabalho e plataformas de comércio.

Para o site, isso pode parecer desconfortavelmente com a automação que ele passou décadas bloqueando. A diferença não está em um software ter executado a ação. Está em quais interesses esse software representa, que autoridade ele tem e se o site consegue verificar qualquer uma das duas coisas.

Bloquear todas as máquinas vai significar, cada vez mais, bloquear clientes. Permitir todas seria imprudente. O velho teste humano versus bot está virando a abstração errada.

A nova pergunta é:

Que agente é este, quem o autorizou e o que ele pode fazer?

A pilha agent-first já está tomando forma

Os agentes de hoje costumam usar um navegador visual, porque essa é a interface que quase todo serviço já expõe. É uma camada de compatibilidade esperta, mas também frágil. Botões mudam de lugar. Rótulos mudam. Pop-ups aparecem. Um fluxo desenhado para uma pessoa pode exigir que um agente interprete capturas de tela, imite cliques e torça para que o estado tenha mudado como esperado.

Aplicações agent-first expõem capacidades diretamente, em vez de forçar máquinas a fingir que são pessoas. Várias iniciativas estão preenchendo camadas diferentes desse futuro.

MCP conecta agentes a ferramentas e dados

A Anthropic apresentou o Model Context Protocol como uma forma padrão de aplicações de IA se conectarem a dados e ferramentas externas. Em vez de construir uma integração sob medida para cada par de assistente e serviço, um desenvolvedor pode expor uma interface consistente que múltiplos sistemas de agentes entendem.

O MCP é menos como um site novo e mais como uma porta de serviço padronizada ao lado do site. A interface humana pode permanecer, enquanto os agentes ganham um jeito estruturado de buscar, ler, criar ou atualizar informação.

A2A permite que agentes trabalhem com outros agentes

O Google lançou o Agent2Agent Protocol aberto para que agentes construídos de forma independente possam anunciar capacidades, trocar mensagens, coordenar tarefas e devolver artefatos. Um agente de viagens não precisa acessar o banco de dados interno de cada companhia aérea. Pode, em vez disso, trabalhar com o agente da companhia por meio de um protocolo compartilhado.

Isso move a internet de páginas que apontam para páginas em direção a serviços que delegam trabalho a outros serviços.

O comércio está sendo redesenhado em torno da intenção delegada

O Google e parceiros do varejo criaram o Universal Commerce Protocol para dar a agentes e lojistas uma língua comum para descoberta, checkout e suporte pós-compra. O Agent Payments Protocol relacionado ataca um problema mais difícil: provar que um pagamento automatizado reflete a intenção autorizada do usuário, incluindo transações feitas quando a pessoa não está presente.

Uma página de checkout foi construída supondo que há alguém ali para apertar o botão. Uma transação agêntica pode acontecer horas depois, quando uma tarifa cai abaixo de um limite ou um item volta ao estoque. O sistema precisa de evidência do que a pessoa autorizou, não apenas de acesso a um meio de pagamento salvo.

Agentes começam a se identificar criptograficamente

Uma string de user-agent é fácil de falsificar, e listas de IPs permitidos funcionam mal quando agentes operam a partir de infraestrutura de nuvem compartilhada. O trabalho da Cloudflare em Web Bot Auth usa assinaturas de mensagens HTTP para que clientes automatizados possam provar quem enviou uma requisição. Depois a Cloudflare acrescentou uma categoria de agente assinado para sistemas dirigidos por usuários.

Essa é uma inversão importante. O objetivo já não é esconder a automação bem o bastante para passar por humano. O objetivo é tornar a automação legítima explícita, verificável e governável.

O que uma internet agent-first resolve

O argumento da conveniência é real.

Boa parte da web é trabalho disfarçado de navegação. Buscamos em dezenas de abas, redigitamos as mesmas informações, comparamos opções incompatíveis, copiamos dados de um sistema para outro, esperamos uma condição mudar e repetimos processos que o software deveria ter resolvido anos atrás.

Agentes podem colapsar esse trabalho em um resultado:

• Ache três voos que atendam às minhas restrições reais, não só o preço de chamada mais baixo.
• Mova esta reunião preservando a disponibilidade que cada um informou.
• Prepare o relatório de despesas a partir dos recibos e me deixe revisar antes de enviar.
• Fique de olho nesta peça de reposição e compre só de um vendedor aprovado, abaixo do meu limite.
• Transfira o cadastro do cliente sem me obrigar a aprender duas interfaces administrativas.

O acesso agent-first também pode tornar o software mais disponível para quem tem dificuldade com interfaces visuais complexas, terminologia desconhecida ou fluxos espalhados por vários serviços. O agente pode traduzir a intenção da pessoa na sequência rígida que cada sistema espera.

Para quem desenvolve, interfaces de agente padronizadas podem abrir a cauda longa de um produto. Uma interface convencional precisa antecipar os caminhos mais comuns e encaixá-los numa tela. Um agente pode compor capacidades de baixo nível em fluxos que o time de produto nunca desenhou como funcionalidade dedicada.

Isso poderia fazer o software parecer menos uma coleção de destinos e mais uma infraestrutura que coopera em torno do usuário.

Identidade é necessária, mas não é confiança

Há a tentação de tratar identidade criptográfica de agentes como substituta do CAPTCHA.

É apenas uma camada.

Uma assinatura válida pode provar que uma requisição veio por um provedor de agentes específico. Não prova que o usuário quis esta ação em particular, que o agente interpretou o pedido corretamente, nem que o agente não foi manipulado desde que a tarefa começou.

Um sistema agent-first precisa responder a pelo menos quatro perguntas distintas:

• Identidade: que agente ou serviço enviou esta requisição?
• Autoridade: que pessoa ou organização delegou poder a ele?
• Escopo: que dados, ações, orçamento e janela de tempo essa delegação cobria?
• Intenção: esta ação específica corresponde ao que a pessoa pediu ao agente?

A distinção importa porque o agente mais perigoso pode ser um agente legítimo com permissão excessiva.

Em 2026, o National Cybersecurity Center of Excellence do NIST abriu trabalhos sobre identidade e autorização de agentes de software. As questões incluem identificação, autorização, auditoria, irretratabilidade e proteção contra injeção de prompt. Essa lista é um lembrete útil de que «autenticado» e «seguro» não são sinônimos.

Não deveríamos entregar uma chave mestra a um agente só porque reconhecemos o logotipo no uniforme dele.

Injeção de prompt transforma a própria web em atacante

Software tradicional em geral distingue instruções de dados. Uma aplicação executa o próprio código e trata a descrição de um produto, um e-mail, um documento ou um comentário como conteúdo.

Modelos de linguagem consomem os dois pela linguagem.

Daí surge o problema da injeção indireta de prompt. Um agente pesquisando uma compra pode encontrar texto colocado numa página para influenciar seu comportamento. A instrução pode estar visível, escondida na marcação, embutida num documento ou disfarçada de conteúdo comum. Pode mandar o agente ignorar os critérios do usuário, revelar dados privados, visitar uma URL de vazamento ou executar uma ação sem relação nenhuma.

O levantamento do Google de 2026 sobre injeções de prompt encontradas na web pública incluía tentativas de manipular recomendações, dissuadir agentes, exfiltrar dados e causar ações destrutivas. Isso já não é só um experimento mental de laboratório.

Não existe filtro capaz de separar perfeitamente instruções maliciosas de conteúdo legítimo em todo contexto. O trabalho da OpenAI em agentes resistentes a injeção de prompt faz a virada certa: supor que alguma manipulação vai passar e então limitar o estrago que o agente pode causar.

Um agente que está lendo uma página não confiável não deveria ter, ao mesmo tempo, acesso irrestrito a e-mail, arquivos na nuvem, contas financeiras e a capacidade de mandar informação para qualquer lugar. A fronteira de segurança não pode morar só dentro do discernimento do modelo.

O problema do assistente com as suas chaves

A maior parte da autorização na internet foi desenhada para aplicações de comportamento previsível. Damos a um app de calendário acesso a calendários porque suas funções são conhecidas. Damos a um editor de fotos acesso às fotos porque seu limite de atuação é relativamente claro.

Um agente de propósito geral é diferente. A graça dele é justamente decidir que passos são necessários. Dê a ele acesso a e-mail, documentos, navegador, pagamentos e mensagens, e ele poderá combinar essas permissões de formas que nenhuma tela de consentimento descreveu.

Isso é autoridade ambiente com interface em linguagem natural.

A conveniência empurra para acesso permanente: continue logado, lembre de tudo, conecte todo serviço e pare de me interromper pedindo aprovação. A segurança empurra para o lado oposto: estreite a tarefa, minimize os dados, expire as credenciais, isole conteúdo não confiável e exija uma pessoa antes de uma ação irreversível.

O equilíbrio certo não será um único ajuste universal de autonomia. Deveria depender da consequência.

Deixe um agente remarcar uma reunião interna de baixo risco dentro de horários definidos. Deixe que prepare uma declaração de imposto, mas não que a envie. Deixe que encha um carrinho, mas exija aprovação acima de um orçamento. Deixe que renove a mesma receita, mas não que escolha um medicamento novo. Deixe que rascunhe uma mensagem, mas torne o remetente visível antes que ele fale em seu nome.

O agente útil mais seguro não é impotente. Ele tem exatamente poder suficiente para o trabalho atual, pelo tempo que esse trabalho deve levar.

O modelo de negócio da web também muda

A web atual pressupõe que uma pessoa vai chegar, ver a interface, absorver a marca, encontrar o upsell, ver o anúncio e virar parte da relação de cliente do site.

Um agente pode pular tudo isso.

Ele pode comparar produtos sem visitar dez lojas, extrair a resposta sem ler o artigo inteiro ou concluir uma transação por um protocolo sem ver a página de checkout caprichosamente otimizada. Isso é ótimo para o usuário e potencialmente devastador para negócios erguidos sobre atenção, tráfego de indicação ou controle da interface.

É também por isso que «tráfego de IA» é uma categoria larga demais. A Cloudflare hoje distingue entre tráfego de busca, de agentes e de treinamento. Um rastreador de busca pode indexar conteúdo e devolver um visitante. Um rastreador de treinamento pode consumir conteúdo para melhorar um modelo. Um agente dirigido pelo usuário pode chegar em tempo real para concluir uma tarefa. São relações diferentes e merecem permissões e economias diferentes.

Os sites vão precisar decidir quais agentes recebem, que capacidades expõem e como o valor volta quando o humano nunca aparece. Os agentes vão precisar revelar quando uma recomendação é patrocinada, quando um lojista pagou por preferência e se o agente está otimizando para o usuário ou para a plataforma que o controla.

Se um agente virar a camada pela qual uma pessoa compra, lê, viaja, se comunica e descobre, esse agente pode acabar sabendo mais sobre ela do que qualquer buscador ou rede social jamais soube. Ele não vai saber apenas onde ela foi e no que clicou. Vai saber o que ela estava tentando realizar.

Estamos delegando trabalho ou entregando autonomia?

Quero que agentes tirem trabalho administrativo da minha vida.

Não quero que eles se tornem, silenciosamente, os autores dela. Há diferença entre delegar uma tarefa e terceirizar uma decisão.

«Ache um voo que pouse antes do jantar» delega trabalho. «Planeje minhas férias ideais» começa a delegar preferências. «Cuide da minha caixa de entrada» delega o julgamento sobre quais relações importam. «Arrume minhas finanças» pode permitir que um sistema escolha entre valores que não se reduzem a um percentual de retorno.

Quanto mais um agente aprende, mais conveniente fica. Ele consegue lembrar o assento que prefiro, as pessoas com quem evito marcar cedo, as causas que apoio, as lojas em que confio, os problemas de saúde que não quero explicar de novo e o preço que estou disposto a pagar para economizar uma hora.

Essa mesma memória é um perfil comportamental extraordinário.

O risco não é só privacidade. Um agente que filtra todas as opções pode estreitar o mundo à minha volta. Pode otimizar a surpresa até sumir, me empurrar para o familiar e transformar as próprias suposições no meu comportamento futuro. Se o modelo de negócio dele premia um desfecho específico, a conveniência esconde o conflito melhor do que qualquer banner conseguiu.

Devemos desconfiar da ideia de que autonomia máxima é automaticamente a melhor experiência. Às vezes atrito é desperdício. Às vezes atrito é o momento em que a pessoa percebe o que está prestes a acontecer.

O que aplicações agent-first deveriam fazer diferente

Agent-first não deveria significar remover o site, publicar uma chave de API gigantesca ou permitir que um modelo improvise contra sistemas de produção. Deveria significar desenhar um caminho explícito para a ação delegada.

É a abordagem que estou adotando com o Orgabot, uma plataforma de orquestração de agentes de IA. Estou construindo uma frota governada de agentes para substituir minhas interações diretas com os serviços que movem minhas aplicações. Em vez de abrir cada painel, mover dados entre sistemas e clicar em cada fluxo operacional eu mesmo, quero que agentes especializados façam esse trabalho por conexões explícitas e com escopo. O objetivo não é um assistente todo-poderoso segurando todas as chaves. É um grupo de agentes delimitados capazes de tocar o trabalho rotineiro preservando permissões, aprovações, trilhas de auditoria e responsabilização.

Eu começaria por estes princípios:

• Torne os agentes visíveis. Agentes legítimos deveriam se identificar em vez de disfarçar seu tráfego como atividade humana.
• Autorize capacidades, não contas. Conceda permissão para ler estes registros, rascunhar esta mudança ou gastar até este valor, e não acesso irrestrito a tudo o que o usuário pode fazer.
• Separe preparo de compromisso. Um agente pode pesquisar, comparar, preencher, calcular e rascunhar antes de receber autoridade para enviar, comprar, publicar, apagar ou assinar.
• Amarre autoridade à intenção. Credenciais deveriam carregar o propósito, os limites e a validade da tarefa, não apenas a identidade da conta.
• Trate conteúdo externo como hostil. Uma página, um e-mail, um documento, o resultado de uma ferramenta ou a mensagem de outro agente são dados até que uma política confiável diga o contrário.
• Guarde os comprovantes. Usuários e serviços precisam de um registro durável do que o agente viu, decidiu, tentou, mudou e de quem aprovou.
• Torne o acesso fácil de revogar. Conveniência persistente jamais deveria virar autoridade permanente e invisível.
• Preserve o caminho humano. As pessoas ainda precisam de uma interface compreensível para inspecionar, corrigir, contestar e assumir o lugar do agente.

A melhor interface de agente pode ser uma API, um servidor de protocolo, uma sessão de navegador assinada ou uma mistura das três. A implementação importa menos do que o modelo de controle em volta dela.

A próxima internet precisa de uma pergunta melhor

A internet antibôs foi construída em torno de um desafio tosco, mas útil:

Prove que você é humano.

A internet agent-first precisa de um mais exigente:

Prove quem você representa, o que pediram que você fizesse e por que esta ação é permitida.

Devemos dar boas-vindas a essa virada. Uma internet capaz de agir em nosso nome poderia eliminar uma quantidade enorme de trabalho inútil. Poderia tornar serviços mais acessíveis, mais combináveis e mais atentos ao que as pessoas realmente querem.

Mas não devemos confundir menos cliques com mais controle. Se reconstruirmos a web para agentes antes de construir identidade, fronteiras de permissão, trilhas de auditoria, regras econômicas e uma intervenção humana significativa, vamos repetir um padrão antigo: implantar a conveniência primeiro e descobrir o modelo de confiança depois.

Por décadas, sites tentaram manter máquinas do lado de fora. A próxima fase não é sobre abrir todas as portas.

É sobre dar à máquina certa a chave certa pela razão certa, e depois receber a chave de volta.