Agentes de Compras por IA Estão Expondo a Lacuna de Confiança do Varejo

Google News trouxe em agosto um alerta direto: os agentes de compras por IA estão chegando aos varejistas mais rapidamente do que os sistemas de segurança conseguem determinar se esses agentes merecem acesso.

A análise original surgiu enquanto o Google e seus parceiros do varejo impulsionavam o comércio agêntico em direção a transações reais. Comércio agêntico significa que um software pode pesquisar, selecionar e comprar produtos sob autoridade delegada por uma pessoa.

O conflito já não ocorre entre consumidores e bots rudimentares de checkout. Ele se dá entre agentes autorizados que representam demanda real e automações maliciosas projetadas para parecer igualmente legítimas.

Google, Visa, Mastercard, Cloudflare, membros da FIDO Alliance e grandes varejistas estão desenvolvendo padrões para reduzir essa lacuna. No entanto, esses projetos dividem a confiança entre a identidade do agente, a autorização do usuário, as credenciais de pagamento e a política do comerciante.

Uma assinatura válida pode identificar o software que enviou uma solicitação. Ela não prova automaticamente que cada ação solicitada reflete a intenção atual do usuário.

Essa distinção cria o problema central para os varejistas. Eles precisam acolher compradores automatizados valiosos sem conceder os mesmos privilégios a ladrões de contas, cambistas de estoque, identidades sintéticas ou agentes comprometidos.

A cobertura do Google News frequentemente apresenta os agentes de compras por IA como uma nova interface para consumidores. As equipes de segurança do varejo veem algo mais consequente: uma nova classe de cliente máquina capaz de navegar, negociar, autenticar-se e gastar.

As defesas tradicionais foram criadas para responder a uma pergunta mais simples. Esse tráfego é humano ou automatizado?

Agora, os varejistas precisam perguntar quem controla o agente, o que a pessoa autorizou, quais ações continuam permitidas e quem absorve as perdas quando algo dá errado.

Google News Está Acompanhando uma Mudança de Recomendações para Transações

A mudança importante não é que a IA pode recomendar produtos. É que as principais plataformas estão conectando recomendações diretamente ao checkout.

O Google anunciou o Universal Commerce Protocol com a Shopify e parceiros do varejo em janeiro de 2026. O UCP é um padrão aberto destinado a conectar interfaces de IA com descoberta de produtos, checkout e sistemas de pós-compra.

Mais de 20 varejistas, plataformas e empresas de pagamento apoiaram a iniciativa no lançamento, segundo a cobertura sobre o padrão de compras. Entre os participantes estavam Etsy, Wayfair, Walmart, Target, Mastercard, Visa e outros grandes operadores de comércio.

O Google afirmou que o protocolo apoiaria compras dentro do AI Mode no Search e no app Gemini. Essa estrutura reduz a necessidade de alternar entre uma conversa com IA, o site de um varejista e um fluxo de checkout separado.

O consumidor vê conveniência. O comerciante recebe uma série de solicitações geradas por máquinas que podem acessar catálogos de produtos, sistemas de estoque, contas de clientes, dados de fidelidade e infraestrutura de pagamento.

Essa diferença importa porque cada solicitação traz um risco distinto. Ler a descrição pública de um produto não equivale a reservar um estoque escasso ou enviar uma credencial de pagamento armazenada.

Agentes de compras por IA também podem operar em uma velocidade e escala que clientes humanos não conseguem igualar. Um agente pode comparar centenas de anúncios, testar diversas configurações de entrega e monitorar mudanças de preços.

Essas ações podem se assemelhar a coleta automatizada de dados, abuso de credenciais, exploração de promoções ou manipulação de estoque. Um sistema que bloqueia toda automação de alta velocidade pode rejeitar o assistente autorizado de um cliente valioso.

Um sistema que permite todos os agentes que alegam intenção comercial cria o problema oposto. Atacantes podem rotular ferramentas maliciosas como assistentes de compras e explorar a rota mais permissiva.

É por isso que as reportagens do Google News sobre compras por IA estão se tornando histórias de segurança. A interface avançou de gerar texto para iniciar operações dentro de sistemas que guardam dinheiro e dados pessoais.

A mudança também pressiona os modelos de fraude existentes. Muitos modelos aprendem com impressões digitais de dispositivos, históricos de sessão, padrões de navegação e relações conhecidas entre contas e instrumentos de pagamento.

Um agente pode romper essas relações. Ele pode operar a partir de infraestrutura em nuvem, usar um perfil de dispositivo desconhecido e realizar transações em um horário incomum para um cliente.

O comportamento pode parecer fraudulento mesmo quando a instrução é legítima. Por outro lado, um agente comprometido pode portar credenciais válidas e se comportar como um serviço confiável.

O avanço comercial do Google eleva as apostas porque pode levar compras mediadas por agentes a produtos de amplo alcance entre os consumidores. Quanto mais tráfego chega por meio de plataformas de IA reconhecidas, menos prático se torna o bloqueio generalizado.

Por isso, os varejistas precisam de decisões graduais. Um agente pode receber acesso ao catálogo, mas não à conta, ou montar um carrinho sem autoridade final de pagamento.

Esse modelo trata a confiança como algo específico para cada ação. Ele evita presumir que um agente aprovado para uma tarefa deva receber acesso irrestrito durante toda a jornada de compra.

A Segurança do Varejo Ainda Depende da Distinção Errada

As defesas do varejo continuam eficazes em classificar padrões de tráfego, mas o comércio agêntico exige provas de identidade, autoridade, intenção e escopo da transação.

A Akamai relatou que o comércio representou 47,9% do tráfego de bots de IA observado em sua rede global entre julho e dezembro de 2025. Rastreadores de treinamento de IA geraram mais de 70% dos acionamentos de bots de IA relacionados ao comércio.

Esses números descrevem o volume de tráfego, não uma demanda de compras verificada. Ainda assim, revelam a escala da atividade automatizada que as equipes de segurança precisam classificar antes de conceder acesso.

A mesma pesquisa sobre segurança no comércio afirmou que organizações de comércio colocaram mais de 90% da atividade de bots de IA em uma categoria de monitoramento. Elas permitiram que três quartos da atividade restante passassem sem restrições.

O monitoramento é compreensível durante uma transição emergente. Ele permite que as equipes de segurança observem comportamentos desconhecidos sem interromper imediatamente serviços úteis.

No entanto, o monitoramento não resolve a decisão de confiança. Ele adia a decisão enquanto o tráfego automatizado continua interagindo com sistemas de produção.

A Akamai também constatou que ataques web direcionados a APIs cresceram 9% em relação ao ano anterior. Entre os entrevistados do setor de comércio, 85% relataram pelo menos um incidente relacionado a APIs durante o ano anterior.

Apenas 22% sabiam quais APIs expunham dados sensíveis, segundo o estudo de APIs citado pela empresa. Esse problema de visibilidade se torna mais grave quando os agentes dependem de APIs para agir com eficiência.

Uma API é uma interface que permite a um software solicitar dados ou acionar funções sem navegar por uma página voltada a humanos. Ela pode oferecer um caminho mais direto tanto para agentes legítimos quanto para atacantes.

A detecção tradicional de bots frequentemente examina endereços IP, cadeias de user-agent, velocidade de solicitações, sinais do navegador e comportamento de navegação. Cada sinal pode contribuir com evidências úteis, mas nenhum comprova autoridade delegada.

As cadeias de user-agent podem ser copiadas. Os endereços IP podem mudar. Um ritmo semelhante ao humano pode ser gerado, enquanto agentes legítimos podem fazer solicitações rápidas que se parecem com abuso.

A distinção entre humano e bot também perde valor quando empresas convidam ativamente clientes não humanos. A classificação importante passa a ser automação autorizada versus automação não autorizada.

Mesmo essa divisão é incompleta. Um agente autorizado pode ser comprometido, operar além de seu mandato ou se basear em informações manipuladas de uma página de produto.

A injeção de prompt ilustra o problema. Uma instrução hostil incorporada ao conteúdo pode tentar redirecionar o comportamento de um agente quando ele lê esse conteúdo.

Um varejista pode verificar com sucesso a identidade do agente e ainda assim receber uma solicitação insegura. A identidade estabelece quem enviou a mensagem, não se o raciocínio do agente permaneceu confiável.

A tomada de conta cria outro caso difícil. Um atacante pode controlar uma conta real de cliente e invocar um agente aprovado por meio de canais de autenticação válidos.

Listas estáticas de permissão não conseguem distinguir essa sessão de uma atividade comum. O sistema precisa de evidências contextuais que cubram o usuário, o agente, a ação solicitada, o método de pagamento e o comportamento recente da conta.

Falsos positivos têm custos reais. Uma transação de agente rejeitada pode levar o consumidor a outro varejista cujo checkout aceita compras automatizadas.

Falsos negativos são igualmente custosos. Eles podem resultar em estornos, pontos de fidelidade roubados, dados pessoais expostos ou compras que os clientes negam ter autorizado.

Assim, os varejistas sofrem pressão dos dois lados. As equipes de crescimento querem que o tráfego de agentes seja aceito, enquanto as equipes de segurança continuam responsáveis por perdas e falhas de privacidade.

Uma ferramenta binária de permitir ou bloquear não consegue conciliar esses objetivos. Os varejistas precisam de decisões de política que variem conforme a ação, o valor, a confiança na identidade e as evidências disponíveis.

A Verdadeira Disputa É Intenção Autorizada Versus Identidade Válida

O principal adversário não é o Google contra outra empresa de tecnologia. É a identidade criptográfica contra o problema mais difícil de comprovar a intenção do usuário.

O Trusted Agent Protocol da Visa mostra como o setor está abordando a primeira metade desse problema. Ele permite que agentes aprovados anexem assinaturas digitais às suas interações com comerciantes.

A assinatura pode incluir um carimbo de data e hora, identificador de sessão, identificador de chave e informações de algoritmo. O comerciante pode verificar que um agente registrado produziu a solicitação.

A Visa também vincula a assinatura a um domínio de comerciante e a uma operação específica. Esse design limita a reutilização da autorização em sites ou ações não relacionadas.

Um nonce, que é um valor único usado uma única vez, ajuda a impedir que solicitações capturadas sejam reproduzidas mais tarde. Limites de tempo fornecem outro controle contra autorizações desatualizadas.

Esses mecanismos melhoram a prática de confiar em um endereço IP ou em um nome de agente autodeclarado. Eles fornecem aos comerciantes evidências criptográficas de que um agente conhecido enviou uma solicitação específica.

A especificação de agente confiável também descreve sinais para distinguir navegação de atividade de pagamento. Essa distinção permite que um varejista aplique regras mais rígidas à medida que uma interação se aproxima do checkout.

A Cloudflare conectou a abordagem da Visa e o Mastercard Agent Pay ao Web Bot Auth. O Web Bot Auth usa assinaturas de mensagens HTTP, que anexam informações de identidade verificáveis a solicitações web.

No sistema descrito, desenvolvedores de agentes registram chaves públicas em diretórios. Comerciantes ou provedores de infraestrutura recuperam essas chaves e validam solicitações assinadas.

A estrutura de assinaturas pode identificar um agente registrado, conectá-lo a uma identidade de consumidor e comunicar se ele pretende navegar ou comprar.

Isso representa um progresso significativo. Cria uma camada de confiança legível por máquinas onde antes os comerciantes viam tráfego automatizado anônimo.

Ainda assim, o protocolo não consegue saber de forma independente se uma pessoa compreendeu cada ação posterior. Ele também não pode garantir que o agente interpretou corretamente a instrução.

Considere um cliente que pede a um agente para comprar tênis de corrida abaixo de um limite de gasto escolhido. O agente pode estar autorizado a pesquisar produtos e preparar um carrinho.

Várias escolhas não resolvidas permanecem. O limite inclui impostos e frete? O agente pode substituir por outra marca? Pode inscrever o comprador em uma assinatura?

A identidade do agente pode permanecer válida em todas as etapas enquanto seu comportamento ultrapassa o limite pretendido pelo cliente. Portanto, a confiança deve estar vinculada a um mandato, e não apenas ao software.

Um mandato é um registro verificável do que o usuário autorizou, incluindo restrições como comerciante, categoria de produto, valor, prazo e requisitos de confirmação.

As credenciais de pagamento resolvem outra parte limitada. Um token de rede válido pode reduzir a exposição dos dados do cartão, mas não resolve uma disputa sobre o que foi instruído ao agente.

Os varejistas também precisam de evidências que possam preservar. Um registro pós-transação deve mostrar o agente, a autorização do usuário, os limites aplicáveis, a decisão do comerciante e os detalhes finais da compra.

Sem essa cadeia, as disputas se tornam difíceis de resolver. O consumidor pode culpar o agente, o provedor do agente pode culpar os dados do comerciante, e o comerciante pode apontar para credenciais de pagamento válidas.

Por isso, as equipes de segurança devem evitar tratar tráfego assinado como automaticamente seguro. Uma assinatura deve aumentar a confiança na origem, enquanto os mecanismos de políticas avaliam separadamente a ação proposta.

Essa dinâmica também afeta os varejistas menores. Grandes plataformas podem integrar diversos sistemas de identidade, pagamento e prevenção a fraudes, enquanto comerciantes menores frequentemente dependem de softwares de comércio prontos para uso.

Se os padrões se fragmentarem entre redes de pagamento e provedores de agentes, os comerciantes poderão enfrentar vários diretórios, formatos de assinatura e regras de responsabilidade. Essa complexidade gera implementações inconsistentes e novas lacunas de segurança.

A interoperabilidade é importante porque a confiança não pode depender de cada varejista negociar separadamente com cada operador de agente. O ecossistema precisa de métodos compartilhados para identidade e autorização.

Os padrões estão chegando antes que suas garantias de segurança estejam definidas

A segurança do comércio agêntico avança rumo a credenciais interoperáveis, mas o processo de padronização confirma que questões essenciais de autorização permanecem em aberto.

A FIDO Alliance formou um Grupo de Trabalho Técnico de Autenticação Agêntica em abril de 2026. A FIDO é conhecida por padrões de autenticação, incluindo a tecnologia por trás das passkeys.

Seu novo trabalho se concentra em instruções verificáveis dos usuários, autenticação de agentes e delegação confiável para o comércio. São controles relacionados, mas não intercambiáveis.

Instruções verificáveis estabelecem o que uma pessoa aprovou. A autenticação do agente estabelece qual agente está atuando. A delegação confiável vincula essa autoridade a ações delimitadas.

A iniciativa de padrões para agentes conta com contribuições do Agent Payments Protocol do Google e do Verifiable Intent da Mastercard. Os grupos de trabalho incluem representantes de grandes empresas de tecnologia, varejo, identidade e pagamentos.

Essa abordagem colaborativa pode reduzir a fragmentação. Ela também mostra que o mercado ainda não chegou a um modelo de confiança consolidado.

A Visa afirma que seu Trusted Agent Protocol continua em desenvolvimento e implantação. Sua documentação pública descreve recursos e sequências potenciais, que não devem ser confundidos com suporte universal por parte dos comerciantes.

A adoção exige mais do que publicar uma especificação. Os desenvolvedores de agentes precisam assinar as solicitações corretamente, os diretórios devem permanecer disponíveis, os comerciantes precisam validar assinaturas e os sistemas antifraude devem usar as evidências resultantes.

A gestão de chaves cria risco operacional. Se a chave de assinatura de um provedor de agentes for roubada, invasores podem gerar tráfego que parece vir de um agente aprovado.

Os diretórios também se tornam uma infraestrutura importante. Os comerciantes precisam receber informações em tempo hábil quando uma chave, agente, provedor ou relação de autorização for revogada.

O consentimento do usuário deve permanecer compreensível. Um registro de autorização tecnicamente preciso ainda pode falhar com os consumidores se a interface incentivar permissões amplas que eles não compreendem.

Os varejistas também enfrentam incentivos para solicitar mais dados de identidade do que uma interação exige. Conectar agentes a e-mails, números de telefone, contas de fidelidade e referências de pagamento pode melhorar o checkout, ao mesmo tempo que aumenta a exposição à privacidade.

O Information Commissioner’s Office do Reino Unido já destacou questões legais relacionadas à transparência, equidade, responsabilidade e proteção de dados. Os reguladores examinarão se as pessoas entendem como os agentes usam suas preferências e informações pessoais.

Os ataques mais difíceis também podem contornar a camada de protocolo. Um vendedor mal-intencionado poderia manipular informações de produtos para influenciar a forma como os agentes classificam ou selecionam itens.

Uma ferramenta comprometida poderia alterar o comportamento de um agente de compras após a autenticação. Um invasor poderia usar uma conta aprovada de agente com credenciais de usuário roubadas.

Nenhuma assinatura de solicitação pode provar que uma alegação sobre um produto é correta. Ela também não pode confirmar que o modelo selecionou o melhor item ou evitou um conflito oculto.

É por isso que a segurança do comércio agêntico deve permanecer em camadas. Autenticação, autorização, detecção de fraudes, integridade do conteúdo, controles de pagamento e evidências para disputas abordam falhas diferentes.

Os varejistas também devem manter algum atrito em ações de maior risco. A confirmação humana pode continuar adequada para compras caras, endereços de entrega incomuns, assinaturas ou pedidos irreversíveis.

Isso não invalida o comércio agêntico. Reconhece que a autonomia deve se expandir de acordo com as evidências e o risco, e não segundo cronogramas de marketing.

Os leitores do Google News devem tratar cada anúncio de protocolo como trabalho de infraestrutura, e não como prova de que o checkout autônomo se tornou seguro. Os padrões criam blocos de construção comuns, enquanto as implantações determinam sua confiabilidade real.

A garantia de segurança continua condicionada à implementação correta em várias organizações. Um elo fraco pode comprometer uma transação mesmo quando todos os demais participantes seguem o padrão.

O que varejistas e usuários de IA devem acompanhar a seguir

A próxima fase será decidida pela adoção real no checkout, pela autorização interoperável e por evidências de que os controles antifraude conseguem separar agentes confiáveis de impostores convincentes.

O primeiro sinal é a implantação em produção. Os varejistas devem divulgar quando solicitações assinadas de agentes deixarem os testes e começarem a afetar decisões de checkout em operação.

Evidências úteis incluiriam a parcela do tráfego de agentes que carrega identidade verificável, a taxa de transações legítimas rejeitadas e os resultados de fraude por tipo de transação.

O crescimento bruto do tráfego não responde a essas perguntas. Um crawler que coleta informações de produtos é diferente de um agente que envia um pagamento autorizado.

A Akamai relatou que o tráfego impulsionado por IA se tornou substancial em toda a infraestrutura de comércio. A Visa afirmou separadamente que o tráfego impulsionado por IA para sites de varejo dos Estados Unidos subiu mais de 4.700% no ano anterior a outubro de 2025.

Essas medições provavelmente abrangem sistemas e classificações diferentes. Não devem ser tratadas como uma contagem direta de compras autônomas.

Dados de conversão em produção fortaleceriam a alegação de que os agentes estão se tornando um novo canal de clientes. Tráfego elevado acompanhado de baixa conclusão de checkout a enfraqueceria.

O segundo sinal é a convergência entre padrões. O trabalho da FIDO será relevante se Google, Visa, Mastercard, Cloudflare, provedores de agentes e plataformas de comércio adotarem registros de autorização compatíveis.

Um padrão útil deve responder a várias perguntas concretas. Deve identificar o agente, conectá-lo a um usuário autenticado, expressar limites, oferecer suporte à revogação e preservar evidências auditáveis.

A compatibilidade deve ir além do pagamento. Os agentes atuam antes do checkout quando navegam por catálogos, recuperam informações de fidelidade, reservam estoque e negociam opções de entrega.

Se cada etapa usar credenciais não relacionadas, os varejistas terão dificuldade em manter uma única decisão de risco coerente. Os invasores podem visar as transições entre sistemas.

Um modelo compartilhado de autorização fortaleceria a arquitetura de confiança do setor. A fragmentação contínua deixaria plataformas maiores com integrações privadas e comerciantes menores com proteção desigual.

O terceiro sinal é a responsabilidade. Consumidores, operadores de agentes, redes de pagamento e comerciantes precisam de regras claras para compras que foram autenticadas, mas não foram realmente pretendidas.

Um agente pode comprar o tamanho errado, aceitar uma assinatura indesejada, exceder um orçamento por causa de taxas ou enviar um pedido para um endereço desatualizado.

As regras de fraude podem abordar credenciais roubadas, mas nem toda ação equivocada ou excessivamente ampla se qualifica como fraude. As políticas de reembolso também podem entrar em conflito com padrões de compra automatizada.

A organização que controla a interface do usuário define como o consentimento é solicitado. O comerciante controla o cumprimento do pedido, enquanto as redes de pagamento determinam os mecanismos de autorização e disputa.

A menos que a responsabilidade esteja clara, cada participante pode alegar que outra parte causou a falha. Essa incerteza desestimulará consumidores e comerciantes a conceder maior autonomia.

Os varejistas também devem acompanhar orientações regulatórias sobre tomada de decisão automatizada e minimização de dados. Agentes de compras podem expor preferências detalhadas que os consumidores nunca pretenderam compartilhar com todos os vendedores.

Para os usuários, a questão imediata não é se um agente consegue encontrar um produto. É se o serviço mostra seu mandato antes de gastar dinheiro.

Uma interface confiável deve exibir o limite de compra, os comerciantes permitidos, as regras de substituição, as restrições de entrega e as circunstâncias que exigem confirmação. Também deve tornar a revogação simples.

Os usuários devem poder inspecionar um registro de atividade após a transação. Esse registro deve separar o que eles solicitaram do que o agente inferiu.

Os desenvolvedores enfrentam uma responsabilidade relacionada. Devem projetar permissões em torno de ações específicas, em vez de acesso amplo a contas, mensagens, cartões salvos e históricos de navegação.

Profissionais do conhecimento que avaliam sistemas de agentes devem perguntar onde a autorização termina e o julgamento do modelo começa. Esse limite determina se um erro é bloqueado, confirmado, registrado ou executado silenciosamente.

A National Retail Federation e a PwC incentivaram os varejistas a construir bases de governança e segurança enquanto se preparam para o comércio agêntico. Seu trabalho de governança no varejo reflete a necessidade de coordenação entre equipes de segurança, jurídico, tecnologia e negócios.

Essa coordenação é essencial porque nenhum departamento detém toda a transação. O marketing valoriza a descoberta, as equipes de comércio valorizam a conversão, a segurança gerencia abusos e as equipes jurídicas lidam com consentimento e responsabilidade.

O Google News continuará trazendo anúncios sobre agentes que pesquisam, comparam e compram. A pergunta mais útil é se a infraestrutura de confiança avança no mesmo ritmo.

Os varejistas devem exigir identidade verificável sem confundir identidade com intenção inofensiva. Devem exigir autorização delimitada sem presumir que todo limite captura a compreensão do consumidor.

Os consumidores devem procurar agentes que revelem suas ações planejadas antes do checkout e forneçam um registro claro depois. A conveniência merece escrutínio quando o software pode gastar, divulgar dados ou criar obrigações.

O setor já cruzou a linha entre recomendações assistidas por IA e comércio iniciado por máquinas. Ainda não cruzou a linha mais difícil rumo à delegação universalmente confiável.

Acompanhe as solicitações assinadas chegando à produção, a convergência dos padrões de autorização e as primeiras decisões de responsabilidade envolvendo compras contestadas feitas por agentes. Esses sinais mostrarão se o Google News está documentando um canal de varejo duradouro ou uma crise de identidade avançando em direção ao checkout.