Conheça seu Agente: Por que toda Plataforma de LLM Precisará de Verificação de Identidade (PT-BR)

Por dois anos, a conversa sobre segurança em torno dos grandes modelos de linguagem (LLMs) girou em torno do que eles dizem. Jailbreaks, recusas, guardrails, red-teaming do output. Essa conversa agora é obsoleta, porque os modelos deixaram de ser geradores de texto e se tornaram atores. Eles possuem credenciais de API. Eles chamam ferramentas. Eles movimentam dinheiro.

Uma vez que um modelo pode agir, a pergunta de segurança interessante não é mais "o que ele disse?". É: quem é responsável pelo que ele acabou de fazer? Essa pergunta não pode ser respondida com um filtro de conteúdo. Ela só pode ser respondida com identidade.

Principais Pontos

• Agência, não linguagem, é a vulnerabilidade. A OWASP classifica a Agência Excessiva em seu Top 10 para aplicações LLM, e publicou um Top 10 dedicado para Aplicações Agentivas em dezembro de 2025.
• A verificação humana está sob ataque ativo. O Relatório de Fraudes de Identidade da Entrust de 2026 associa deepfakes a uma em cada cinco tentativas de fraude biométrica, com ataques de injeção aumentando 40% ano a ano.
• Reguladores já estão apontando a lacuna. A FCA do Reino Unido está orientando os bancos a se prepararem para verificações de "conheça seu agente" à medida que ferramentas de IA começam a realizar pagamentos.
• Os prazos são reais. As obrigações de transparência do Artigo 50 do Ato de IA da UE se aplicam desde 2 de agosto de 2026, com multas de até €15 milhões ou 3% do faturamento mundial.
• Os padrões estão incompletos. Três rascunhos separados da IETF estão competindo para definir a autorização de agente delegado — e cada um deles termina em um principal humano que precisa ser verificado por algo.

Agência excessiva é a verdadeira classe de vulnerabilidade

A entrada de Agência Excessiva da OWASP descreve o problema precisamente: um sistema baseado em LLM recebe a capacidade de chamar funções ou interagir com outros sistemas, e a decisão sobre qual função invocar é frequentemente delegada ao próprio modelo, com base em prompts de entrada ou em sua própria saída anterior. Sistemas de agentes encadeiam essas chamadas, alimentando cada resultado na próxima invocação.

A vulnerabilidade é o que acontece quando essa cadeia executa uma ação prejudicial em resposta a uma entrada ambígua, inesperada ou adversária. O modelo não precisa ser "hackeado" em nenhum sentido clássico. Ele precisa apenas ser persuadido, e foi projetado para ser persuadível.

Isso é sério o suficiente para que o Projeto de Segurança GenAI da OWASP publicasse um Top 10 separado para Aplicações Agentivas em dezembro de 2025, tratando os sistemas agentivos como uma superfície de ameaça distinta, em vez de uma nota de rodapé para a segurança de LLM.

Observe o que a mitigação da agência excessiva realmente exige. Cada controle recomendado — permissões mínimas necessárias, aprovação humana em ciclo, acesso a ferramentas com escopo, registro de auditoria completo — pressupõe que você sabe qual principal o agente está agindo. As permissões são sem sentido sem uma identidade para anexá-las. Você não pode conceder o mínimo privilégio a um ator anônimo.

Os dados de fraude: a verificação humana é o que está sendo atacado

A resposta óbvia é verificar o humano no ponto de autorização. Os atacantes sabem disso, e é por isso que a própria etapa de verificação é agora o alvo.

O Relatório de Fraudes de Identidade da Entrust de 2026 descobriu deepfakes associados a uma em cada cinco tentativas de fraude biométrica, com ataques de injeção — que alimentam vídeo sintético diretamente no fluxo de verificação, ignorando a câmera completamente — aumentando 40% ano a ano.

O Relatório Anual de Fraudes de Identidade da Sumsub 2025-2026, baseado em mais de quatro milhões de tentativas de fraude, relata que, embora a taxa global de fraude esteja se estabilizando, ataques sofisticados de alta qualidade aumentaram 180% entre 2024 e 2025. O padrão é uma mudança de volume para precisão: menos tentativas, cada uma muito mais difícil de detectar.

A implicação estratégica é desconfortável. A IA generativa simultaneamente (a) torna os agentes capazes de ações consequentes e (b) torna as verificações de identidade mais baratas — uma selfie, uma foto de documento, um OTP — não confiáveis. Verificação fraca e agência autônoma são uma combinação ruim, e estão chegando juntas.

É por isso que a prova de vida passiva e a detecção de ataques de injeção deixam de ser um "bom ter" no momento em que um agente pode gastar dinheiro em nome de um usuário. A etapa de verificação agora é uma infraestrutura adversária, não um campo de formulário.

Reguladores chegaram antes dos padrões

Em junho de 2026, altos funcionários da Autoridade de Conduta Financeira (FCA) do Reino Unido disseram ao The Banker que os bancos deveriam começar a se preparar para uma nova era de verificações de "conheça seu agente". O raciocínio deles é que o comércio agentivo — IA que compra, transaciona e gerencia contas para usuários — força os bancos a repensar como eles estabelecem quem está do outro lado de uma transação.

Essa abordagem se espalhou rapidamente. Comentários da indústria no American Banker fazem o mesmo ponto do lado da conformidade: há uma nova entidade acessando sistemas bancários, verificando saldos e transferindo fundos, e não é uma pessoa.

Enquanto isso, as datas de conformidade rígidas já estão em vigor. A partir de 2 de agosto de 2026, as obrigações de transparência do Artigo 50 do Ato de IA da UE se aplicam a provedores e implementadores de certos sistemas de IA, com as diretrizes da Comissão Europeia adotadas em 20 de julho de 2026. O não cumprimento pode gerar multas de até €15 milhões ou 3% do faturamento anual mundial, o que for maior, e a regulamentação abrange qualquer provedor que coloque IA no mercado da UE ou cujas saídas sejam usadas lá (Cooley).

Adicione as obrigações que já existiam — AMLD6 diligência do cliente, MiCA para serviços de criptoativos, DORA resiliência operacional para entidades financeiras, GDPR para os próprios dados de identidade — e uma empresa regulamentada que implementa agentes não está esperando por um futuro livro de regras. Ela já está dentro de quatro.

A lacuna nos padrões e por que sempre recai sobre um humano verificado

A camada de protocolo está visivelmente instável. Existem pelo menos três rascunhos ativos da IETF atacando a autorização de agente delegado de diferentes direções:

Rascunho	Abordagem
Perfil de Autorização de Agente (AAP) para OAuth 2.0	Estende o OAuth 2.0 e JWT com reivindicações estruturadas para que os sistemas possam raciocinar sobre a identidade do agente, o contexto da tarefa e as restrições operacionais.
Perfil OAuth para Autorização de Agente de IA Delegado	Define tipos de concessão para delegação a um agente atuando em nome de um usuário.
Cabeçalho de Delegação de Agente	Carrega uma cadeia de links de delegação atenuada entre domínios administrativos; cada link restringe o escopo e encurta a expiração, e um verificador verifica cada link.

Esses rascunhos discordam sobre o mecanismo. Eles concordam sobre a forma: uma cadeia de delegação, onde cada link é mais restrito que seu pai, e a cadeia é tão confiável quanto sua raiz.

Essa raiz é um humano. Uma cadeia de delegação atenuada prova que um agente recebeu escopo por alguém — não diz nada sobre se esse alguém é real, sancionado, maior de idade ou a mesma pessoa que abriu a conta. A criptografia pode provar que a delegação aconteceu. Ela não pode provar que o delegador existe. Esse é um problema de verificação de identidade, e nenhum perfil OAuth o resolverá.

Como isso se parece arquitetonicamente

O padrão prático que separa as duas preocupações:

1. Verifique o humano uma vez, adequadamente. Verificação de documentos, prova de vida passiva e correspondência facial no onboarding, com detecção de ataques de injeção — porque esta é a etapa que os atacantes estão visando.
2. Vincule a credencial do agente a essa identidade verificada. O token do agente referencia um principal verificado em vez de um ID de conta simples, para que o escopo possa ser analisado.
3. Monitore o principal continuamente, não apenas uma vez. O status de sanções e PEP muda após o onboarding. Um agente autorizado em janeiro pode estar agindo em nome de uma pessoa sancionada em junho.
4. Reverifique por risco, não por cronograma. Aumente para autenticação biométrica quando o agente exceder um limite de valor ou mudar de comportamento, em vez de refazer o KYC completo em um calendário.
5. Registre toda a cadeia. Identidade humana, credencial do agente, ação e decisão — porque o Artigo 50 e o AMLD6 eventualmente solicitam que você reconstrua quem autorizou o quê.

O ponto de design importante é que as etapas 1 e 3 são infraestrutura de identidade comum. O trabalho genuinamente novo é a etapa 2 — e só é viável se a etapa 1 produziu algo que valha a pena vincular.

Como a Didit se encaixa

A Didit é infraestrutura para identidade e fraude: uma API para todo o ciclo de vida Autenticar → Verificar → Monitorar, com preços públicos de pagamento por uso e sem mínimos.

Para a etapa de verificação humana, a Verificação de Usuário (KYC) cobre Verificação de ID por US$ 0,15, Prova de Vida Passiva por US$ 0,10, Correspondência Facial 1:1 por US$ 0,05 e Análise de IP por US$ 0,03 — ou o pacote completo de KYC por US$ 0,33, com 500 verificações gratuitas por mês nos recursos principais. A Estimativa de Idade (US$ 0,10) é importante para produtos de IA de consumo que enfrentam regras de comprovação de idade, e o KYC Reutilizável é gratuito, então um usuário verificado uma vez não é verificado novamente por cada agente que ele autoriza.

Para a etapa de risco contínuo, o AML Screening custa US$ 0,20 por verificação em mais de 1.300 listas, com monitoramento contínuo por US$ 0,07 por usuário por ano. O Monitoramento de Transações custa US$ 0,02 por transação com um motor de regras fiduciárias e cripto, além de gerenciamento de casos e fluxo de trabalho SAR; o Wallet Screening / KYT está incluído nele por US$ 0,15 por verificação. A Verificação de Negócios (KYB) começa em US$ 2,00 por negócio com extração de UBO, para agentes que atuam em nome de empresas em vez de consumidores.

Para a fiação, o MCP Server, o Workflow Orchestrator e os SDKs são gratuitos — o que significa que uma estrutura de agente pode chamar a verificação como uma ferramenta sem uma negociação de licença separada.

Por baixo: mais de 220 países, mais de 14.000 tipos de documentos, mais de 1.000 fontes de dados, mais de 200 sinais de fraude, inferência em menos de 2 segundos e uma integração em 5 minutos. Certificação SOC 2 Tipo 1 e Tipo 2 (Tipo 2 emitida em 30 de julho de 2026), ISO/IEC 27001 e iBeta Nível 1 PAD para as reivindicações de prova de vida. A verificação da Didit é formalmente atestada por um governo de um estado membro da UE — Tesoro, Banco de España e SEPBLAC da Espanha — como mais segura do que a verificação presencial. Mais de 2.000 empresas a utilizam em produção.

O resumo honesto

A verificação de identidade não está se tornando obrigatória para LLMs por causa de uma única regulamentação. Ela está se tornando obrigatória por causa de uma convergência: os modelos ganharam a capacidade de agir, as verificações de identidade baratas se tornaram falsificáveis no mesmo momento, os reguladores começaram a perguntar quem autorizou a ação, e os padrões de delegação que estão sendo elaborados para responder a essa pergunta todos se baseiam em um humano cuja existência alguém precisa provar.

A segurança do conteúdo foi o problema de 2024. A responsabilidade é o de 2026, e responsabilidade é sinônimo de identidade.

FAQ

O que "conheça seu agente" realmente significa?

É a extensão da diligência do cliente a softwares autônomos que atuam em nome de um cliente. Na prática, significa estabelecer qual humano ou empresa verificada autoriza um determinado agente, qual o escopo que ele possui e manter um registro auditável — em vez de tratar o agente como um cliente de API anônimo. Funcionários da FCA do Reino Unido têm instado publicamente os bancos a se prepararem para exatamente essas verificações.

Por que o OAuth não é suficiente para a autenticação de agentes de IA?

O OAuth e os rascunhos de autorização de agente que o estendem podem provar que o escopo foi delegado em uma cadeia e podem restringir esse escopo em cada elo. O que eles não podem fazer é estabelecer que a pessoa na raiz da cadeia é real, maior de idade e não sancionada. Delegação e identidade são problemas diferentes; a autorização de agente pressupõe um principal verificado em vez de produzir um.

Como os deepfakes mudam a verificação de identidade para produtos de IA?

Eles movem o ataque do documento para o próprio pipeline de verificação. O relatório de 2026 da Entrust associa deepfakes a uma em cada cinco tentativas de fraude biométrica e registra um aumento de 40% ano a ano em ataques de injeção, onde vídeo sintético é alimentado diretamente no fluxo em vez de ser exibido para uma câmera. A prova de vida passiva com detecção de injeção, em vez de uma comparação de selfie, é o controle relevante.

Quais são os prazos concretos de conformidade?

As obrigações de transparência do Artigo 50 do Ato de IA da UE se aplicam desde 2 de agosto de 2026, com as diretrizes da Comissão adotadas em 20 de julho de 2026 e multas de até €15 milhões ou 3% do faturamento anual mundial. Empresas de serviços financeiros devem ler isso em conjunto com as obrigações existentes da AMLD6, MiCA e DORA, todas as quais já exigem identificação confiável do cliente.

Um agente precisa de sua própria identidade verificada, ou verificar o humano é suficiente?

Ambos, por diferentes razões. O humano estabelece a responsabilidade e cumpre as obrigações de diligência. A credencial do agente estabelece o escopo — quais ações este agente específico pode realizar, por quanto tempo. Verificar apenas o humano o deixa incapaz de restringir ou revogar um agente individual; emitir credenciais de agente sem um humano verificado o deixa incapaz de dizer quem é o responsável.