A Identidade dos Agentes: Por Que as Plataformas LLM Precisam de Verificação (PT-PT)

Durante dois anos, a conversa sobre segurança em torno dos grandes modelos de linguagem (LLMs) centrou-se no que eles dizem. Jailbreaks, recusas, guardrails, red-teaming do output. Essa conversa está agora obsoleta, porque os modelos deixaram de ser geradores de texto e tornaram-se atores. Possuem credenciais de API. Chamam ferramentas. Movem dinheiro.

Uma vez que um modelo pode agir, a questão de segurança interessante já não é "o que é que ele disse?" É: quem é responsável pelo que ele acabou de fazer? Essa questão não é respondível com um filtro de conteúdo. É respondível apenas com identidade.

Principais Conclusões

• Agência, não linguagem, é a vulnerabilidade. A OWASP classifica a Agência Excessiva no seu Top 10 para aplicações LLM, e publicou um Top 10 dedicado para Aplicações Agênticas em dezembro de 2025.
• A verificação humana está sob ataque ativo. O Relatório de Fraude de Identidade de 2026 da Entrust associa deepfakes a um em cada cinco tentativas de fraude biométrica, com ataques de injeção a aumentar 40% ano após ano.
• Os reguladores já estão a identificar a lacuna. A FCA do Reino Unido está a dizer aos bancos para se prepararem para verificações de "know your agent" à medida que as ferramentas de IA começam a fazer pagamentos.
• Os prazos são reais. As obrigações de transparência do Artigo 50 do Regulamento AI da UE aplicam-se desde 2 de agosto de 2026, com multas até 15 milhões de euros ou 3% do volume de negócios mundial.
• Os padrões estão incompletos. Três rascunhos IETF separados estão a competir para definir a autorização de agente delegado — e cada um deles termina num principal humano que tem de ser verificado por algo.

A agência excessiva é a verdadeira classe de vulnerabilidade

A entrada Agência Excessiva da OWASP descreve o problema com precisão: um sistema baseado em LLM recebe a capacidade de chamar funções ou interagir com outros sistemas, e a decisão sobre qual função invocar é frequentemente delegada ao próprio modelo, com base em prompts de entrada ou no seu próprio output anterior. Os sistemas de agentes encadeiam estas chamadas, alimentando cada resultado na invocação seguinte.

A vulnerabilidade é o que acontece quando essa cadeia executa uma ação prejudicial em resposta a uma entrada ambígua, inesperada ou adversária. O modelo não precisa de ser "hackeado" em nenhum sentido clássico. Só precisa de ser persuadido, e foi concebido para ser persuadível.

Isto é suficientemente sério para que o Projeto de Segurança GenAI da OWASP tenha publicado um Top 10 separado para Aplicações Agênticas em dezembro de 2025, tratando os sistemas agênticos como uma superfície de ameaça distinta, em vez de uma nota de rodapé à segurança de LLM.

Note o que a mitigação da agência excessiva realmente exige. Cada controlo recomendado — permissões mínimas necessárias, aprovação humana no ciclo, acesso a ferramentas com âmbito definido, registo de auditoria completo — pressupõe que sabe qual o principal para quem o agente está a agir. As permissões são sem sentido sem uma identidade para as associar. Não pode conceder o privilégio mínimo a um ator anónimo.

Os dados de fraude: a verificação humana é o que está a ser atacado

A resposta óbvia é verificar o humano no ponto de autorização. Os atacantes sabem disso, razão pela qual o próprio passo de verificação é agora o alvo.

O Relatório de Fraude de Identidade de 2026 da Entrust descobriu que os deepfakes estão ligados a uma em cada cinco tentativas de fraude biométrica, com ataques de injeção — alimentar vídeo sintético diretamente para o fluxo de verificação, contornando completamente a câmara — a aumentar 40% ano após ano.

O Relatório de Fraude de Identidade 2025-2026 da Sumsub, baseado em mais de quatro milhões de tentativas de fraude, relata que, embora a taxa global de fraude esteja a estabilizar, os ataques sofisticados de alta qualidade aumentaram 180% entre 2024 e 2025. O padrão é uma mudança de volume para precisão: menos tentativas, cada uma muito mais difícil de detetar.

A implicação estratégica é desconfortável. A IA generativa simultaneamente (a) torna os agentes capazes de ações consequentes e (b) torna as verificações de identidade mais baratas — uma selfie, uma foto de documento, um OTP — pouco fiáveis. Verificação fraca e agência autónoma são uma má combinação, e estão a chegar juntas.

É por isso que a deteção de vivacidade passiva e de ataques de injeção deixa de ser um "nice-to-have" no momento em que um agente pode gastar dinheiro em nome de um utilizador. O passo de verificação é agora infraestrutura adversária, não um campo de formulário.

Os reguladores chegaram lá antes dos padrões

Em junho de 2026, altos funcionários da Autoridade de Conduta Financeira (FCA) do Reino Unido disseram ao The Banker que os bancos deveriam começar a preparar-se para uma nova era de verificações de "know your agent". O seu raciocínio é que o comércio agêntico — IA que compra, transaciona e gere contas para utilizadores — força os bancos a repensar como estabelecem quem está do outro lado de uma transação.

Essa formulação espalhou-se rapidamente. Os comentários da indústria no American Banker fazem o mesmo ponto do lado da conformidade: existe uma nova entidade a aceder aos sistemas bancários, a verificar saldos e a transferir fundos, e não é uma pessoa.

Entretanto, as datas de conformidade rigorosas já estão em vigor. A partir de 2 de agosto de 2026, as obrigações de transparência do Artigo 50 do Regulamento AI da UE aplicam-se a fornecedores e implementadores de certos sistemas de IA, com as diretrizes da Comissão Europeia adotadas em 20 de julho de 2026. O não cumprimento pode desencadear multas de até 15 milhões de euros ou 3% do volume de negócios anual mundial, o que for superior, e o regulamento abrange qualquer fornecedor que coloque IA no mercado da UE ou cujos outputs sejam usados lá (Cooley).

Adicione as obrigações que já existiam — diligência devida do cliente AMLD6, MiCA para serviços de criptoativos, DORA resiliência operacional para entidades financeiras, GDPR para os próprios dados de identidade — e uma empresa regulada que implementa agentes não está à espera de um futuro livro de regras. Já está dentro de quatro.

A lacuna nos padrões, e por que sempre recai sobre um humano verificado

A camada do protocolo está visivelmente instável. Existem pelo menos três rascunhos IETF ativos a abordar a autorização de agente delegado de diferentes direções:

Rascunho	Abordagem
Perfil de Autorização de Agente (AAP) para OAuth 2.0	Estende OAuth 2.0 e JWT com declarações estruturadas para que os sistemas possam raciocinar sobre a identidade do agente, o contexto da tarefa e as restrições operacionais.
Perfil OAuth para Autorização de Agente de IA Delegado	Define tipos de concessão para delegação a um agente que age em nome de um utilizador.
Cabeçalho de Delegação de Agente	Transporta uma cadeia de links de delegação atenuados através de domínios administrativos; cada link restringe o âmbito e encurta a validade, e um verificador verifica cada link.

Estes rascunhos discordam sobre o mecanismo. Concordam sobre a forma: uma cadeia de delegação, onde cada link é mais restrito que o seu progenitor, e a cadeia é tão fiável quanto a sua raiz.

Essa raiz é um humano. Uma cadeia de delegação atenuada prova que um agente recebeu um âmbito por alguém — não diz nada sobre se esse alguém é real, sancionado, maior de idade ou a mesma pessoa que abriu a conta. A criptografia pode provar que a delegação aconteceu. Não pode provar que o delegador existe. Isso é um problema de verificação de identidade, e nenhum perfil OAuth o resolverá.

Como isto se parece arquitetonicamente

O padrão prático que separa as duas preocupações:

1. Verificar o humano uma vez, corretamente. Verificação de documentos, vivacidade passiva e correspondência facial no onboarding, com deteção de ataques de injeção — porque é este o passo que os atacantes estão a visar.
2. Vincular a credencial do agente a essa identidade verificada. O token do agente referencia um principal verificado em vez de um ID de conta simples, para que o âmbito possa ser raciocinado.
3. Monitorizar o principal continuamente, não uma vez. O status de sanções e PEP muda após o onboarding. Um agente autorizado em janeiro pode estar a agir em nome de uma pessoa sancionada em junho.
4. Reverificar sob risco, não por agendamento. Aumentar para autenticação biométrica quando o agente ultrapassa um limite de valor ou altera o comportamento, em vez de refazer o KYC completo num calendário.
5. Registar toda a cadeia. Identidade humana, credencial do agente, ação e decisão — porque o Artigo 50 e o AMLD6 eventualmente pedem para reconstruir quem autorizou o quê.

O ponto de design importante é que os passos 1 e 3 são infraestrutura de identidade comum. O trabalho genuinamente novo é o passo 2 — e só é viável se o passo 1 produziu algo que valha a pena vincular.

Como a Didit se encaixa

A Didit é infraestrutura para identidade e fraude: uma API para o ciclo de vida Autenticar → Verificar → Monitorizar, com preços públicos de pagamento por uso e sem mínimos.

Para o passo de verificação humana, a Verificação de Utilizadores (KYC) abrange a Verificação de ID a 0,15 $, Vivacidade Passiva a 0,10 $, Correspondência Facial 1:1 a 0,05 $ e Análise de IP a 0,03 $ — ou o pacote KYC completo a 0,33 $, com 500 verificações gratuitas por mês nas funcionalidades principais. A Estimativa de Idade (0,10 $) é importante para produtos de IA de consumo que enfrentam regras de garantia de idade, e o KYC Reutilizável é gratuito, para que um utilizador verificado uma vez não seja novamente verificado por cada agente que autoriza.

Para o passo de risco contínuo, o Rastreio AML custa 0,20 $ por verificação em mais de 1.300 listas, com monitorização contínua a 0,07 $ por utilizador por ano. A Monitorização de Transações custa 0,02 $ por transação com um motor de regras fiduciárias e de cripto, mais gestão de casos e fluxo de trabalho SAR; o Rastreio de Carteiras / KYT está incluído a 0,15 $ por verificação. A Verificação de Empresas (KYB) começa em 2,00 $ por empresa com extração de UBO, para agentes que atuam em nome de empresas em vez de consumidores.

Para a ligação, o Servidor MCP, o Orquestrador de Fluxo de Trabalho e os SDKs são gratuitos — o que significa que um framework de agente pode chamar a verificação como uma ferramenta sem uma negociação de licença separada.

Por baixo: mais de 220 países, mais de 14.000 tipos de documentos, mais de 1.000 fontes de dados, mais de 200 sinais de fraude, inferência em menos de 2 segundos e uma integração em 5 minutos. Certificação SOC 2 Tipo 1 e Tipo 2 (Tipo 2 emitido a 30 de julho de 2026), ISO/IEC 27001 e iBeta Nível 1 PAD para as declarações de vivacidade. A verificação da Didit é formalmente atestada por um governo de um Estado-Membro da UE — Tesoro, Banco de España e SEPBLAC de Espanha — como mais segura do que a verificação presencial. Mais de 2.000 empresas utilizam-na em produção.

O resumo honesto

A verificação de identidade não se está a tornar obrigatória para os LLMs devido a um único regulamento. Está a tornar-se obrigatória devido a uma convergência: os modelos ganharam a capacidade de agir, as verificações de identidade baratas tornaram-se falsificáveis no mesmo momento, os reguladores começaram a perguntar quem autorizou a ação, e os padrões de delegação que estão a ser elaborados para responder a essa questão todos se baseiam num humano cuja existência alguém tem de provar.

A segurança do conteúdo foi o problema de 2024. A responsabilização é o de 2026, e responsabilização soletra-se identidade.

FAQ

O que significa "know your agent"?

É a extensão da diligência devida do cliente a software autónomo que age em nome de um cliente. Na prática, significa estabelecer qual humano ou empresa verificada autoriza um determinado agente, qual o seu âmbito e manter um registo auditável — em vez de tratar o agente como um cliente de API anónimo. Funcionários da FCA do Reino Unido instaram publicamente os bancos a prepararem-se exatamente para estas verificações.

Por que o OAuth não é suficiente para a autenticação de agentes de IA?

O OAuth e os rascunhos de autorização de agente que o estendem podem provar que o âmbito foi delegado numa cadeia e podem restringir esse âmbito em cada elo. O que eles não podem fazer é estabelecer que a pessoa na raiz da cadeia é real, maior de idade e não sancionada. Delegação e identidade são problemas diferentes; a autorização de agente assume um principal verificado em vez de o produzir.

Como os deepfakes mudam a verificação de identidade para produtos de IA?

Eles movem o ataque do documento para o próprio pipeline de verificação. O relatório de 2026 da Entrust associa deepfakes a uma em cada cinco tentativas de fraude biométrica e regista um aumento de 40% ano a ano em ataques de injeção, onde vídeo sintético é alimentado diretamente no fluxo em vez de ser mostrado a uma câmara. A vivacidade passiva com deteção de injeção, em vez de uma comparação de selfie, é o controlo relevante.

Quais são os prazos de conformidade concretos?

As obrigações de transparência do Artigo 50 do Regulamento AI da UE aplicam-se desde 2 de agosto de 2026, com as diretrizes da Comissão adotadas em 20 de julho de 2026 e multas de até 15 milhões de euros ou 3% do volume de negócios anual mundial. As empresas de serviços financeiros devem ler isso em conjunto com as obrigações existentes do AMLD6, MiCA e DORA, que já exigem uma identificação fiável do cliente.

Um agente precisa da sua própria identidade verificada, ou verificar o humano é suficiente?

Ambos, por razões diferentes. O humano estabelece a responsabilização e cumpre as obrigações de diligência devida. A credencial do agente estabelece o âmbito — quais ações este agente em particular pode realizar, por quanto tempo. Verificar apenas o humano deixa-o incapaz de restringir ou revogar um agente individual; emitir credenciais de agente sem um humano verificado deixa-o incapaz de dizer quem é responsável.