A Sessão Não é o Cliente: A Crise de Identidade da IA

Nesta primavera, a Redwood Research deu a um agente de IA construído sobre Claude Opus 4.7 um aporte de US$ 5.000, uma conexão à internet e quatro dias para ganhar o máximo de dinheiro possível. Em quatro execuções distintas, o agente não fez nada. Cada tentativa travou na mesma barreira: um CAPTCHA e uma verificação de identidade, o mesmo obstáculo de KYC que um bot enfrenta ao tentar abrir uma conta bancária.

Enquanto esse agente ficava preso na porta de entrada, outra população de agentes já movimentava dinheiro real por um canal diferente para contornar o KYC. Segundo uma contagem da Chainalysis, os agentes que encontraram uma solução processaram mais de 100 milhões de pagamentos através do protocolo x402 da Coinbase na rede Base até o início de 2026. Todos foram liquidados em stablecoins. Nenhum tocou um banco. Ambos os fatos aparecem no mesmo relatório sobre a economia emergente de agentes.

Um agente de IA não pode ser o proprietário legal de uma conta bancária. O sistema assume que há um humano por trás de cada conta, com verificações de KYC, identidade legal e responsabilidade vinculadas a uma pessoa nomeada. Assim, os agentes encontraram uma maneira de mover dinheiro de qualquer forma, apenas não através da porta construída para verificar a presença de uma pessoa.

Mais Máquina do que Humano

O operador por trás de uma transação já não é mais confiavelmente humano, com 40 % das aplicações corporativas projetadas para serem lançadas com agentes de IA específicos de tarefa até o final deste ano, acima de menos de 5 % em 2025. No lado do consumidor, 45 % dos compradores já recorrem à IA para parte de uma compra, mesmo que a maioria ainda compre em lojas físicas. Outra pesquisa constatou que 95 % dos comerciantes já observam tráfego de agentes de IA em seus sites, enquanto apenas 20 % possuem catálogos de produtos que uma máquina pode realmente ler.

Dentro das empresas, a proporção é ainda mais acentuada. Um relatório recente constatou que identidades de máquinas agora superam identidades humanas em 109 para 1, acima de 82 para 1 um ano antes, com 77 % das organizações esperando que essa proporção continue a subir. O mesmo relatório revelou que 99 % das organizações já adotaram agentes de IA, e 40 % desses agentes já têm acesso a dados organizacionais.

O Que Uma Sessão Realmente Prova

Nada disso importaria se um login ainda significasse o que costumava significar. Não significa. Uma sessão que limpa todos os sinais existentes, um dispositivo real, um endereço IP limpo e um desafio de verificação resolvido prova cada vez menos quem ou o que está do outro lado.

Essa é uma afirmação mais restrita do que parece, e mais útil. Ninguém argumenta que a automação em si seja ilegítima. O assistente bancário, bot de viagem ou agente de compras de uma pessoa também são sessões, e uma parcela crescente de sessões genuínas será exatamente esse tipo de proxy autorizado, em vez de uma pessoa digitando diretamente. A infraestrutura já torna isso sem atrito. Uma vez que o usuário autoriza um agente via MCP, o padrão aberto que permite que ferramentas de IA se conectem a um serviço e ajam em nome do usuário, o agente pode continuar transacionando sob essa autorização sem um novo login humano a cada vez. O registro oficial do MCP listou mais de 6.400 servidores registrados até fevereiro de 2026, atingindo esse marco em pouco mais de um ano desde o lançamento do protocolo em 2024.

O problema é que a pilha de risco atual não tem um método confiável para distinguir um proxy autorizado de um agente agindo sem autoridade alguma, porque ambos chegam com os mesmos sinais.

Verificações de documentos de identidade e escaneamentos biométricos de selfie confirmam que um documento pertence a uma pessoa e que a pessoa está viva. Elas não confirmam que a intenção genuína, ou o histórico digital que uma identidade real acumula, está por trás da transação. A verificação de identidade precisa mudar de checar uma aparência para confirmar a intenção por meio da continuidade. Uma pessoa real constrói anos de comportamento online comum. Um agente provisionado minutos antes de uma transação não tem como falsificar isso. Uma sessão sempre foi um proxy. Apenas costumava ser um proxy confiável.

O Ponto Cego que Ninguém Precificou

A tomada de conta já explora a lacuna entre uma sessão e uma pessoa, e é onde a mudança aparece primeiro nos dados de perdas. Uma análise das tendências globais de tomada de conta para 2026 constatou que contas financeiras representaram 32 % das violações, com sequestro de sessão e ataques de fadiga multifator substituindo tentativas de login por força bruta como rota preferida, precisamente porque uma sessão sequestrada herda toda a confiança que um login genuíno conquistou. A fraude de identidade global ultrapassou US$ 50 bilhões em 2025, segundo a mesma análise, com ataques impulsionados por IA responsáveis por cerca de US$ 40 bilhões em perdas comerciais anuais.

Essa lacuna é estrutural, não incidental. Uma verificação de login ocorre uma única vez na porta de entrada, e tudo que segue herda seu veredicto. Nada reavalia os dez minutos entre um login limpo e uma transferência fraudulenta. Fechar essa lacuna requer uma disciplina que a maioria das pilhas de fraude ainda não possui: monitoramento de sessão, tratando a sessão completa como um fluxo contínuo em vez de um único ponto de controle. Uma ferramenta de acesso remoto ativada no meio do checkout ou uma impressão digital de dispositivo que muda após o login dispara o alerta que a verificação original nunca poderia.

Todo controle criado para capturar essa lacuna foi calibrado contra um inimigo específico: um fraudador humano se passando por um humano genuíno. A biometria comportamental aprendeu a identificar movimentos de mouse suaves demais para ser humano. A inteligência de dispositivos aprendeu a detectar a impressão digital de um farm de dispositivos em nuvem. Nenhum desses foi desenvolvido para responder a uma questão mais recente. Não se trata de saber se a sessão pertence a um fraudador, mas se ela pertence a alguém, de forma alguma.

A Pergunta Ainda Sem Nome

Essa questão ainda não tem um nome acordado na indústria, embora precise de um antes que o ano termine. Reguladores já a estão observando, bancos já estão sendo testados por ela e os próprios agentes não esperam que nenhum dos dois se atualize.

Uma indústria que passou duas décadas aprendendo a distinguir um cliente real de um falso agora está sendo solicitada a distinguir um cliente de um pedaço de software que age em nome de ninguém. Esse é um problema mais difícil do que o que a pilha atual foi construída para resolver, e fingir o contrário é a opção mais cara na mesa.