Bancos, aéreas e varejistas barram agentes de IA. Sua empresa está dos dois lados da porta

O que acontece com um agente que consegue fazer a tarefa quando o site não deixa ele entrar?

Emma Roth, do The Verge, reuniu a resposta em 17 de outubro. Usuários do Muse, da Meta, do Grok, da xAI, e do Dots e do Instinct, da OpenAI, relatam agentes bloqueados em grandes sites. Algumas restrições são política confirmada: o Yelp disse ao TechCrunch que só permite agentes que pagam pelo seu programa de licenciamento de dados; a Delta Air Lines está impedindo agentes de reservar passagens em nome dos usuários; o JPMorgan Chase e a Charles Schwab confirmaram que bloqueiam agentes de acessar contas, citando segurança. Outros são relatos de usuários, como os de Cars.com e Amtrak deixando de funcionar, o que pode ou não refletir uma decisão. A Amazon, que processou a Perplexity por causa do seu agente de compras no ano passado, diz que o “acesso contínuo” do Muse viola suas políticas; o caso da Perplexity segue em litígio depois que um tribunal de apelações derrubou uma liminar em agosto e a Amazon apresentou uma petição inicial emendada.

Nem toda falha é um bloqueio. Sistemas anti-bot criados para barrar scraping e fraude também barram agentes, e alguns usuários relatam contas sinalizadas por “atividade suspeita”. Enquanto isso, a Meta fechou parceria com Walmart, Gap, Sephora e Best Buy para que o Muse possa comprar nos sites delas, e a Shopify abriu suas lojas para agentes.

A maior parte disso é notícia para consumidor. A lição enterprise é que toda empresa está dos dois lados da porta.

Como a empresa que faz o deploy de agentes

Muitos planos enterprise de agentes assumem, sem alarde, um navegador: um agente que reserva viagem no site de uma companhia aérea, puxa notas fiscais de um portal de fornecedor, confere o saldo de um banco, preenche um formulário em um site do governo. A automação de navegador deixa essas demos fáceis. Também faz a integração depender de uma contraparte que nunca concordou com isso.

A reportagem do The Verge mostra como essa dependência falha. A contraparte pode mudar seus termos, suas regras anti-bot ou seu fluxo de login a qualquer momento e sem aviso. Um agente bloqueado é o resultado ameno. O pior é um sistema antifraude sinalizar e bloquear a própria conta da empresa em um banco ou fornecedor porque um agente se comportou como um bot, que é o que ele é.

Daí seguem três regras:

• Classifique cada dependência externa de um agente como API oficial, integração de parceiro contratada ou automação de navegador não oficial. Só as duas primeiras pertencem a um workflow de produção com nível de serviço. A terceira é um protótipo.
• Nunca projete para contornar um bloqueio. Rotacionar identidades, resolver desafios ou disfarçar um agente de pessoa é um problema de termos de serviço e possivelmente legal, e o time de segurança da contraparte vai tratar isso como ataque. Uma recusa é informação sobre a integração que você precisa negociar.
• Planeje o caminho bloqueado. Quando um agente não consegue chegar a um site, ele deve parar e entregar a tarefa a uma pessoa com o que encontrou, não improvisar; já mostramos o que acontece quando agentes bloqueados não têm esse caminho desenhado.

Como a empresa cujo site os agentes visitam

O outro lado é menos discutido. Se você opera um banco, uma companhia aérea, uma seguradora, um marketplace ou qualquer portal de cliente, agentes que agem em nome dos seus clientes já estão chegando, e “bloquear tudo” é uma política com custos. A frase da Meta, “recusar um agente pessoal significa recusar o cliente por trás dele”, é interesseira e também em parte verdadeira.

A preocupação de segurança dos bancos é real. Um agente entrando com a senha de um cliente é compartilhamento de credenciais, e o banco não consegue distinguir o agente de um atacante usando credenciais roubadas. A resposta não é abrir a página de login para bots. É o padrão que o setor bancário já conhece do open banking e das APIs de pagamento: acesso delegado com tokens com escopo e revogáveis, para que o cliente conceda a um agente identificado permissões específicas (ler saldos, não mover dinheiro) e o banco possa ver e revogar esse acesso. Credenciais assinadas de agente, como o AI Passport da ServiceNow, apontam na mesma direção para o lado enterprise.

A escolha do Yelp mostra um segundo modelo: agentes são bem-vindos se licenciam os dados. As parcerias da Meta com o varejo mostram um terceiro: agentes são bem-vindos como canal de vendas, sob um acordo. Olhamos esse terceiro caminho quando o Radisson tratou um assistente de IA como canal de reservas com a transação mantida no próprio site.

A decisão a tomar agora

Para suas próprias propriedades, escreva uma política de acesso de agentes com o mesmo cuidado de uma política de API: quais agentes podem fazer o quê, autenticados como, em nome de quem, com qual trilha de auditoria e por qual interface. Bloquear, licenciar, fazer parceria ou delegar são todas decisões defensáveis; não ter decisão não é, porque seu fornecedor anti-bot está tomando por você por padrão.

Para seus programas de agentes, liste quais workflows dependem de sites que você não controla. Eles ainda não são integrações. São negociações que não começaram.