Um agente que age pela sua empresa precisa de duas permissões: a sua e a do outro lado

Quando um funcionário compra algo para a empresa, duas coisas tornam a compra legítima. O funcionário tem autoridade: um cargo, um limite de gasto, uma lista de fornecedores aprovados. E o fornecedor aceita o funcionário como alguém com quem vai negociar: uma conta, um contrato, uma pessoa conhecida para chamar quando algo dá errado.

Os agentes estão sendo desenhados com apenas a primeira metade. A maior parte dos programas de agentes concentra o esforço de governança no que o agente pode fazer em nome da empresa. Quase nenhum faz a segunda pergunta: o outro lado vai aceitar um agente, e em que termos? A última semana trouxe evidências de que as duas metades falham, e de que falham de formas diferentes.

O mandato falha no entendimento, não na negociação

O Project Swap, da Anthropic, publicado em setembro, montou um mercado no qual agentes trocavam livros por 201 funcionários, e o repetiu 205 vezes com modelos e instruções diferentes. Cada pessoa descreveu seus gostos em um chat curto, um agente ordenou os livros a partir dessa conversa e depois negociou com outros agentes. O resultado ficou bem abaixo da melhor alocação possível, e a Anthropic atribuiu cerca de 85% da lacuna ao fato de o agente entender mal o que sua pessoa queria. Apenas cerca de 15% vieram da negociação em si. Os rankings do Claude concordaram com os rankings das próprias pessoas em 61% dos pares de livros, contra 50% de um palpite aleatório. Perguntados sobre quanto de um orçamento entregariam a um agente, os participantes responderam cerca de 30%, contra cerca de 40% para um amigo que lê muito, e menos ainda quando o resumo que o agente fez dos seus gostos tinha deixado algo de fora.

Livros não são contratos, e as ressalvas da própria Anthropic são longas: funcionários como participantes, nenhum agente adversário, regras de mercado fixas. Mas a direção do achado é o que importa para o desenho enterprise. O elo fraco não era a habilidade de negociação do agente. Era o mandato, uma preferência expressa em conversa e interpretada por um modelo.

As empresas têm uma opção melhor que a conversa: escrever o mandato como algo que uma máquina consegue verificar. A nova API de compliance de licenças do GitHub, que permite a um agente de código perguntar se uma dependência é permitida antes de escolhê-la, é um exemplo pequeno: uma regra que o agente consulta em vez de uma preferência que ele adivinha. O mesmo vale para tetos de preço, contrapartes aprovadas, cláusulas de contrato que o agente jamais pode aceitar e valores acima dos quais uma pessoa decide. Autoridade que existe só em um prompt é autoridade que o agente vai reconstruir de forma imperfeita.

A aceitação falha na identidade

Do outro lado da porta, o The Verge reportou que o JPMorgan Chase e o Charles Schwab bloqueiam agentes nas contas de clientes por motivos de segurança, a Delta impede que agentes façam reservas e o Yelp só admite agentes que licenciam seus dados. Lemos isso como um alerta sobre agentes construídos em automação de navegador. É também uma afirmação sobre aceitação: uma contraparte não consegue aceitar o que não consegue identificar.

Um agente que chega com a senha de um cliente parece exatamente um atacante com credenciais roubadas. O que uma contraparte precisa antes de poder dizer sim é a mesma coisa que um fornecedor precisa de um comprador novo: quem é o principal, o que este agente está autorizado a fazer por ele, até quando, e quem responde se o agente passar dos limites. Credenciais de agente assinadas e com escopo, como o AI Passport da ServiceNow, são uma forma inicial disso, desenhada para dentro da empresa. Entre empresas, nada padrão existe ainda.

Uma transação delegada tem duas permissões e um registro

Seu lado: o mandato

• Principal e pessoa responsável
• Escopo e limites rígidos
• Expiração e revogação

Verificável por máquina, não um prompt

O registro da transação

• O que foi acordado, por qual agente
• Qual versão do mandato valeu
• Evidência que os dois lados conseguem ler

O lado deles: a aceitação

• Identifica o agente e o principal
• Verifica o escopo apresentado
• Escolhe negociar: API, licença ou parceria

Concedida pela contraparte

Um registro de mandato, antes de qualquer agente transacionar

Nossa visão, e é uma visão e não prática consolidada: qualquer agente que possa comprometer a empresa com algo, uma compra, uma reserva, uma dependência, um termo de contrato, deveria carregar um registro de mandato com cinco elementos. O principal e a pessoa responsável. O escopo, como ações e contrapartes. Os limites, como números e termos proibidos. O caminho de expiração e revogação. E a evidência que ele deixa: o que acordou, sob qual versão do mandato. O mesmo registro é o que uma contraparte precisaria para aceitar o agente, e é por isso que desenhá-lo uma vez serve aos dois lados.

Empresas reguladas já têm as peças. Bancos operam alçadas de negociação, limites de pagamento, procurações e aprovações de quatro olhos; farmacêuticas operam matrizes de delegação de autoridade para cada assinatura de contrato. Agentes deveriam herdar essas estruturas, e não ganhar um conjunto paralelo e mais frouxo só porque chegaram por um programa de IA. Fizemos um argumento relacionado de que a autoridade para comprometer uma transação fica com o sistema de registro; o registro de mandato é como essa autoridade viaja com um agente quando ele sai do prédio.

O tratamento jurídico de acordos feitos por agentes é indefinido e varia por jurisdição, e nada aqui é aconselhamento jurídico. Essa incerteza é motivo para manter o registro, não para esperar. Quando a primeira disputa sobre um compromisso feito por agente chegar a um advogado, a pergunta será o que o agente estava autorizado a fazer e se o outro lado poderia saber disso. Uma empresa que consegue responder às duas perguntas a partir de um único registro estará em posição muito melhor do que uma que precise reconstruí-las de um log de chat.