Estudo acadêmico expõe falhas na aprovação de pagamentos por agentes de IA
Pesquisadores catalogaram doze ataques contra o fluxo de aprovação usado quando um agente de IA pede autorização humana antes de mover dinheiro, apagar arquivos ou contatar terceiros, incluindo troca do destinatário exibido, cancelamento de valor após a aprovação e fragmentação de limites. Testando os protocolos AP2, a abordagem da Microsoft e o MCP, a auditoria de dez runtimes de agentes encontrou ausência de registro de aprovação auditável por terceiros em todos eles e alteração de parâmetros após a aprovação em metade dos casos mensuráveis. Como defesa, os autores propõem o ASU (Agent Step-Up), que vincula criptograficamente o que é mostrado ao usuário ao que de fato é executado, reduzindo a taxa de sucesso de ataques simulados de 54% para 3%.
O trabalho parte de uma premissa simples: agentes de IA que hoje pausam para pedir aprovação humana antes de uma transferência, exclusão de arquivo ou envio de mensagem a terceiros tratam essa aprovação como um segundo fator de segurança — mas isso só é verdade se a aprovação nomear exatamente o que está sendo autorizado e se comprometer o agente não bastar para forjá-la. Os autores testam essa premissa contra três abordagens de autorização de agentes usadas na prática: o Agent Payments Protocol (AP2), o modelo de ação vinculada da Microsoft e o mecanismo de elicitação do Model Context Protocol (MCP).
Por dentro, os doze ataques descritos são, na essência, variações digitais de técnicas de fraude já conhecidas em pagamentos tradicionais, agora aplicadas à interface entre humano e agente: decoy recipients troca o destinatário real por outro depois que o usuário já aprovou visualmente um nome diferente; amount cancellation zera ou altera o valor após a confirmação; card padding e label spoofing manipulam os rótulos exibidos para disfarçar a real natureza da cobrança; enrollment squatting ocupa um cadastro de forma ilegítima antes da vítima; e threshold splitting fragmenta uma transação grande em pedaços menores, cada um abaixo do limite que dispararia uma segunda verificação — o equivalente, no mundo dos agentes, ao smurfing usado para evadir controles antifraude em transferências bancárias.
A auditoria prática em dez runtimes de agentes de IA hoje em uso encontrou que nenhum produz um registro de aprovação verificável por um terceiro independente, que limites contra inundação de pedidos (flooding) praticamente não existem onde foram medidos, e que em quatro de oito runtimes avaliados os parâmetros da ação mudaram depois que o humano já havia aprovado — ou seja, a aprovação visual não garantia o que de fato seria executado.
Como resposta, os pesquisadores constroem o ASU (Agent Step-Up): um gateway que renderiza o cartão de aprovação a partir de um descritor canônico do efeito pretendido, faz com que uma passkey no celular do usuário assine criptograficamente esse digest, e só executa a chamada exatamente como foi assinada. As provas formais (Tamarin) e os mais de 27 mil testes automatizados mostram que esse desenho bloqueia substituição, replay e esticamento indevido do que foi concedido, derrubando a taxa de sucesso de ataques de narrativa forjada de 54% para 3% — ainda que a inundação de pedidos continue funcionando entre 45% e 60% das vezes contra um aprovador automatizado, e que a aprovação não impeça efeitos que a própria política já autorizava.
O recado prático para quem constrói ou avalia produtos de pagamento operados por agentes de IA — incluindo iniciativas de Pix ou carteiras digitais com assistentes autônomos — é que uma tela de confirmação de transação só vale como controle antifraude se o que está escrito nela for criptograficamente o mesmo que será executado, com registro auditável por terceiros e limites claros contra tentativas repetidas de aprovação. Sem esse vínculo, a aprovação humana se torna uma formalidade que um agente comprometido, ou um atacante que manipula o fluxo, pode contornar da mesma forma que fraudadores já contornam confirmações de transferência mal desenhadas em apps bancários tradicionais.