Economia de Agentes: Pagamentos, Comércio e Contratação Máquina-a-Máquina

O terceiro eixo da arquitetura sintética: depois de coordenar e depois de ensinar, resta decidir como agentes pagam uns aos outros

O Volume I tratou de orquestração — agentes já capazes se coordenando. O Volume II tratou de ensino — agentes mais capazes formando agentes menos capazes. Este volume trata do que acontece quando esses agentes precisam transacionar: contratar, pagar, confiar, e resolver disputa — sem um humano no meio de cada transação.

Em 2025, “agente comprando algo” ainda era, na prática, um agente preenchendo um formulário de checkout em nome de um humano. Em 2026, isso mudou de forma estrutural: quatro protocolos de pagamento concorrentes e complementares (AP2, ACP, x402, MPP) atingiram tração de produção real, um padrão de identidade e reputação on-chain (ERC-8004) foi ratificado e já tem dezenas de milhares de agentes registrados, e mercados de contratação agente-a-agente já processam transações reais, com disputas reais e prejuízo real quando dá errado.

Este livro tem doze capítulos. Os primeiros quatro cobrem a infraestrutura — por que agentes precisam de dinheiro próprio, os protocolos de pagamento que competem pela posição de padrão, o registro de identidade e reputação que permite transacionar sem confiança prévia, e os mercados onde isso já acontece. Os quatro seguintes cobrem o ranqueamento e o risco — como agentes de compra decidem de quem comprar (a ponte mais direta com o restante desta obra), as vulnerabilidades de segurança já documentadas nesses protocolos, os padrões de fraude específicos de transações entre máquinas, e os mecanismos de escrow e validação que tentam conter esse risco. Os quatro últimos cobrem a execução — arquitetura de produção, propriedade intelectual e responsabilidade legal, aplicação setorial e um roteiro de dezoito meses.

Um agente que não pode contratar, pagar ou ser pago está permanentemente dependente de um humano no circuito para qualquer ação que tenha custo. A economia de agentes é o que remove essa dependência — e, com ela, remove também a rede de segurança que a supervisão humana representava.

A terceira fronteira depois de orquestrar e ensinar — dar a um agente a capacidade de transacionar valor

Um agente que decide, mas não pode agir sobre essa decisão sem aprovação humana a cada etapa, tem sua utilidade limitada pela velocidade e disponibilidade dessa aprovação. Isso é aceitável para decisões de alto risco — e continuará sendo, como este livro discute no Capítulo 9 — mas é uma barreira estrutural para tarefas de baixo risco e alto volume: contratar uma API de terceiros por uma consulta, pagar por uma inferência de outro modelo especializado, comprar um dado ou um serviço de outro agente. Sem um mecanismo próprio de pagamento, cada uma dessas microdecisões exige um humano no circuito — o que, em escala, é o mesmo gargalo que a orquestração (Livro I) e o ensino entre agentes (Livro II) já haviam resolvido em suas respectivas camadas.

A resposta da indústria em 2026 convergiu, de forma notavelmente rápida, para uma pilha de protocolos abertos e complementares, mais um padrão de identidade e reputação que funciona através de organizações diferentes sem exigir confiança prévia entre elas. A adoção não é mais hipotética: o volume de transações agente-a-agente já se conta às centenas de milhões, e projeções de consultorias — com a mesma ressalva de variação metodológica que se aplica a qualquer estimativa de mercado nova, discutida no Volume I — situam a fatia do comércio potencialmente mediada por agentes na casa da centena de bilhões de dólares até o fim da década.

Os próximos onze capítulos tratam desses quatro problemas em profundidade — cada um deles já tem solução parcial em produção, e cada um deles também já tem falha documentada em produção.

Quatro camadas diferentes do mesmo problema — e por que elas competem menos do que parece

A cobertura popular frequentemente descreve AP2, ACP, x402 e MPP como protocolos concorrentes, disputando o posto de “padrão único” de pagamentos entre agentes. A análise técnica mostra outra coisa: eles operam em camadas diferentes da mesma pilha, e a arquitetura de produção mais comum em 2026 combina mais de um deles no mesmo sistema.

Entre esses quatro, o x402 é o que acumulou a maior tração real de produção: lançou sua segunda versão em dezembro de 2025, a Stripe o integrou sobre a rede Base em fevereiro de 2026, e a Cloudflare passou a suportar transações x402 nativamente. Em maio de 2026, painéis públicos de rastreamento atribuíam a ele cerca de 130 milhões de transações acumuladas, majoritariamente liquidadas em stablecoin sobre as redes Base e Solana. Isso não significa que os demais protocolos estejam perdendo — significa que a arquitetura típica de um sistema de produção usa AP2 para autorização, ACP para checkout de comércio eletrônico tradicional, e x402 ou MPP para micropagamentos máquina-a-máquina, dentro do mesmo fluxo.

Para uma organização decidindo qual protocolo adotar, a pergunta certa não é “qual vai vencer”, mas “em qual camada do meu problema específico eu preciso de solução agora” — autorização, checkout, liquidação ou sessão contínua raramente competem entre si; a maioria dos sistemas de produção maduros já usa mais de um.

Como um agente confia em outro agente que nunca encontrou antes, sem operador central intermediando

Pagamento resolve o “como o valor se move”. Não resolve “por que eu deveria transacionar com este agente específico, que nunca vi antes, operado por uma organização que não conheço”. Essa é a lacuna que o ERC-8004 — padrão da Ethereum ratificado em janeiro de 2026 e implantado na rede principal em fevereiro do mesmo ano — foi desenhado para preencher.

O padrão define três registros complementares, mantidos em blockchain para que sejam portáveis entre organizações e plataformas: um Registro de Identidade (um identificador on-chain que aponta para um arquivo de metadados do agente — capacidades, endpoints, protocolos suportados); um Registro de Reputação (uma interface padronizada para publicar e consultar histórico de interação e notas de desempenho, preenchido tanto por humanos quanto por outros agentes após cada transação); e um Registro de Validação, ainda em evolução, que padroniza como a prova de conclusão de uma tarefa é registrada — usando desde provas criptográficas até reexecução com garantia financeira (stake).

A adoção inicial foi rápida: durante cerca de três meses em rede de teste, mais de dez mil agentes foram registrados e mais de vinte mil entradas de feedback foram publicadas, antes mesmo da implantação em rede principal em 29 de janeiro de 2026. No primeiro mês após essa implantação, mais de 45 mil agentes já estavam registrados, com contribuição de especificação de mais de 50 organizações, incluindo MetaMask, a Ethereum Foundation, Google e Coinbase.

A limitação central do padrão é honesta e está documentada na própria especificação: o registro garante criptograficamente que o arquivo de registro corresponde ao agente on-chain, mas não pode garantir que as capacidades anunciadas por esse agente sejam de fato funcionais ou não maliciosas — essa verificação continua sendo responsabilidade de quem contrata, através dos próprios mecanismos de reputação e validação que o padrão disponibiliza.

Um registro de identidade prova quem um agente diz ser. Um registro de reputação mostra o que ele já fez. Nenhum dos dois prova que ele vai fazer o que promete desta vez — e é exatamente por isso que o próximo capítulo, sobre escrow e validação, existe.

O “Upwork dos agentes” já existe — com contratos reais, disputas reais e prejuízo real

Com pagamento, identidade e reputação resolvidos em nível de protocolo, restava o espaço onde a oferta e a demanda de trabalho entre agentes efetivamente se encontram. Esse espaço já existe em produção: mercados construídos desde o início para participação de agentes autônomos — não apenas plataformas de freelancer humano com um verniz de IA por cima — já processam contratos reais, com critérios de aceite, prazo e disputa.

Um relato documentado de um agente operando de forma autônoma em múltiplas dessas plataformas — completando contratos, participando de disputas, analisando dados de propostas concorrentes — chega a uma conclusão que é, ao mesmo tempo, técnica e estratégica: a maioria dos contratos em mercados de IA falha não por má execução da tarefa, mas porque o critério de aceite é estruturalmente inverificável — ou seja, nem humano nem agente conseguiriam provar objetivamente que a entrega cumpriu o que foi pedido.

A infraestrutura de identidade portátil entre plataformas (Capítulo 3) começa a mudar essa dinâmica: um agente que constrói reputação em um mercado pode, em tese, levar esse histórico para outro, reduzindo o problema clássico de “reputação presa em uma única plataforma” que sempre limitou mercados de trabalho humano também. Mas essa portabilidade ainda depende de adoção consistente do mesmo padrão de reputação entre plataformas concorrentes — algo que, em qualquer mercado de duas pontas, historicamente demora mais para se consolidar do que a tecnologia subjacente.

A ponte mais direta com o restante desta obra — e com a especialidade profissional do autor

O Capítulo 7 do Livro I tratou de como sistemas de IA ranqueiam informação e ferramentas por relevância medida. O Capítulo 7 do Livro II estendeu esse princípio à escolha de modelos-professor. Este capítulo trata do caso mais economicamente direto de todos: como um agente de compra decide, entre múltiplos vendedores concorrentes, de quem comprar — uma disciplina que já tem nome de mercado, Agentic Commerce Optimization (ACO), o equivalente ao GEO aplicado especificamente a transações comerciais.

Diferente de discussões anteriores sobre ranqueamento em sistemas de IA, aqui existe evidência empírica direta e rigorosa, não apenas relato de mercado. Um estudo acadêmico de 2025 testou como diferentes modelos de compra reagem a reescrita de descrição de produto, posição visual e avaliações — encontrando efeitos mensuráveis e específicos por modelo:

• REESCREVER A DESCRIÇÃO MUDA A DECISÃO: quando um agente vendedor reescreveu a descrição de um produto usando dados de vendas de concorrentes como referência, a participação de mercado desse produto mudou na maioria — mas não em todos — os modelos de compra testados.

• POSIÇÃO VISUAL TEM PESO DESPROPORCIONAL: para um agente de compra baseado em um modelo de fronteira, um produto posicionado no canto inferior direito de uma grade de resultados foi selecionado em cerca de 4,5% das vezes; mover esse mesmo produto para a segunda ou terceira coluna da linha superior elevou essa taxa em aproximadamente cinco vezes.

• O EFEITO NÃO É UNIFORME ENTRE MODELOS: o viés de posição variou por provedor e persistiu mesmo em interfaces “sem cabeça” (apenas texto, sem grade visual) — o que derruba a ideia de que existe um único “topo do ranking” universal entre diferentes agentes de compra.

• AVALIAÇÕES TÊM PESO QUANTIFICADO E DIFERENTE POR MODELO: em uma coorte de teste, o coeficiente de peso atribuído à nota de avaliação do produto foi de 11,1 para um modelo, 9,2 para outro e 4,2 para um terceiro — a mesma variável, com pesos de decisão mensuravelmente diferentes conforme o modelo de compra usado.

A implicação estratégica para qualquer organização que vende produtos ou serviços é direta: a mesma disciplina de estruturação de conteúdo para ranqueamento em sistemas de IA, já discutida ao longo desta obra, agora se estende a um domínio com efeito comercial imediato e mensurável — cada porcento de taxa de seleção movido por posicionamento ou por dados estruturados é receita direta, não apenas visibilidade.

A análise de segurança mais rigorosa já publicada sobre um protocolo de pagamento entre agentes — e o que ela encontrou não é tranquilizador

Por ser o protocolo com maior tração real de produção (Capítulo 2), o x402 também foi o primeiro a receber uma análise de segurança sistemática e independente. Dois estudos acadêmicos publicados em 2026, feitos por equipes diferentes, chegaram a conclusões convergentes e preocupantes.

O primeiro estudo testou 15 dos principais facilitadores de x402 — responsáveis por cerca de 99% do volume de transações observado na janela de estudo — contra oito regras formais de verificação e liquidação de pagamento. Todos os 15 falharam em pelo menos uma regra. No total, foram mapeadas 49 instâncias de violação em quatro classes de ataque distintas: compra sem pagamento efetivo, roubo de ativos, negação de serviço, e abuso da taxa de transação da rede.

O segundo estudo, independente, chegou a um número ainda maior: 31 vulnerabilidades até então desconhecidas, também através dos 15 principais facilitadores, mapeadas nas mesmas quatro categorias gerais de impacto. Uma análise complementar de endereços cobrindo mais de 119 milhões de transações nas redes Base e Solana estimou algo em torno de 202 mil dólares em taxas de rede associadas a padrões de exploração, entre outubro e dezembro de 2025. Até fevereiro de 2026, apenas parte das partes afetadas havia reconhecido e corrigido as falhas identificadas.

Um protocolo de pagamento entre agentes que processa 130 milhões de transações e ainda assim falha em pelo menos uma regra básica de verificação em 100% dos facilitadores testados não é uma falha de implementação isolada — é evidência de que a categoria inteira ainda está em fase de aprendizado de segurança, não de maturidade.

Quando comprador e vendedor são ambos IA, os padrões de fraude clássicos ganham uma nova superfície

Grande parte da fraude documentada em pagamentos entre agentes, até aqui, não é conceitualmente nova — é fraude clássica (repetição de transação, disputa de identidade, manipulação de preço) aplicada a uma superfície onde a velocidade de execução e a ausência de julgamento humano em tempo real removem uma camada de fricção que historicamente limitava o dano. As vulnerabilidades técnicas do Capítulo 6 são o mecanismo; este capítulo trata do padrão de abuso que se constrói sobre elas.

Um vetor adicional, específico do contexto agêntico, aparece na intersecção entre pagamento e ferramentas: pesquisa sobre o Model Context Protocol (discutido em profundidade no Livro I) já documentou que seu desenho prioriza conectividade sobre isolamento de segurança, expondo agentes a ataques de envenenamento de ferramenta — quando esse mesmo agente tem autorização de gasto, um envenenamento de ferramenta deixa de ser apenas um problema de informação incorreta e passa a ser um vetor direto de perda financeira.

A implicação prática para quem opera agentes com autorização de gasto autônomo é dupla: tratar qualquer ferramenta ou fonte de preço dinâmico como superfície de ataque financeiro, não apenas informacional — a mesma disciplina de red teaming contínuo do Livro I, Capítulo 11, precisa agora incluir explicitamente cenários de manipulação de custo, não apenas de comportamento ou conteúdo.

O mecanismo que tenta conter, estruturalmente, os riscos dos capítulos anteriores

Os Capítulos 6 e 7 documentaram vulnerabilidades reais em liquidação de pagamento e superfícies de fraude específicas de agentes. A resposta estrutural da indústria não foi eliminar esses riscos — o que, dada a prova matemática do Capítulo 6, não é totalmente possível em determinados desenhos — mas conter seu impacto através de três mecanismos complementares: escrow, validação e reputação com peso proporcional ao risco.

O Registro de Validação do ERC-8004 (Capítulo 3), ainda em evolução, formaliza essa lógica: para tarefas de baixo valor, reputação histórica é suficiente; para tarefas de valor médio, validação criptoeconômica com garantia financeira (staked re-execution) adiciona uma camada de custo para quem tenta fraudar; para os cenários de maior risco, provas criptográficas de conhecimento zero (zkML) ou atestação de hardware seguro (TEE) oferecem garantia formal de que a tarefa foi executada como declarado — ao custo de mais complexidade e latência.

Para organizações estruturando contratos entre agentes — os próprios ou de terceiros —, a lição prática é: investir tempo describindo critérios de aceite de forma mensurável e verificável programaticamente é, ainda em 2026, mais importante do que escolher o protocolo de pagamento ou o mecanismo de validação — porque nenhum mecanismo técnico resolve uma ambiguidade que já nasceu no texto do contrato.

Ponte direta com o Livro I, Capítulo 5 — o espectro de autonomia, agora aplicado especificamente a decisões que envolvem dinheiro

O Livro I descreveu um espectro de autonomia organizado por reversibilidade e impacto da decisão, indo de execução totalmente autônoma até aprovação humana obrigatória. Decisões financeiras se encaixam nesse espectro de forma particularmente direta, porque o impacto é imediatamente quantificável — o que permite políticas de autonomia bem mais precisas do que em outros domínios.

Provedores de infraestrutura de nuvem já oferecem essa camada como serviço gerenciado: uma oferta lançada em 2026 permite que agentes descubram, autorizem e executem micropagamentos de forma autônoma, com gerenciamento de carteira embutido, controles de gasto baseados em política, e trilha de auditoria completa — sem que a organização precise construir essa infraestrutura de pagamento do zero. Isso reduz a barreira de entrada, mas não elimina a necessidade de decisão estratégica sobre onde, exatamente, colocar os limites.

A trilha de auditoria completa — cada decisão de gasto, o contexto que a motivou, a identidade e reputação do contraparte no momento da transação, e o resultado — deixa de ser apenas boa prática de governança e passa a ser, em um domínio onde fraude e ambiguidade contratual já estão documentadas (Capítulos 6 a 8), evidência necessária para qualquer disputa futura.

Ponte com o Livro I, Capítulo 10, e o Livro II, Capítulo 10 — mas agora a pergunta é: de quem é a responsabilidade quando um agente compra algo indevido?

Quando um agente autônomo executa uma transação de forma indevida — comprando algo fora do escopo pretendido, sendo vítima de uma das fraudes descritas no Capítulo 7, ou pagando um preço inflado por manipulação técnica — a pergunta de responsabilidade legal ainda não tem resposta jurídica consolidada na maioria das jurisdições. O que existe, em 2026, é um conjunto convergente de práticas contratuais que antecipam essa lacuna.

Em termos de propriedade intelectual, o Capítulo 10 do Volume II documentou disputas reais sobre destilação não autorizada de modelos. O paralelo direto aqui é o pipeline de dados comportamentais e de reputação: um histórico de reputação construído por um agente ao longo de milhares de transações (Capítulo 3) é, cada vez mais, um ativo de valor próprio — e a questão de quem é dono desse histórico quando um agente muda de operador, ou quando uma plataforma encerra operação, ainda não tem resposta padronizada entre os registros existentes.

Onde a economia de agentes já move dinheiro real, e onde ainda é infraestrutura em construção

O padrão comum entre os casos maduros e os ainda emergentes é o mesmo: a infraestrutura técnica avança mais rápido do que a clareza contratual e regulatória em torno dela. Quem entende os dois lados — o mecanismo e a lacuna — tem vantagem sobre quem só adota o protocolo sem entender onde ele ainda falha.

A economia de agentes não espera a clareza regulatória chegar primeiro — ela já está processando centenas de milhões de transações. Quem entende o mecanismo, os protocolos e os riscos documentados neste volume tem uma janela de vantagem real; quem espera o campo “amadurecer” antes de agir provavelmente vai competir, mais tarde, contra quem já aprendeu com os próprios erros.

Glossário Técnico, Stack de Referência e Leituras Essenciais

Apêndice A — Glossário Técnico

• Mandato (AP2): recibo digital assinado criptograficamente em que um humano atesta a intenção específica de uma transação antes de sua execução por um agente.

• Facilitador (x402): serviço intermediário que processa e verifica pagamentos em stablecoin dentro do protocolo x402, fazendo a ponte entre a requisição HTTP e a liquidação em blockchain.

• Trustless agents (ERC-8004): agentes que podem ser descobertos, avaliados e contratados por outras partes sem relação de confiança prévia, através de registros públicos de identidade, reputação e validação.

• Agentic Commerce Optimization (ACO): disciplina de estruturar dados de produto e apresentação para maximizar a probabilidade de seleção por agentes de compra autônomos.

• Comerciante de registro (merchant of record): entidade legalmente responsável por uma transação comercial perante o comprador e as autoridades regulatórias, independentemente de quem executou tecnicamente a compra.

• Validação criptoeconômica (staked re-execution): mecanismo em que um validador deposita garantia financeira e reexecuta uma tarefa para confirmar que o resultado declarado por um agente está correto, perdendo a garantia em caso de divergência fraudulenta.

Apêndice B — Stack de Referência 2026

Apêndice C — Leituras Essenciais

Fundamentos Técnicos: especificações de AP2, ACP, x402 e MPP, 2025-2026 · “ERC-8004: Trustless Agents”, Ethereum Improvement Proposals · Allouah et al., “ACES” (arXiv:2508.02630).

Estratégia e Governança: JPMorgan, “Agentic Commerce: The Future of AI-Powered Shopping” · Deloitte, “Agentic Commerce: AI Shopping Agents Guide”.

Prática de Implementação: Ling et al., “Free-Riding in the AI Economy” (arXiv:2605.30998) · “Five Attacks on x402 Agentic Payment Protocol” (arXiv:2605.11781) · AWS, “x402 and Agentic Commerce”, sobre Bedrock AgentCore Payments.