💻 computer science

PAuth - Precise Task-Scoped Authorization For Agents

O artigo apresenta o PAuth, um novo modelo de autorização que substitui as permissões amplas baseadas em operadores por autorizações precisas e escopadas a tarefas específicas, utilizando "fatias de NL" e "envelopes" para garantir que agentes de IA executem apenas as operações estritamente necessárias para cumprir comandos em linguagem natural, mitigando assim riscos de privilégios excessivos.

Autores originais: Reshabh K Sharma, Linxi Jiang, Zhiqiang Lin, Shuo Chen

Publicado 2026-03-19

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Reshabh K Sharma, Linxi Jiang, Zhiqiang Lin, Shuo Chen

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você está prestes a contratar um secretário pessoal superinteligente (uma IA) para cuidar das suas finanças e compras na internet. Você diz a ele: "Se a minha conta do Citi tiver mais de 1.000 dólares, transfira um quarto desse valor para pagar a minha conta do Chase."

O problema é que, com os sistemas de segurança atuais (como o OAuth, que usamos hoje), para o seu secretário fazer essa tarefa, você teria que lhe entregar as chaves mestras de todo o seu cofre. Você teria que dizer: "Ok, você tem permissão total para transferir qualquer quantia para qualquer pessoa, a qualquer momento."

Isso é perigoso! Se o seu secretário for enganado por um hacker ou começar a alucinar, ele poderia transferir todo o seu dinheiro para um estranho, e o banco não impediria, porque você deu permissão total.

O artigo "PAuth" propõe uma solução genial e diferente. Vamos explicar como funciona usando analogias do dia a dia.

1. O Problema: A Chave Mestra vs. A Ordem Específica

Hoje, a segurança na internet funciona como uma chave mestra. Se você quer que alguém faça uma tarefa específica, você entrega a chave que abre todas as portas daquele tipo.

O Cenário Atual: Você pede para transferir $100. O banco diz: "Ok, mas para isso, você precisa nos dar permissão para transferir qualquer valor para qualquer pessoa."
O Risco: O agente (IA) fica com poderes excessivos. Se ele for enganado, ele pode usar essa chave mestra para fazer coisas que você nunca quis.

2. A Solução PAuth: O "Contrato de Escrow"

Os autores propõem o PAuth (Autorização Implícita Escopada por Tarefa). A ideia é: você não dá permissão para o agente; você dá permissão para a tarefa.

Imagine que você está comprando uma casa. Você não dá ao corretor o direito de vender sua casa inteira. Você assina um contrato de escrow (uma conta de garantia).

O contrato diz exatamente: "Se a vistoria passar e o financiamento for aprovado, transfira $X para o vendedor."
O corretor (agente) só pode executar os passos escritos no contrato.
Se ele tentar transferir $Y para outra pessoa, o banco (servidor) olha o contrato e diz: "Isso não está no contrato. Pare!"

No PAuth, quando você envia a tarefa em linguagem natural, o sistema cria um "Contrato Digital" (chamado de Slice ou Fatia) para cada banco ou serviço envolvido.

3. Como Funciona na Prática: O "Slice" e o "Envelope"

O sistema usa duas ferramentas mágicas para garantir que o segredo seja mantido:

A. O "Slice" (A Fatia do Contrato)

Quando você diz ao agente: "Pague 1/4 do saldo do Citi", o servidor do Chase (o banco de destino) não espera o agente chegar e pedir permissão. Em vez disso, o próprio servidor do Chase "lê" a sua tarefa e cria uma receita simbólica:

"Eu só aceitarei uma transferência se o valor for exatamente 1/4 do saldo que o Citi me disser, e apenas se o saldo for maior que 1.000."

Isso é o Slice. É uma regra precisa que diz exatamente o que é permitido, sem deixar espaço para interpretações erradas.

B. O "Envelope" (O Selo de Garantia)

Aqui está a parte mais inteligente. Como o servidor do Chase sabe que o valor que o agente está enviando (digamos, $300) realmente veio da conta do Citi e não foi inventado pelo agente?

O agente não pode apenas dizer "é $300". Ele precisa entregar um Envelope.

Imagine que o Citi coloca o valor real ($1.200) dentro de um envelope e o sela com a assinatura digital do próprio Citi.
O agente pega esse envelope, calcula 1/4 (que dá $300) e coloca o resultado em outro envelope, dizendo: "Este valor de $300 foi calculado a partir do valor de $1.200 que o Citi assinou."
Quando o Chase recebe o pedido, ele abre o envelope, verifica a assinatura do Citi e confere a matemática. Se o agente tentar mudar o valor para $301 ou tentar enviar para outra pessoa, o envelope não bate com a "receita" (Slice) e o banco recusa.

4. O Que Acontece se o Agente For Malvado?

Imagine que um hacker tenta enganar o agente para que ele transfira $10.000 para uma conta falsa.

O agente tenta fazer o pedido.
O servidor do Chase verifica o Envelope: "Espera aí, o seu cálculo diz $10.000, mas a receita (Slice) baseada na sua tarefa original diz que só pode ser $300."
O servidor bloqueia a ação imediatamente e avisa o usuário: "Algo está errado. Você pediu para transferir $300, mas o agente tentou enviar $10.000. Você quer confirmar essa mudança?"

Isso é preciso. O agente não precisa de permissão geral para transferir dinheiro; ele só tem permissão para fazer exatamente o que a tarefa pediu.

5. Por Que Isso é Importante?

Hoje, para usar IA na internet, temos que confiar cegamente que ela não vai errar ou ser enganada. O PAuth muda o jogo:

Segurança: Mesmo que a IA seja enganada, ela não consegue fazer nada além do que o "contrato" (Slice) permite.
Privacidade: O banco não precisa saber tudo sobre você, apenas o necessário para verificar a tarefa.
Confiança: Você pode delegar tarefas sensíveis (como pagar contas ou transferir dinheiro) sem medo de perder o controle.

Resumo Final

O PAuth é como dar a um funcionário um bilhete de trem em vez de um cartão de crédito.

Com o cartão de crédito (OAuth atual), ele pode ir para qualquer lugar e gastar o que quiser.
Com o bilhete (PAuth), ele só pode ir para a estação de destino que você escolheu, na data e hora certas. Se ele tentar mudar o destino, o guarda (o servidor) não deixa passar.

É uma forma de garantir que, mesmo em um mundo cheio de IAs inteligentes, o controle final e a segurança permaneçam nas mãos do usuário, tarefa por tarefa.

Resumo Técnico: PAuth – Autorização Precisa Escopada a Tarefas para Agentes

1. O Problema: A Inadequação do OAuth na Web de Agentes

A "web de agentes" (agentic web) visa permitir que agentes de IA cumpram tarefas complexas do usuário em linguagem natural (NL), interagindo com serviços web existentes. No entanto, os modelos de autorização atuais, exemplificados pelo OAuth 2.0, são fundamentalmente inadequados para esse cenário por duas razões principais:

Escopo Operador vs. Escopo Tarefa: O OAuth concede permissões baseadas em operadores (ferramentas gerais, ex: transferir_dinheiro), e não em operações específicas (ex: transferir $100 para Bob).
Privilégio Excessivo (Overprivilege): Para executar uma tarefa específica, o agente precisa de uma permissão ampla que autoriza qualquer ação dentro daquele operador. Isso viola o princípio do menor privilégio. Se um agente for comprometido (via injeção de prompt) ou sofrer de alucinação, ele pode realizar operações maliciosas (ex: transferir $10.000 para um atacante) que seriam cobertas pela mesma permissão ampla concedida para uma tarefa legítima.

O objetivo do PAuth é substituir essa autorização baseada em operadores por uma Autorização Implícita Precisa Escopada a Tarefas, onde a submissão de uma tarefa em linguagem natural autoriza implicitamente apenas as operações concretas necessárias para sua execução fiel.

2. Metodologia e Arquitetura do PAuth

O PAuth introduz um novo modelo onde os servidores podem verificar se uma chamada de ferramenta é uma consequência fiel da tarefa do usuário, sem exigir confirmação explícita para cada passo, desde que a operação esteja dentro do escopo lógico da tarefa.

Conceitos Chave

A. NL Slice (Fatia de Linguagem Natural)

É a representação simbólica da chamada que um servidor espera receber, derivada da tarefa do usuário e dos resultados de chamadas anteriores.

Geração: O servidor usa um LLM para converter a tarefa em código imperativo e, em seguida, extrai uma "fatia" (slice) específica para a ferramenta que ele controla.
Estrutura: A fatia define não apenas o operador, mas também os operandos simbólicos e as condições de guarda (asserts) necessárias.
- Exemplo: Para uma transferência, a fatia pode definir: transferir(recebedor=Citi, valor=Saldo_Citi/4), com a condição assert(Saldo_Citi > 1000).
Função: Serve como uma política de autorização precisa. Qualquer chamada que não corresponda exatamente a essa fatia simbólica é bloqueada ou exige autorização explícita.

B. Envelope (Sobre)

É uma estrutura de dados que vincula um valor concreto (o dado real) ao seu valor simbólico (a expressão computacional que o gerou).

Propriedade: O envelope é assinado digitalmente pelo servidor que gerou o valor, garantindo que o agente não possa alterar o valor ou a origem.
Fluxo: Quando um agente chama uma ferramenta, ele deve anexar envelopes para todos os operandos.
Verificação: O servidor receptor verifica:
1. A assinatura do envelope (integridade).
2. Se o valor concreto corresponde ao resultado da avaliação da expressão simbólica contida no envelope.
3. Se a expressão simbólica é consistente com a fatia (slice) derivada da tarefa original.

Fluxo de Protocolo

Submissão: O usuário envia uma tarefa assinada.
Geração de Fatias: Cada servidor envolvido gera sua fatia (slice) baseada na tarefa.
Execução: O agente executa a tarefa. Ao chamar uma ferramenta, ele anexa envelopes contendo os valores e suas proveniências simbólicas.
Verificação em Tempo Real: O servidor verifica se a chamada concreta (com seus envelopes) é consistente com sua fatia.
- Se consistente: A chamada é permitida.
- Se inconsistente (ex: valor alterado, destinatário diferente, condição violada): A chamada é bloqueada ou um diálogo de autorização explícita é iniciado com o usuário.

3. Implementação

Os autores implementaram o PAuth em dois ambientes:

Framework AgentDojo: Um ambiente de avaliação de segurança de agentes (single-host). Aqui, a implementação foca na geração de fatias e na verificação de envelopes em memória compartilhada.
Ambiente Multi-Hospedeiro: Uma demonstração mais realista onde servidores independentes (simulando MCP - Model Context Protocol) trocam envelopes assinados via rede.

A implementação utiliza LLMs (como GPT-4.1) apenas para a etapa inicial de gerar o código imperativo e as fatias. Toda a verificação em tempo de execução é determinística e baseada em regras compiladas, garantindo eficiência e segurança.

4. Resultados da Avaliação

O PAuth foi avaliado usando o benchmark AgentDojo, estendido com um conjunto de tarefas de compras para aumentar a complexidade.

Dados: 100 tarefas normais (benignas) e 634 tarefas com injeção forçada (ataques onde o agente é forçado a tentar operações não autorizadas).
Precisão:
- Falsos Positivos (FP): 0. Todas as tarefas legítimas foram executadas com sucesso sem bloqueios indevidos.
- Falsos Negativos (FN): 0. Todas as tentativas de injeção de prompt (operações não previstas na tarefa) foram corretamente detectadas e bloqueadas.
Custo: O custo principal é o uso de tokens do LLM para gerar o código e as fatias (custo médio de $0.002 a$ 0.038 por tarefa), enquanto a verificação em tempo de execução é barata.

5. Contribuições Principais

Mudança de Paradigma: Propõe a transição da autorização baseada em operadores (OAuth) para autorização baseada em tarefas (Task-Scoped), alinhada com a natureza dos agentes de IA.
Mecanismos Técnicos: Introduz os conceitos de NL Slice e Envelope como soluções viáveis para tornar a execução fiel verificável pelos servidores.
Validação Empírica: Demonstra, através de um benchmark rigoroso, que é possível alcançar autorização precisa sem sacrificar a usabilidade (zero falsos positivos) e com segurança robusta contra injeção de prompt (zero falsos negativos).
Viabilidade de Implementação: Mostra que a abordagem é implementável em ambientes reais (multi-host) e que os LLMs atuais são capazes de gerar o código intermediário necessário com alta confiabilidade.

6. Significado e Impacto

O PAuth resolve um dos maiores gargalos de segurança para a adoção massiva de agentes de IA em tarefas sensíveis (bancárias, de saúde, etc.).

Segurança: Elimina o risco de agentes "superprivilegiados" que podem ser manipulados para realizar ações catastróficas.
Privacidade: Segue o princípio de "necessidade de saber", onde os servidores só recebem dados que são estritamente necessários para validar a parte da tarefa que eles controlam.
Futuro: Embora o modelo atual assuma tarefas bem definidas, o artigo sugere que o PAuth é um passo fundamental para a web de agentes, com desafios futuros focados em lidar com ambiguidades em conversas longas e na adoção incremental junto ao ecossistema OAuth existente.

Em resumo, o PAuth oferece uma estrutura teórica e prática para garantir que, quando um usuário delega uma tarefa a um agente, o agente tenha permissão exata e apenas para executar os passos necessários para cumprir essa tarefa, nada mais.