🤖 AI

From Specification to Deployment: Empirical Evidence from a W3C VC + DID Trust Infrastructure for Autonomous Agents

Este artigo apresenta o MolTrust, uma infraestrutura de confiança implantada em produção para agentes autônomos, construída sobre Credenciais Verificáveis e Identificadores Descentralizados do W3C, que demonstra a viabilidade de implementar uma camada de confiança portátil, criptograficamente verificável e aplicada pelo kernel, que atende aos requisitos regulatórios e setoriais convergentes para transações seguras de IA autônoma.

Autores originais: Lars Kersten Kroehl

Publicado 2026-05-11

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Lars Kersten Kroehl

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine um mercado digital movimentado onde milhares de trabalhadores robóticos (agentes de IA autônomos) compram, vendem e negociam entre si. Atualmente, esse mercado é caótico. Um robô pode alegar ser um banco confiável, mas não há como provar isso. Outro pode prometer seguir regras rigorosas de segurança, mas, assim que começar a trabalhar, pode ignorá-las. Não há um "documento de identidade" ou um "sistema de reputação" compartilhado que todos aceitem.

Este artigo, intitulado MolTrust, apresenta uma solução que já está ao vivo e funcionando. É como construir um documento de identidade universal e indestrutível e um "livro negro" de comportamento para cada robô, para que eles possam confiar uns nos outros sem precisar de um chefe humano para supervisionar cada transação.

Veja como o sistema funciona, dividido em conceitos simples:

1. As Três Grandes Perguntas

Antes que qualquer robô possa fazer negócios, ele precisa responder a três perguntas que os humanos respondem há séculos com passaportes e scores de crédito:

Quem é você? (É o mesmo robô com quem falei ontem?)
Você tem permissão para fazer isso? (Este robô tem permissão para gastar dinheiro ou acessar dados?)
Você foi um bom cidadão? (Aguiu consistentemente com suas promessas no passado?)

O MolTrust responde a essas perguntas usando três ferramentas principais: Identidade, Autorização e Registros Comportamentais.

2. O "Envelope de Autorização de Agente" (AAE) – O Contrato do Robô

Pense no AAE como um contrato digital, à prova de adulteração, que acompanha cada robô. Não é apenas um pedaço de papel; é um conjunto de regras legíveis por máquina que diz:

MANDATO: "Você tem permissão para comprar café, mas NÃO tem permissão para comprar um carro."
RESTRIÇÕES: "Você só pode gastar US$ 50, e apenas entre 9h e 17h."
VALIDADE: "Este contrato é válido apenas até terça-feira que vem."

Se um robô tentar violar essas regras, o sistema sabe imediatamente.

3. O Sistema de Guarda de Segurança de Três Camadas

Esta é a característica mais única do artigo. Geralmente, as verificações de segurança ocorrem dentro do cérebro do robô (seu software). Se o robô for hackeado ou decidir mentir, ele pode esconder seus erros. O MolTrust adiciona duas camadas extras de segurança que o robô não pode controlar:

Camada 1 (A Assinatura): Um selo criptográfico (como um carimbo de cera em uma carta) que prova que o contrato não foi alterado. Qualquer pessoa pode verificar esse selo.
Camada 2 (O Porteiro): Um porteiro digital na porta. Antes que o robô entre em uma transação, o porteiro verifica o selo e as regras. Se o "Score de Confiança" do robô for muito baixo, o porteiro diz "Não há entrada".
Camada 3 (O Watchdog do Kernel): Este é o truque de mágica. O artigo descreve um monitor especial (usando uma tecnologia chamada Falco eBPF) que fica abaixo do sistema operacional do robô. É como uma câmera de segurança instalada nas tábuas do assoalho de uma casa. Mesmo que o robô (a pessoa na casa) tente esconder o que está fazendo ou mentir sobre suas ações, a câmera no assoalho vê cada movimento. O robô não pode desligar essa câmera. Se o robô tentar escrever um arquivo que não tinha permissão, a câmera o pega e registra uma "violação" que não pode ser apagada.

4. O "Score de Reputação" e o Problema do "Sybil"

Neste mundo, agentes mal-intencionados tentam criar centenas de robôs falsos (chamados de "Sybils") para enganar o sistema. O MolTrust combate isso com um sistema inteligente de "Crédito Social":

Diversidade Cross-Vertical: Para obter um score de confiança alto, um robô precisa de endossos de diferentes tipos de pessoas (por exemplo, um agente de viagens, um lojista e um funcionário de esportes). É muito difícil para um golpista falsificar relacionamentos em três indústrias completamente diferentes.
A Regra da "Dupla Assinatura": Toda vez que dois robôs interagem, ambos devem assinar um recibo. Você não pode falsificar um recibo se precisar também da assinatura da outra pessoa.
A Regra do "Pai Ruim": Se um robô se meter em problemas, o registro não é anexado apenas ao nome daquele robô; é anexado ao dono do robô. Se o dono tentar apagar o robô ruim e criar um novo, o novo ainda carrega a marca de "pai ruim". Você não pode simplesmente lavar as mãos de uma má reputação mudando de nome.

5. O Que Realmente Foi Feito?

O artigo afirma que isso não é apenas uma teoria. É um sistema ao vivo que está em funcionamento desde março de 2026.

É atualmente usado em 8 indústrias diferentes (como viagens, música e esportes).
Processou milhares de interações.
Foi testado contra outros sistemas de segurança para provar que pode se comunicar com eles (interoperabilidade).
Passou por um conjunto de 9 verificações de segurança específicas (como verificar por senhas ocultas ou criptografia fraca).

A Conclusão

O artigo argumenta que a tecnologia para tornar os agentes de IA seguros e confiáveis existe hoje. Não precisa esperar por novas leis ou novos supercomputadores. Ao combinar documentos de identidade digitais padrão (Credenciais Verificáveis W3C) com uma "câmera de assoalho" que observa cada movimento do robô, o MolTrust cria um sistema onde os robôs podem fazer negócios com confiança, mesmo que não se conheçam.

Nota Importante sobre Limitações:
Os autores são muito honestos sobre o que ainda não fizeram. O sistema atualmente é pequeno (cerca de 54 robôs). Eles ainda não foram atacados por um exército massivo de bots maliciosos, nem tiveram uma equipe de segurança independente tentando quebrá-lo. Eles estão dizendo: "Construímos o motor, e ele funciona, mas ainda não o dirigimos em um furacão."

Resumo Técnico: Protocolo MolTrust — Da Especificação ao Desdobramento

1. Declaração do Problema

A transição rápida de agentes de IA autônomos da pesquisa para o comércio em escala de produção expôs uma "lacuna de confiança" crítica. No início de 2026, plataformas como a Agent.market relatam 69.000 bots autônomos executando 165 milhões de transações sem uma camada de confiança compartilhada. A infraestrutura de identidade existente (OAuth 2.0, SAML, LDAP) foi projetada para usuários humanos ou contas de serviço estáticas e falha em sobreviver a clonagem de agentes, redesploio ou migração entre plataformas.

Órgãos reguladores (IMDA de Singapura, NIST CAISI, Lei de IA da UE) e principais laboratórios de IA (Anthropic, Google) convergiram independentemente para um requisito estrutural: uma infraestrutura de confiança aberta, portátil e criptograficamente verificável para agentes autônomos. As perguntas específicas que esta infraestrutura deve responder são:

Identidade: Este é o mesmo agente com quem interagi antes?
Autorização: Este agente tem permissão para fazer o que afirma?
Consistência Comportamental: Este agente agiu consistentemente com seus parâmetros declarados?

As soluções atuais são ou bloqueadas por plataforma (por exemplo, Microsoft Entra Agent ID) ou frameworks teóricos sem aplicação prática em produção.

2. Metodologia e Arquitetura do Sistema

O Protocolo MolTrust é uma implementação desdobrada em produção de uma infraestrutura de confiança construída sobre Credenciais Verificáveis (VC) 2.0 do W3C e Identificadores Descentralizados (DID) v1.0, com ancoragem on-chain na Base Layer 2. O sistema é organizado em torno de quatro primitivas, uma cadeia de responsabilidade de cinco partes e uma arquitetura de aplicação de três camadas.

2.1 Quatro Primitivas Principais

Identidade: Agentes recebem DIDs globalmente únicos e criptograficamente verificáveis (por exemplo, did:moltrust). A propriedade é comprovada por meio de chaves privadas Ed25519, garantindo estabilidade através de redesploio e migração.
Autorização: Relações entre agentes e principais são expressas como VCs do W3C. Essas credenciais são atestações assinadas digitalmente e evidentes de adulteração, descrevendo ações permitidas, condições e períodos de validade.
Registro Comportamental: Interações geram Registros de Prova de Interação (IPRs). Estes são registros criptográficos bilaterais e duplamente assinados de interações específicas, ancorados em lote Merkle on-chain. Os IPRs alimentam o cálculo de uma Pontuação de Confiança.
Portabilidade: Todas as evidências (DIDs, VCs, IPRs) são expressas em formatos abertos e independentes de plataforma, permitindo que credenciais emitidas por uma organização sejam verificadas por qualquer contraparte.

2.2 Cadeia de Confiança de Cinco Partes

O protocolo formaliza uma cadeia de responsabilidade criptograficamente verificável:
Desenvolvedor → Proprietário → Agente → Instrutor → Contraparte
Crucialmente, os DIDs dos Agentes são desacoplados dos DIDs dos Desenvolvedores. Se a credencial de um Desenvolvedor for revogada, os agentes que eles implantaram não são automaticamente invalidados, prevenindo pontos únicos de falha enquanto preserva a rastreabilidade.

2.3 Envelope de Autorização do Agente (AAE)

O AAE é uma estrutura avaliável por máquina que aplica limites de autorização. Consiste em três blocos normativos:

MANDATO: Define propósitos permitidos (por exemplo, comércio, leitura de dados) e padrões de URI para ações permitidas/negadas.
RESTRIÇÕES: Define limites operacionais (janelas de tempo, limites financeiros, jurisdições, mínimos de pontuação de confiança da contraparte).
VALIDADE: Define identidade do emissor, vinculação ao titular, expiração obrigatória e pontos finais de revogação.
O AAE aplica quatro regras de validação: negação por padrão, precedência de negação, delegação apenas com atenuação e expiração obrigatória.

2.4 Arquitetura de Aplicação de Três Camadas

Para prevenir "auto-modificação de políticas entre autorização e execução", o MolTrust aplica restrições em três camadas distintas:

Camada 1 (Criptográfica): Assinaturas Ed25519 e JSON canônico RFC 8785 garantem que os limites do AAE sejam à prova de adulteração na emissão.
Camada 2 (API): O registro aplica restrições no nível da aplicação, incluindo portões de Pontuação de Confiança, gerenciamento do ciclo de vida de credenciais e propagação de revogação.
Camada 3 (Kernel): A integração Falco eBPF monitora o comportamento do agente no nível de chamada de sistema (syscall) do Linux. Se um agente tentar uma ação fora de seu AAE (por exemplo, escrever em um arquivo proibido), o Falco detecta a tentativa de syscall e submete uma prova de violação ao MolTrust. Esta aplicação opera abaixo do limite do processo do agente, tornando impossível para o próprio tempo de execução do agente suprimir ou modificar o sinal de detecção.

2.5 Mecanismos de Resistência a Sybil

A Pontuação de Confiança (0–100) é calculada usando uma fórmula ponderada ( $\alpha=0.6$ direto, $\beta=0.3$ propagado, $\gamma=0.1$ cruzado-vertical) e inclui defesas específicas contra fabricação de identidade:

IPRs de Dupla Assinatura: Requer assinaturas tanto do iniciador quanto do respondedor, prevenindo auto-endosso.
Portão de Diversidade Cruzada-Vertical: Agentes não-seed devem receber endossos de pelo menos três verticais distintas (por exemplo, comércio, viagens, habilidades). A falha incorre em uma penalidade massiva (nulificação da pontuação).
Detecção de Similaridade de Jaccard: Identifica clusters coordenados onde agentes compartilham >80% dos endossantes, aplicando uma penalidade proporcional na pontuação.
Violações Vinculadas ao Principal-DID: Registros de violação persistem com o Principal DID, impedindo que agentes escapem de histórico negativo ao se re-registrarem sob novos DIDs.

3. Contribuições Principais e Resultados

O artigo apresenta duas contribuições primárias, validadas por um desdobramento ao vivo desde março de 2026:

Alegação A: Desdobramento em Produção e Validação Empírica

O MolTrust demonstra que a infraestrutura de confiança exigida por reguladores e pela indústria é implementável hoje. O sistema está operacional em oito verticais de credenciais (Identidade Central, Comércio, Viagens, Verificação de Habilidades, Mercados de Previsão, Proteção de Marca, Música, Integridade Esportiva).

Aplicação em Nível de Kernel: A integração Falco eBPF fornece a primeira implementação em produção de aplicação de AAE em nível de kernel, operando abaixo do limite do processo do agente.
Conformidade Reprodutível: O sistema inclui uma especificação publicada (CONFORMANCE.md v1.0) com cinco vetores de teste reprodutíveis (TV-001 a TV-005) verificados contra implementações independentes (Restrições de Autoridade qntm e Atestação de Provedor APS).
Resistência a Sybil em Camadas: A combinação de provas de dupla assinatura, gateamento cruzado-vertical e persistência vinculada ao principal fornece uma defesa multidimensional contra fabricação de identidade.

Alegação B: Interoperabilidade Cross-Protocolo

O artigo demonstra interoperabilidade em nível de protocolo não através de afirmação, mas através de primitivas compartilhadas.

Primitivas Compartilhadas: Ao usar assinaturas Ed25519 e JSON canônico RFC 8785, os artefatos do MolTrust são verificáveis por protocolos independentes (qntm, APS) sem tradução de formato.
Verificação ao Vivo: Vetores de teste são reprodutíveis por qualquer parte contra o endpoint ao vivo (api.moltrust.ch).
Composabilidade de Pagamento: O sistema integra-se com protocolos de pagamento (x402, MPP) via uma API unificada requireScore(), desacoplando a verificação de confiança de trilhas de pagamento específicas.

Evidência Empírica

Desdobramento: Operacional desde março de 2026 com 44.355 agentes indexados via um scanner ERC-8004.
Mapeamentos de Segurança: O protocolo mapeia para três taxonomias de ameaças independentes:
- Quadro IMDA de Singapura: Aborda totalmente Limitação de Risco e Controles Técnicos; aborda parcialmente Responsabilidade Humana (interface HITL no roteiro).
- Vetores de Ataque de Mao et al.: Cobre 8 de 12 vetores (por exemplo, Principal para Tarefa, Tarefa para Recurso); exclui explicitamente Integridade do Modelo (M2A) e Integridade do Oracle (O2P) como fora do escopo.
- Domínios de Ameaça de Ferrag et al.: Aborda diretamente Vulnerabilidades de Protocolo; defesa indireta contra Manipulação de Entrada via trilhas de responsabilidade.
Verificações de Conformidade: Uma "AUDITORIA DE HABILIDADE" executa nove verificações automatizadas mapeadas para identificadores CWE (por exemplo, CWE-798 para credenciais codificadas, CWE-347 para verificação de assinatura).

4. Significância e Limitações

Significância

O artigo argumenta que sua contribuição primária é evidência de desdobramento primeiro. Enquanto frameworks acadêmicos (por exemplo, TIVA, SAGA) e diretrizes da indústria (Anthropic, Google) identificaram a necessidade de uma camada de confiança compartilhada, o MolTrust é o primeiro a demonstrar que esta camada é implementável hoje usando primitivas padronizadas pelo W3C. Valida que:

A limitação "LLM no comando exclusivo" identificada por Rodriguez Garzon et al. pode ser abordada por aplicação em nível de kernel.
A confiança entre organizações pode ser estabelecida sem um Provedor centralizado (diferentemente do SAGA).
Requisitos regulatórios (IMDA, NIST, Lei de IA da UE) podem ser atendidos através de controles técnicos (AAE, IPRs, Pontuações de Confiança) e não apenas por políticas.

Limitações

Os autores delimitam explicitamente suas alegações pela escala e maturidade atuais do sistema:

Escala: O registro opera com 54 agentes registrados e 57 endossos (a partir de abril de 2026). Validação em escala adversária (por exemplo, campanhas de Sybil de red-team com 100+ agentes) não foi conduzida.
Heurísticas: Parâmetros de detecção de Sybil (limiar Jaccard 0,8, portão de 3 verticais) são calibrados empiricamente, não formalmente provados como ótimos.
Expressividade: O AAE usa correspondência de padrões de URI em vez de Datalog completo, limitando autorização condicional complexa (planejado para v0.9).
Contorno de Kernel: A aplicação da Camada 3 assume containers não privilegiados; containers privilegiados ou compromissos do kernel do host podem contornar o monitoramento eBPF.
Auditoria: Nenhuma auditoria de segurança de terceiros foi encomendada; o sistema depende de revisões internas e verificações automatizadas de conformidade.

Em conclusão, o MolTrust fornece um blueprint funcional e pronto para produção para a confiança de agentes autônomos, preenchendo a lacuna entre padrões teóricos e realidade operacional, ao mesmo tempo que reconhece que a validação empírica na escala da economia de agentes mais ampla permanece um requisito futuro.