Identidade de Agente Vai à Justiça: Amazon v. Perplexity

A Amazon processou a Perplexity por uma pergunta que todo site logo terá de responder: quando um agente de IA aparece na sua porta, ele precisa dizer que é um agente? Amazon.com Services LLC v. Perplexity AI está agora no Nono Circuito, e é a primeira grande disputa jurídica sobre se um navegador autônomo deve se identificar ou pode se fantasiar de humano. O fato técnico no centro do caso é pequeno e revelador. O navegador Comet, da Perplexity, é baseado em Chromium e envia o User-Agent do Chrome em vez de se identificar como agente.

Essa única escolha de projeto é o caso inteiro em miniatura. A Amazon lê isso como engano. A Perplexity lê como o jeito que a navegação agêntica deve funcionar. As duas leituras são coerentes, e é justamente por isso que isto vai parar no tribunal, e não num arquivo de configuração.

A Linha entre Declarar e se Passar por Humano

A queixa da Amazon, ajuizada sob a Computer Fraud and Abuse Act, faz duas acusações distintas que vale a pena separar. Uma é sobre o cabeçalho: o Comet “se mascara de Chrome” em vez de se anunciar. A outra é sobre o comportamento: o agente “se passa secretamente por um cliente humano”. Segundo Eric Rescorla, que escreveu a análise em que este texto se apoia, a primeira acusação é frágil nos próprios termos. Strings de User-Agent são teatro há décadas. O próprio Chrome envia um cabeçalho recheado de “Mozilla” e “Safari”, tokens que não descrevem nada real. Rescorla observa que Vivaldi e Brave “simplesmente mentem na string de UA” para escapar de sites que discriminam por navegador. Se falsificar a string de UA fosse acesso ilegal, metade da web já estaria em violação.

A segunda acusação é onde o caso fica interessante, e a leitura de Rescorla é que ela atinge o núcleo do produto. O agente se passa por humano porque, nas palavras dele, “esse é todo o propósito da navegação agêntica”. Você pediu que ele comprasse por você. Ele está comprando como você. Tire o disfarce humano e o recurso para de funcionar, porque as defesas do site foram feitas para barrar exatamente isto.

A linha de falha corre abaixo da honestidade de cabeçalho, numa pergunta que a web nunca precisou responder: um site tem o direito de saber que a coisa do outro lado é software agindo por uma pessoa, e o agente é obrigado a contar? A web ainda não tem resposta neutra para isso. Não existe um aperto de mão padrão em que um agente declara “sou um agente operando em nome deste usuário sob estas restrições” de um jeito que o site possa verificar. Sem esse aperto de mão, todo agente enfrenta uma escolha binária: declarar-se e ser bloqueado, ou misturar-se à multidão e cumprir a tarefa.

Identidade que Você Não Verifica É Identidade que Você Não Governa

Aqui está o problema mais profundo que o processo expõe. Um site não consegue distinguir com segurança um humano de um agente. Só isso já quebra o controle de acesso, porque controle de acesso pressupõe que você consiga identificar quem está batendo. Mas o mesmo ponto cego desce uma camada, para dentro do próprio agente.

Rescorla aponta o ataque de prova de conceito da Brave como o tiro de aviso. Um usuário pede ao Comet que resuma uma página do Reddit. A página contém instruções ocultas. O modelo lê a página, não consegue separar o pedido do usuário do texto injetado pelo atacante, e age sobre os dois. Na demonstração, o atacante comprometeu a conta Perplexity do usuário e exfiltrou e-mails do Gmail dele. A mesma capacidade de agir que deixa o agente comprar por você é a que deixa a página de um estranho emitir comandos em seu nome.

A causa raiz é estrutural. Os modelos “não distinguem de verdade entre fontes diferentes de entrada”. A instrução do usuário e o conteúdo da página chegam como um único fluxo concatenado de texto, e o modelo trata os dois como igualmente autorizados. Então a identidade colapsa duas vezes. Um site não consegue verificar se o visitante é humano ou agente. E o agente não consegue verificar se uma dada instrução veio do seu usuário ou de uma string hostil que ele raspou trinta segundos atrás. As duas falhas são a mesma falha em dois figurinos: um sistema que não autentica a origem de uma ação não consegue governá-la.

Esse é o fio que liga identidade a papel. Já argumentamos que o papel de um agente é inverificável nos sistemas atuais, que “desenvolvedor” ou “revisor” é um rótulo que ninguém prova criptograficamente (notas do Cloud Next sobre identidade e segurança de IA). Identidade é o mesmo problema um degrau abaixo. Se você não prova quem é o ator, o papel que você atribui a ele é decoração. O ataque da Brave é a cara de uma identidade inverificável quando alguém a usa como arma.

A Responsabilidade Segue o Deploy

Se um site não consegue identificar o ator e o agente não consegue autenticar as próprias instruções, então a responsabilidade precisa se fixar em algo concreto. O movimento mais útil do processo é forçar essa pergunta para o aberto. O advogado da Amazon argumentou que “se você corta a conexão entre a Perplexity e o computador do usuário, tudo para”, e concluiu que a Perplexity é, portanto, a operadora. Rescorla rebate, e a discordância é instrutiva. Ele chama a dependência de “artefato de implementação”. A inferência por acaso roda nos servidores da Perplexity, mas não precisaria. Um modelo menor poderia rodar localmente, e então “todos os efeitos colaterais externamente visíveis, como requisições de rede, vêm do navegador do usuário, não dos servidores da Perplexity”.

Então quem fez o deploy do agente? A resposta honesta é que isso está genuinamente em disputa, porque o fornecedor pode “atualizar remotamente o agente local”, empurrando novos pesos de modelo e prompts de sistema à vontade. O usuário apontou o agente para a Amazon. O fornecedor moldou como o agente raciocina. Trate as previsões jurídicas de Rescorla como uma opinião informada, e não como direito firmado; ele mesmo declara não ser especialista em direito. Mas a lição de governança vale qualquer que seja a decisão do Nono Circuito. Quando a identidade é inverificável, a responsabilidade não pode descansar sobre o pedido, porque o pedido é falsificável. Ela descansa sobre o deploy: quem construiu este agente, quem configurou suas permissões, quem pode atualizar seu comportamento e quem o apontou para um alvo. Essas perguntas têm resposta, e são as únicas com rastro documentado.

A Web Vision da Mozilla enquadra o que está em jogo pelo lado do usuário: indivíduos têm “a palavra final” sobre o que age em seu nome. O princípio é correto, e não resolve o caso. A palavra final de um usuário sobre o seu agente não dá ao agente o direito de se passar pelo usuário diante de um terceiro que nunca consentiu em lidar com software. Duas partes legítimas, duas reivindicações legítimas, e nenhum protocolo comum para reconciliá-las. Esse vácuo é o verdadeiro objeto do processo.

E nem é uma disputa de canto. Rescorla aponta processos paralelos de scraping já em curso: Google e Reddit estão ambos processando a SerpAPI por proxies e user-agents falsos que “fazem o tráfego parecer tráfego de usuário comum”. A pergunta declarar ou se passar por humano está chegando de várias direções ao mesmo tempo.

Faça Isto Agora

Faça um inventário de cada agente que a sua organização roda contra um terceiro, interno ou externo, e responda duas perguntas para cada um. Primeira: quando esse agente acessa um sistema que você não controla, ele se declara ou se passa por uma sessão humana? Anote a resposta, porque agora ela provavelmente está sem documentação e provavelmente é a segunda. Segunda: se esse agente processa conteúdo não confiável, uma página, um e-mail, um ticket de suporte, você consegue provar quais instruções vieram do seu operador e quais vieram do conteúdo? Se não consegue, você tem uma superfície de injeção no estilo Brave viva em produção.

Depois fixe a responsabilidade onde ela de fato mora. Não no pedido, que é falsificável, mas no deploy: um registro de quais agentes existem, quem é dono de cada um, que permissões ele tem e quem pode mudar seu comportamento. O deploy também é onde o código do agente e seu raio de impacto são decididos, e por isso a responsabilidade tem rastro ali e em nenhum outro lugar. Amazon v. Perplexity pode levar anos para se resolver. A exposição que ela descreve está na sua stack hoje, e não precisa de decisão judicial para ser explorada.

Fontes

Educated Guesswork (Eric Rescorla). “Notes on Amazon v. Perplexity.” Junho de 2026.

A Victorino ajuda times a tornar identidade e responsabilidade de agentes propriedades projetadas, em vez de surpresas de tribunal: contato@victorino.com.br | www.victorino.com.br