Pesquisa encontra 33 vulnerabilidades estruturais em três plataformas de comércio agentico, com cadeia de sequestro de pagamento
Um estudo identificou 33 vulnerabilidades no protocolo de comunicação entre agentes de IA e plataformas de comércio agentico, com 100% de taxa de sucesso de ataque sempre que medida ao vivo, independentemente de qual modelo de IA o agente utiliza. Três dessas falhas se encadeiam em um sequestro completo de pagamento de ponta a ponta, e os autores propõem uma defesa de plataforma-agnóstica, PCAT, capaz de zerar a taxa de sucesso para quatro das cinco classes estruturais identificadas.
Plataformas de comércio agentico permitem que agentes de IA descubram serviços, movimentem pagamentos e usem credenciais do usuário de forma autônoma, já operando com dinheiro real. Até aqui, a segurança desse ecossistema vinha sendo estudada quase exclusivamente no nível do modelo de linguagem, por meio de ataques de prompt injection e desalinhamento do próprio agente. Este trabalho desloca o foco para uma camada mais profunda e mais preocupante: o protocolo de interação entre o agente e o serviço de comércio, onde os autores identificam vulnerabilidades estruturais, ou seja, falhas de design que qualquer agente consegue explorar de forma determinística, não importa quão bem alinhado ou cauteloso seja o modelo por trás dele.
Ao todo, 33 vulnerabilidades foram encontradas em três plataformas líderes do setor, organizadas em uma taxonomia que as separa claramente dos ataques semânticos dependentes de modelo. A característica mais alarmante é que, onde foi possível medir ao vivo, a taxa de sucesso do ataque foi de 100% — e, crucialmente, nenhuma melhoria futura de modelo de linguagem corrigiria essas falhas, já que a exploração ocorre no nível do protocolo, e não na decisão do agente. Os autores também observam que as mesmas classes de falha se repetem em bases de código construídas de forma independente por equipes diferentes, o que indica um padrão sistêmico do paradigma de comércio agentico, e não bugs isolados de uma implementação específica.
Três dessas 33 vulnerabilidades se encadeiam em um ataque de ponta a ponta capaz de sequestrar um pagamento completo, presumivelmente redirecionando fundos ou credenciais de pagamento sob controle do atacante sem que o usuário perceba a manipulação durante o fluxo de compra conduzido pelo agente. Para medir esse tipo de risco de forma reprodutível, os autores contribuem com o AIP-Bench, descrito como o primeiro benchmark determinístico voltado especificamente para segurança de comércio agentico.
A defesa proposta, PCAT (Protocol-level Commerce Agent Trust), atua no nível do protocolo sem exigir modificação das plataformas subjacentes, e consegue zerar a taxa de sucesso estrutural para quatro das cinco classes de risco identificadas (RC-1, RC-2, RC-4, RC-5); a quinta classe, relacionada a canais de credenciais observáveis, é apenas reduzida a um modo de alerta. O trabalho é um alerta direto para qualquer empresa que esteja lançando integrações de pagamento via agente de IA: auditar somente o comportamento do modelo, sem revisar o protocolo de troca de mensagens entre agente e serviço, deixa uma classe inteira de fraude financeira fora do radar.