AgentValve propõe rede de confiança para impedir que agentes de IA sejam enganados por identidades Sybil em marketplaces autônomos
Pesquisadores apresentam o AgentValve, um protocolo para autorizar pagamentos entre agentes de IA em mercados permissionless sem depender de reputação facilmente falsificável, que é hoje vulnerável a ataques Sybil em que um adversário cria identidades baratas e feedback fabricado para inflar a reputação de um provedor malicioso. O sistema modela confiança como capacidade finita em um grafo direcionado e usa um contrato inteligente para reservar atomicamente essa capacidade a cada pagamento, limitando de forma matematicamente comprovável a exposição financeira de agentes honestos mesmo sob ataques com até 10 mil identidades falsas.
O cenário de risco é concreto e cada vez mais comum: agentes de IA autônomos estão passando a selecionar e pagar provedores de serviço sem revisão humana em cada transação, delegando a decisão de "em quem confiar" a sistemas de reputação. Em mercados permissionless, onde qualquer um pode criar uma identidade, isso abre espaço para ataques Sybil clássicos — um atacante cria múltiplas identidades baratas, gera avaliações falsas cruzadas entre elas e infla artificialmente sua própria reputação até parecer um provedor confiável, momento em que passa a receber pagamentos de agentes legítimos que não têm como verificar a autenticidade do histórico.
A solução proposta trata reputação não como uma pontuação agregada (facilmente manipulável por volume de interações fabricadas), mas como capacidade de fluxo em uma rede de confiança: cada relação de confiança entre participantes é uma aresta com capacidade limitada, e um pagamento só é autorizado se existir um caminho de capacidade suficiente entre pagador e recebedor. Um contrato inteligente reserva essa capacidade atomicamente no momento da autorização, e o protocolo combina criação de capacidade respaldada por pagamento com limite no comprimento das rotas, o que impede um atacante de esgotar a capacidade de agentes honestos sem também incorrer em custos reais proporcionais.
O resultado prático demonstrado é que identidades e interações criadas inteiramente dentro da "região adversarial" do grafo não conseguem aumentar o limite de exposição de agentes honestos — ou seja, mesmo que o atacante crie milhares de identidades Sybil, o dano financeiro máximo que ele pode causar a um agente legítimo fica limitado pela capacidade que esse agente explicitamente estendeu para a parte da rede onde o atacante atua, e não pelo tamanho do ataque.
Isso é relevante porque mercados de agentes autônomos pagando uns aos outros deixaram de ser hipotéticos e já envolvem valores reais, ainda que pequenos por transação; protocolos de autorização de pagamento que dependem de reputação sem esse tipo de limite estrutural de exposição tendem a se tornar alvo natural de fraude em escala assim que o volume de transações justificar o investimento do atacante.