A Internet cresceu porque protocolos compartilhados permitiram que sistemas independentes interoperassem sem confiança pré-estabelecida. Agentes autônomos de IA estão agora impulsionando a web para um ponto de inflexão semelhante — atuando em lojas virtuais, APIs e sistemas administrativos com supervisão humana mínima. O apoio de Vint Cerf a uma camada de identidade aberta e orientada por padrões é um sinal de que os fundamentos da responsabilização em nível de Internet — quem autorizou o agente, o que ele pode fazer e o que realmente fez — devem ser resolvidos no nível do protocolo, não por widgets específicos de fornecedores. Para líderes de segurança, jurídico e operações, isso não é governança abstrata; é a diferença entre automação escalável e um pesadelo de auditoria.

O design emergente é pragmático: aproveitar a infraestrutura existente da Internet como raiz de confiança, vincular identificadores de agentes ao controle organizacional e associar identidade a concessões de capacidade assinadas que limitam ações por escopo, tempo e recurso. Cada transação produz um recibo irrefutável — criptograficamente assinado, com carimbo de data/hora e referenciável — para que você possa reconstruir a atividade em SaaS, nuvem e on-premises. Isso complementa OAuth/OIDC para fluxos usuário-aplicativo adicionando proveniência app-a-app e agente-a-agente. Crucialmente, deve suportar rotação de chaves, revogação e atualizações de políticas sem quebrar a interoperabilidade, e deve ser implantável com a PKI e diretórios empresariais atuais, sem reescrever a identidade por completo.

Por que isso importa agora: os modelos de negócio para agentes — compras, agendamento, triagem de suporte, sincronização de dados, até controle industrial — dependem da confiança de terceiros nas solicitações. Fraudes, falsificações, automações ocultas e responsabilidade incerta ameaçam essa confiança. Uma camada de identidade verificável eleva o patamar: marketplaces podem admitir apenas agentes atestados, processadores de pagamento podem impor permissões limitadas e empresas podem classificar riscos por nível de garantia. Reguladores também terão uma visão mais clara das cadeias de autorização, permitindo regras precisas (ex.: escopos de consentimento, retenção de auditoria) sem proibir a automação. Espere que listas de verificação, esquemas de certificação e normas de telemetria entre nuvens convirjam rapidamente assim que os protocolos se estabilizarem.

Para compradores, o movimento imediato é tratar “identidade e responsabilização de agentes” como um requisito de plataforma, não um recurso. Faça pilotos com fluxos de baixo risco onde você possa aplicar o princípio do menor privilégio, instrumentar logs completos e testar revogação sob carga. Em compras, exija atestações de fornecedores que provem quem operou o agente, apresente reivindicações de capacidade que você possa verificar independentemente e entregue logs portáteis que possam ser reconciliados com seu SIEM. Prefira fornecedores alinhados a padrões abertos e que ofereçam artefatos e chaves de identidade exportáveis sob seu controle. As organizações que construírem sobre esses primitivos lançarão mais rápido com menos incidentes — e estarão preparadas quando auditores perguntarem como seus agentes conhecem seus limites.