Cloudflare Move Autenticação de Agentes para Ciclo de Vida da Tarefa, Não para Contas de Serviço

A Cloudflare publicou um artigo arquitetônico formal propondo o Agent Access Model (AAM), um framework de segurança e autorização que trata agentes de IA como principais de infraestrutura de primeira classe em vez de extensões da identidade humana. O artigo aborda um problema concreto: implantações multi-agentes em produção estão expondo os limites de todos os padrões de controle de acesso construídos para pessoas.

Os controles existentes falham com agentes de quatro formas específicas. Primeiro, credenciais sobrevivem a tarefas. Contas de serviço foram projetadas para software de longa vida, como trabalhos em lote noturnos, e carregam escopos amplos, chaves de longa vida e ciclos raros de rotação. Aplicadas a um agente de vida curta, essas credenciais sobrevivem ao trabalho para o qual foram emitidas e ficam em memória, logs e variáveis de ambiente onde podem ser reproduzidas. A solução da Cloudflare: o tempo de vida da credencial deve corresponder ao tempo de vida da tarefa, que para agentes geralmente é de minutos. Segundo, agentes operam em velocidade de máquina. Detecção de anomalias e controles de perda de dados ajustados para atividades humanas reagem muito lentamente — um agente com uma conexão de banco de dados e um caminho de rede de saída pode ler uma tabela e fazer POST para um endpoint externo antes que um controle ajustado para humanos termine de amostrar. Terceiro, o prompt não é um perímetro. Instruções como "não acesse produção" moldam o comportamento, mas não impõem acesso, e um modelo pode ser manipulado por conteúdo injetado nos dados que lê. Quarto, agentes compõem autoridade através de saltos de delegação. Quando um agente invoca uma ferramenta que invoca outro agente que chama uma API em nome do usuário humano original, a resposta para "para quem é isto e o que eles têm permissão para fazer" desaparece em algum lugar da cadeia.

A regra central do AAM: não confie na execução. Autorize cada ação contra a tarefa e seu estado acumulado. BeyondCorp removeu a confiança implícita da rede. AAM remove a confiança implícita da execução da tarefa. A autorização para uma ação não é transferida para a próxima. Cada ação é avaliada contra três critérios: quem é o agente, qual tarefa foi autorizado a executar e quais recursos relevantes para política o gráfico já tocou. Esse estado acumulado só pode reduzir as capacidades restantes do gráfico — um mecanismo que estreita, nunca amplia, o conjunto de capacidades conforme a execução progride. A Cloudflare compara isso com o Beyond Zero do Google, que similarmente move o limite de confiança da aplicação para a ação individual.

A Cloudflare lançou infraestrutura complementar. O SDK Agents agora inclui uma classe MCPClientManager que trata todo o fluxo OAuth 2.1 — redirecionando usuários para login, gerando desafios de código, trocando códigos de autorização por tokens de acesso e namespace de ferramentas entre múltiplos servidores MCP para evitar colisões. Integrações com Stytch, Auth0 e WorkOS estão disponíveis para autenticação de servidor MCP, com restrição de escopo por usuário e páginas de consentimento vinculadas a função. Durable Objects, a primitiva de computação com estado que Cloudflare usa como âncora de identidade para agentes, passou para o nível gratuito. Um anúncio separado introduziu agentes assinados — uma extensão do programa verified bots que usa assinaturas de mensagem HTTP Web Bot Auth para autenticar criptograficamente o tráfego de agentes na camada de rede. O primeiro grupo inclui ChatGPT agent, Goose do Block, Browserbase e Anchor Browser. O produto Browser Rendering da Cloudflare agora envia cabeçalhos Web Bot Auth e recebe uma pontuação de bot de 1 sob Bot Management.

O artigo nomeia um problema não resolvido: controle de acesso multiplayer, onde múltiplos humanos com diferentes níveis de permissão contribuem contexto para uma única execução de agente. A delegação OAuth existente trata um salto de forma limpa, mas não se compõe através de vários humanos ou saltos sem design de propagação explícita.

A conclusão: a aplicação pertence no arnês que media chamadas de ferramentas e na camada de rede que media pacotes, não no conjunto de instruções do modelo. O escopo de credencial deve ser projetado para expirar com a tarefa, não com a conta de serviço.