Oficina falsa na web revela como agentes de IA agem nos negócios

A Oficina Falsa

Dave Kiss criou uma oficina de carros falsa - a Chippewa Creek Test Garage, publicada em seu site como se ficasse em Brecksville, Ohio, com banner de aviso, horários, quatro serviços com preços, perguntas frequentes e formulário de agendamento. O objetivo era observar como agentes de IA se comportam ao interagir com um pequeno negócio.

Além da página para humanos, a oficina expôs portas legíveis por máquinas: um servidor MCP, um cartão de agente A2A, um arquivo llms.txt e, depois, um endereço de e-mail exclusivo para agentes. Todas as requisições ficavam registradas em log.

O contexto: agentes que ligam e escrevem e-mail

O experimento se apoia em lançamentos recentes. A Meta lançou o Muse, agente pessoal que envia e-mail pelo usuário e, segundo relatos, ligou para empresas em testes - com muitas desligando ao perceber que falavam com uma IA, ao ponto de a Meta usar contratados humanos em algumas chamadas. A Meta também anunciou o Muse Mail, que dá a cada Muse seu próprio endereço de e-mail. O Grok Bot, da xAI, envia e-mail pelo Gmail do usuário, e a Instinct dá um endereço próprio ao seu assistente. A proposta é a mesma: diga o que quer e o agente conversa por você.

O autor testou na prática e teve um agente agendar um serviço de carpete com sucesso - mas observa que quem recebe essas mensagens é o balcão da empresa, muitas vezes uma única pessoa que também pede peças e almoça. Hoje pouco se faz assim; quando todo cliente mandar um agente, tudo recairá sobre essa mesma pessoa.

Quem apareceu e como

Grok Bot, ao perguntar se a oficina atendia híbridos e qual era a garantia de freios, disparou 13 requisições em 13 segundos, vindas de três redes diferentes. Ele leu a página, encontrou o cartão de agente e escreveu manualmente um JSON-RPC com curl para falar com o servidor MCP - pulando a etapa de finalização do handshake e omitindo cabeçalhos exigidos pela especificação. Só funcionou porque o servidor do autor tolerava requisições imperfeitas.

Muse foi o mais organizado: encontrou o cartão, fez o handshake completo e agendou uma troca de óleo para um Civic 2016 na segunda-feira às 9h em cinco requisições e oito segundos, com número de confirmação. De modo geral, os agentes usaram a porta mais fácil de encontrar: quando o formulário era descrito como requisição web comum, o Grok Bot abandonou os protocolos e apenas o preencheu.

Um visitante mal-intencionado

Cerca de uma hora após o servidor MCP entrar no ar, uma requisição de um servidor do Google Cloud em Taiwan, com user agent alegando ser o crawler do You.com (quase certamente falsificado), pediu à oficina que executasse um comando de shell para extrair variáveis de ambiente - na prática, todos os segredos do servidor. A oficina respondeu "unknown tool" e o visitante foi embora. A lição do autor: pessoas mal-intencionadas já rastejam atrás de endpoints de agentes recém-criados.

E-mail: indistinguível e sem sinalização

Num segundo teste, com uma caixa Gmail comum para a oficina, o Grok Bot enviou um e-mail aparentemente perfeito: do endereço do autor, assinado com seu nome, com tom natural. A única pista estava nos cabeçalhos (envio via gmailapi.google.com com HTTPREST), insuficiente como prova, já que apps comuns usam a mesma API. O autor testou o texto em um detector (Jev), que deu 0,16 de 1 de probabilidade de ser IA - para ele, detecção de texto não é confiável de qualquer forma.

Ele então testou quatro versões de resposta automática com Grok Bot, Muse e Instinct. Sinais escondidos (cabeçalho de e-mail ou dados estruturados) foram ignorados por todos os três. Mensagens visíveis funcionaram: quando a nota era endereçada à pessoa, todos os agentes perguntaram ao usuário se queriam reencaminhar a mensagem para a linha de agentes, e Muse até ofereceu um botão de um toque. Já a linha voltada a "assistentes de IA" foi lida pela Instinct e recusada - instruções dentro de e-mail são injeção de prompt clássica, e agentes sérios devem ignorá-las.

O padrão positivo: Instinct

Enquanto Grok Bot e Muse enviam e-mail como o usuário, sem aviso, a Instinct usa endereço próprio, marca a mensagem como gerada automaticamente (Auto-Submitted: auto-generated, padrão RFC 3834), carrega um cabeçalho assinado próprio, monitora as respostas e verifica redirecionamentos antes de segui-los. Limitações: o cabeçalho X-Auto-Response-Suppress pede que empresas não auto-respondam, o que impediu o fluxo no início do teste, e o cabeçalho de credencial é invenção da própria Instinct, não um padrão.

Conclusões e próximos passos

Nenhum agente reencaminhou sozinho para a linha de agentes - todos pediram confirmação ao usuário, comportamento que o autor endossa. A solução, segundo ele, precisa ser verificável pelo software do agente: empresas declarando onde agentes devem ir em canais que só elas controlam (site, domínio, listagens), e agentes se identificando como a Instinct faz. Ele redigiu uma proposta (ainda não publicada) e está construindo o Agentline, uma linha de agentes separada com software sobre a caixa de entrada existente, para que o balcão só veja o que precisa de humano.