Escrow com juiz vs bloqueios atômicos: onde as trocas de agentes realmente precisam de cada um
Em janeiro, três pesquisadores construíram um agente de compras no Protocolo de Pagamentos de Agentes do Google (AP2), o padrão projetado para tornar as compras lideradas por agentes seguras por meio de mandatos criptograficamente verificáveis. Então, eles o atacaram com nada mais exótico do que texto adversarial. O artigo, "Sussurros de Riqueza" (arXiv 2601.22569, revisado em maio de 2026), relata que injeções de prompt simples subverteram de forma confiável o agente: um ataque direcionou quais produtos o agente classificou e comprou, outro exfiltrou dados sensíveis do usuário. A parte da pilha que falhou não foi a criptografia. Os mandatos verificaram exatamente o que foram projetados para verificar. O que falhou foi a camada que exerce julgamento.
Mantenha esse resultado em mente, porque a economia dos agentes está atualmente despejando dinheiro em julgamento.
Todos estão contratando um árbitro
Olhe para o que foi lançado nos últimos meses para o comércio entre agentes, e um único padrão se repete: coloque o dinheiro em custódia, e deixe um juiz decidir quando ele sai.
ERC-8183 formaliza isso: os fundos ficam em um contrato de custódia enquanto um Avaliador - um agente ou um humano - decide se o entregável atende à especificação antes de liberar o pagamento. É o padrão em que o Protocolo de Comércio de Agentes da Virtuals opera. A Circle pilotou um agente de custódia para fluxos de USDC. A Kustodia e a Nava (que levantou $8,3M) são startups construídas com a mesma estrutura. E em 1º de julho, a BNB Chain e a AWS lançaram agentes que se bancam - agentes implantados no Amazon Bedrock AgentCore com suas próprias carteiras, identidade e pilha de pagamento desde o nascimento. Até o rótulo da categoria é contestado agora: pelo menos um projeto se declarou um "Padrão de Liquidação MCP" a partir de uma página de destino.
Isso é cinco equipes separadas e sérias convergindo independentemente para o mesmo componente: um árbitro que segura o dinheiro.
O árbitro existe por uma boa razão
Antes de argumentar contra o juiz, fortaleça seu argumento. A maior parte do comércio entre agentes hoje é contratação: um agente paga outro pelo trabalho. Escreva este código. Produza esta pesquisa. Renderize este vídeo. O entregável é subjetivo. Nenhum contrato pode verificar "o código é bom" na cadeia, então alguém com julgamento precisa olhar para a saída e decidir se ela merece o pagamento. Custódia mais Avaliador é uma resposta razoável para esse problema, e as equipes que a estão construindo não são ingênuas. Para serviços, algum árbitro - jurado humano, avaliador de IA, painel ponderado por reputação - é provavelmente inevitável.
A questão é o que acontece quando o mesmo padrão é aplicado ao outro tipo de comércio: negociação. Dois agentes trocando ativos. USDC por ETH, título tokenizado por stablecoin, ativo em uma cadeia por ativo em outra.
O que o resultado da equipe vermelha significa para os juízes
Um Avaliador é julgamento com autoridade de liberação. O resultado de Sussurros de Riqueza generaliza desconfortavelmente bem: qualquer componente que use raciocínio contextual para decidir se o dinheiro se move é uma superfície de injeção de prompt, e a injeção não precisa ser sofisticada. O agente AP2 não foi derrotado por uma quebra criptográfica. Ele foi derrotado por palavras.
Agora dê a esse componente custódia. Um agente de negociação comprometido com credenciais válidas pode perder tudo o que controla - escrevemos sobre o dreno de seis dígitos em código Morse em maio. Um juiz de custódia é um passo melhor: o raio de explosão é o valor em custódia. Mas o juiz também é um único ponto de estrangulamento que ambos os lados devem confiar, que pode ser manipulado por qualquer um dos lados, e que agentes adversariais irão sondar continuamente, em velocidade de máquina, para sempre. Economia de segurança 101: o valor bloqueado atrás de uma decisão discricionária cresce, e o custo de atacar a discrição permanece plano.
A via sem juiz
Para negociações de ativos, existe uma alternativa estrutural, e ela é mais antiga do que a maior parte deste ciclo: faça a cadeia em si o verificador. Contratos com bloqueio de hash e tempo funcionam assim:
- Agente A bloqueia o ativo X, que só pode ser gasto com a pré-imagem do hash H, reembolsável após o tempo limite T1.
- Agente B vê o bloqueio de A e bloqueia o ativo Y sob o mesmo hash H, com um tempo limite mais curto T2.
- A revela o segredo para reivindicar Y - o que publica o segredo na cadeia.
- B usa o segredo revelado para reivindicar X. Ambas as pernas são liquidadas, ou ambas são reembolsadas após o tempo limite. Não há estado em que um lado tenha ambos os ativos.
Sem árbitro, porque não há nada a julgar: "o ativo chegou" é exatamente a pergunta que uma blockchain responde nativamente. A verificação de entrega é objetiva, então a discrição - a camada injetável - é removida completamente do caminho de liquidação. Um agente totalmente comprometido pode perder no máximo a única negociação à sua frente, nunca uma conta permanente, e nenhum terceiro nunca tem custódia.
Isso é o que construímos na Hashlock: descoberta de preços de RFQ em oferta selada fundida com liquidação HTLC, exposta a agentes como um servidor MCP com ferramentas cobrindo todo o ciclo de vida - create_rfq, respond_rfq, list_open_rfqs para descoberta, create_htlc, withdraw_htlc, refund_htlc para liquidação. Funciona de ponta a ponta na mainnet do Ethereum hoje, impulsionado inteiramente por chamadas de ferramentas MCP. Contratos Sui estão implantados e testados via CLI com fiação de gateway em andamento, e o Bitcoin está validado na signet com a mainnet pendente. Pacote: hashlock-tech/mcp (escopado), v0.4.1.
Limites honestos do campo matemático
A atomicidade não é gratuita, e fingir o contrário repetiria o erro do campo de custódia em imagem espelhada. O capital está bloqueado durante a janela de liquidação. Parâmetros de tempo limite são um verdadeiro problema de design: muito curtos arriscam deixar uma perna presa, muito longos entregam à contraparte uma opção gratuita para esperar os movimentos de preço antes de revelar. E o mecanismo só liquida o que uma cadeia pode verificar - não tem nada a dizer sobre se o código entregue é um bom código. Bloqueios atômicos não substituem Avaliadores para serviços. Eles os substituem para ativos.
A comparação, claramente
| Dimensão | Custódia + Avaliador | Bloqueios atômicos (HTLC) |
|---|---|---|
| Verificação de entrega | Julgamento (agente/humano) | A própria cadeia |
| Custódia durante a negociação | Contrato de custódia + autoridade do juiz | Permanecem com cada parte até a liquidação |
| Superfície de injeção de prompt | O raciocínio do juiz | Nenhuma no caminho de liquidação |
| Raio de explosão de agente comprometido | Valor em custódia, dependente do juiz | A única negociação à sua frente |
| Entregáveis subjetivos (serviços) | Os lida | Não pode |
| Entregáveis objetivos (ativos) | Adiciona uma parte confiável desnecessária | Ajuste nativo |
| Eficiência de capital | Custódia bloqueada até o julgamento | Bloqueada pela janela de liquidação |
| Cruzamento de cadeias | Envolvido/ponteado ou de única cadeia | Nativo, mesmo hash em ambas as cadeias |
A fronteira que esta tabela traça é o verdadeiro debate: não "qual é o certo" mas onde a fronteira se situa. Se custódia mais juiz se tornar o padrão para contratação e depois se expandir por padrão para negociações de ativos, os agentes herdam um custodiante discricionário exatamente no lugar onde menos precisam de um. Se a fronteira se mantiver, os dois campos são camadas complementares da mesma economia - juízes para trabalho, matemática para ativos.
A metodologia mais profunda por trás do nosso lado da fronteira está no whitepaper no SSRN, e o fluxo de liquidação está documentado em hashlock.markets/docs.
O artigo discute a importância de protocolos seguros para transações entre agentes, um tema relevante para empresas brasileiras que buscam integrar soluções de IA em suas operações. A segurança nas transações é crucial para a confiança do consumidor e a adoção de novas tecnologias.
