Resistência a Sybil em reputações para marketplaces de agentes

Resistência a Sybil em reputações para marketplaces de agentes

Agentes de IA estão começando a gastar dinheiro por conta própria. Diante de uma tarefa como "pesquisar este setor" ou "transcrever e resumir reuniões", um agente encontra e paga pelos serviços de que precisa, usando x402, um padrão de pagamento nativo de HTTP para agentes. O que um agente ainda não consegue fazer de forma confiável é distinguir um bom provedor daquele que apenas parece popular. Hoje, um invasor pode fazer com que um provedor falso pareça tão respeitável quanto a média do mercado por menos de um centavo.

Nossa resposta é ler a reputação a partir de quem paga a quem. Cada pagamento x402 deixa um registro público on-chain. Quando agentes que compram dos mesmos serviços que você continuam pagando um provedor, isso é um sinal que pode ser mais custoso de falsificar sob as premissas do estudo. Para parecer confiável para você, eles devem gastar dinheiro real nos serviços que você já usa. Enviar pagamentos entre carteiras que eles controlam não conta; isso é apenas mover dinheiro entre seus próprios bolsos.

Chamamos essa abordagem de Anduin e a testamos em 66 milhões de pagamentos reais de x402. Ela recomenda provedores com precisão equivalente à do melhor método padrão, sendo cerca de 23 vezes mais cara de manipular.

As métricas de reputação padrão atuais são incrivelmente baratas de manipular: um estudo empírico sobre a reputação de agentes on-chain constatou que elevar a avaliação de um provedor malicioso para a mediana do mercado custa apenas US$ 0,0027 — cerca de 1/259 do que um provedor mediano honesto ganha.

‍

Por que os sistemas de reputação atuais falham

Os mecanismos atuais para descoberta de provedores de agentes se enquadram em quatro categorias principais, e cada uma introduz compensações:

1. Marketplaces com curadoria e listas de permissões (por exemplo, marketplaces de agentes e registros administrados por plataformas e provedores de carteira) listam provedores que um operador confiável revisou. A curadoria pode dar aos compradores uma forte garantia sobre os provedores que ela cobre, e é o ponto de partida natural para um novo agente sem histórico de pagamentos. Seu limite é o alcance: a revisão leva tempo, portanto, as listas com curadoria podem cobrir apenas parte de um mercado aberto em rápido crescimento. A reputação baseada em grafo de pagamento complementa a curadoria ao estender sinais de confiança para a cauda longa de provedores que nenhum curador revisou ainda. Avaliadores por transação (por exemplo, árbitros de custódia ERC-8183) colocam um terceiro entre o cliente e o provedor para verificar a conclusão da tarefa. No entanto, as taxas de gás e as margens dos árbitros criam um piso econômico de aproximadamente US$ 1,00 por transação. Um sistema projetado para micropagamentos de frações de centavo não consegue sustentar um dólar de custo indireto por chamada. Classificações on-chain voluntárias (por exemplo, feedback ERC-8004) sofrem com extrema escassez de dados. Em 66 milhões de pagamentos x402, menos de 4.000 classificações voluntárias foram registradas. Agentes autônomos simplesmente não enviam feedback voluntário, a menos que sejam obrigados. Métricas de uso bruto e volume classificam provedores por contagem de transações, endereços de carteira distintos ou receita total. Essas métricas são triviais de falsificar. Como um invasor controla tanto a carteira que envia quanto o provedor que recebe, no ataque modelado pelo estudo, pagamentos autodirigidos custam apenas as taxas básicas de transação da blockchain (ε ≈ US$ 0,017). Um ataque Sybil — onde uma entidade usa múltiplas identidades falsas — torna-se um custo de transação insignificante, em vez de uma barreira.

Em vez de sobrepor um mecanismo de confiança externo aos mercados agênticos, podemos recorrer ao livro-razão existente: o próprio marketplace registra continuamente seu sistema de reputação, transação por transação, diretamente em blockchains públicas.

‍

Usando o grafo de pagamento como sinais de classificação

Cada pagamento em uma blockchain pública é um registro permanente e assinado criptograficamente de transferência de valor. O mapeamento desses pagamentos em um marketplace gera um grafo bipartido natural:

• Compradores (b) representando agentes de compra. Provedores (p) representando endpoints de serviço. Arestas (e) conectando compradores a provedores, ponderadas (w) pelo valor monetário, frequência de transação e recência. Salvo indicação em contrário, o peso w(b,p) é o valor em dólares que b pagou a p nos 90 dias anteriores ao snapshot, incluindo a taxa de rede em cada pagamento.

Imagine um agente comprador, b, avaliando um provedor candidato desconhecido, p'. Mesmo sem interação prévia com p', b possui um histórico liquidado on-chain de pagamentos aos provedores que já utiliza, seus provedores conhecidos, K(b), como uma API de tradução ou um endpoint RPC confiável.

Outros compradores que pagam pelo menos um dos provedores conhecidos de b são co-usuários de b, C(b); os provedores que eles pagam e que b nunca pagou são os candidatos de b. Quando um co-usuário b′ que compartilha um provedor p com b também paga um candidato p′, essa conexão forma um caminho de confiança personalizado e de múltiplos saltos:

Comprador b → Provedor conhecido p → Co-usuário b' → Provedor candidato p'

A confiança não é uma pontuação global estática; ela é localizada e relacional, derivada de participantes do mercado cuja atividade comercial real se sobrepõe à sua. Cada salto carrega o peso do pagamento que representa: w(b,p), w(b′,p) e w(b′,p′). Os três algoritmos abaixo diferem apenas na forma como combinam esses pesos em todos esses caminhos.

Por que criar carteiras falsas não compra uma reputação falsa

Por que um invasor não pode simplesmente criar 10.000 carteiras falsas e forjar uma reputação sólida?

Para entender por que isso falha, imagine como a confiança funciona no mundo real ao usar cartões-presente ou dinheiro:

• Mover dinheiro entre seus próprios bolsos é gratuito: Se você transferir dinheiro entre duas contas bancárias que possui, não está gastando nada. Da mesma forma, quando um invasor envia cripto de um lado para o outro entre carteiras falsas que ele controla, os fundos permanecem em suas próprias mãos, subtraindo-se as pequenas taxas de transação da rede. Garantir exige compras reais em lojas reais: Para enganar um comprador e fazê-lo confiar em um serviço falso, as contas falsas do invasor devem provar que compartilham um terreno comum com esse comprador. Isso significa que essas contas falsas devem gastar dinheiro real em empresas independentes e legítimas (como provedores reais de hospedagem na web ou de dados) nas quais o comprador já confia.

Como essas empresas terceirizadas são independentes, esse dinheiro foi perdido permanentemente. O invasor não pode recuperá-lo.

Ao avaliar a confiança com base no elo mais fraco ao longo de um caminho de conexão, pagamentos autodirigidos fornecem zero de reputação extra. Uma conta falsa que gastou US$ 1,00 em um dos provedores do próprio comprador pode transmitir, no máximo, US$ 1,00 em força de recomendação para esse comprador, não importa quantos milhões de transações falsas ela envie de volta para o endpoint do invasor.

Dividir capital entre milhares de carteiras falsas também não ajuda: dividir US$ 100 entre 100 contas falsas nunca pode produzir mais do que US$ 100 de sinal de confiança total. Em suma, o pagamento real atua como o stake: cada dólar de pontuação que um invasor mostra a um comprador deve ser lastreado por um dólar que ele realmente pagou aos provedores do próprio comprador.

‍

O Anduin Framework: Três algoritmos de classificação de fluxo em grafo

Limitar a confiança pela estrutura de um grafo é uma ideia consolidada. O Bazaar (Post et al., 2011) utilizou o fluxo máximo sobre negociações passadas para decidir se uma única transação online era segura. Esses sistemas separam nós honestos de falsos, ou aprovam/rejeitam uma transação. Um agente comprador precisa de algo diferente: ele deve classificar centenas de provedores que nunca utilizou, e o fluxo máximo simples atribui a muitos deles a mesma pontuação. Nossa contribuição é transformar o fluxo em uma classificação sobre pagamentos on-chain liquidados, personalizada para cada comprador, com duas relaxações que recuperam a precisão enquanto mantêm o limite orçamentário, e medir esse equilíbrio em 66 milhões de pagamentos reais. Formalizamos isso como três classificações de fluxo em grafo. Cada uma trata os co-usuários de b como referências: o endosso de um co-usuário a p′ conta apenas tanto quanto o dinheiro real que o vincula a b. As três classificações diferem na forma como combinam os endossos de vários co-usuários:

1. Fluxo Máximo (flow): A regra mais conservadora: b nunca confia em um novo provedor mais do que b gastou com seus provedores conhecidos, não importa quantos co-usuários o endossem. Todo endosso deve passar pelos próprios gastos de b, portanto, um co-usuário falso contribui apenas com o valor que realmente pagou nos provedores de b, e criar mais deles não adiciona nada. O problema é que o mesmo limite também restringe co-usuários honestos: uma vez que os gastos de b são esgotados, um provedor endossado por dez co-usuários pontua o mesmo que um endossado por dois, então muitos candidatos empatam no topo. Fluxo de Somatória (sum): Remove o limite compartilhado para que os co-usuários endossem de forma independente. O endosso de cada co-usuário conta até o menor valor entre o quanto seus gastos se sobrepõem aos de b e o quanto ele pagou a p′, e os endossos são somados, de modo que um provedor endossado por dez co-usuários agora supera um endossado por dois. Co-usuários falsos ainda não ganham nada de graça: todo endosso é respaldado pelos gastos reais do próprio co-usuário nos provedores de b, portanto, o total que um atacante pode criar permanece limitado pelo que ele realmente pagou lá. A sobreposição é calculada uma vez por co-usuário, então cada candidato extra é quase gratuito para pontuar. Fluxo Amplificado (amp): A somatória limita o endosso de cada co-usuário separadamente, então um co-usuário que pagou pouco a p′ deixa parte de sua margem não utilizada, enquanto um que pagou muito a p′ é cortado. O Fluxo Amplificado agrupa essas margens: quanto mais co-usuários de b em um provedor também pagam a p′, mais capacidade esse provedor transmite, e endossantes fortes podem usar o que os fracos deixam ocioso. Na figura abaixo, b gastou $4 em p, e dois co-usuários de p também pagam a p′, $8 e $1: o Fluxo Máximo pontua p′ em 4, a Somatória em 5 e o Fluxo Amplificado em 8.

Em suma, o Fluxo Máximo compra a garantia mais forte ao custo de diferenciar bons provedores; a Somatória e o Fluxo Amplificado dão aos co-usuários honestos seu peso total enquanto mantêm o mesmo limite orçamentário contra os falsos. A avaliação abaixo mede esse equilíbrio.

Modelo de ameaça: o atacante possui um provedor alvo p’. Ele pode criar um número ilimitado de carteiras de compradores e provedores e mover dinheiro entre elas, pagando apenas a taxa de rede em cada transação. Ele não controla nenhum dos provedores que o comprador solicitante b já paga, e não pode alterar os pagamentos liquidados de b. Sob essas premissas, provamos dois limites:

• Limite orçamentário (todos os três algoritmos): Se o atacante pagar um total de m dólares aos provedores conhecidos de b, a pontuação de seu provedor na classificação de b é no máximo m, não importa quantas carteiras ele use, e esse limite é rigoroso. O limite se aplica por comprador: um pagamento em um provedor que muitos compradores usam conta para todos eles. Ele também precifica apenas o dinheiro pago a provedores que o atacante não controla; um provedor que entra em conluio ou reembolsa o atacante está fora do modelo. Limite do comprador (apenas Fluxo Máximo): Nenhum provedor pode pontuar mais do que os gastos passados do próprio b com seus provedores conhecidos, independentemente do que o atacante gaste. A Somatória e o Fluxo Amplificado trocam esse limite por precisão.

‍

Avaliação Empírica: 66 Milhões de Pagamentos x402 Reais

Para ver como esses conceitos funcionam na prática, testamos o Anduin em 66,1 milhões de liquidações x402 no valor de $6,1 milhões ao longo de 157 dias (23 de março a 26 de agosto de 2026), em 16 redes (15 blockchains EVM e Solana). Para deixar claro desde o início: o Anduin não supera o melhor método padrão, a filtragem colaborativa, na previsão de qual provedor um comprador escolherá a seguir. Sua contribuição é tornar uma precisão praticamente igual muito mais cara de falsificar.

Um ótimo sistema de reputação deve se destacar em dois objetivos concorrentes simultaneamente:

• Alta Utilidade (Encontrar serviços relevantes): Deve orientar os compradores com precisão para provedores relevantes. Alto Custo de Manipulação (resistência a Sybil): Deve impedir que agentes mal-intencionados comprem ou falsifiquem as melhores classificações por um preço baixo. Alcançar qualquer um dos objetivos sozinho é trivial. Você poderia tornar um sistema 100% imune à manipulação simplesmente não recomendando nada, ou fazê-lo parecer altamente útil confiando ingenuamente em cada sinal público. O verdadeiro desafio é entregar ambos ao mesmo tempo.

‍

Utilidade: Prevendo Onde os Agentes Gastarão a Seguir

Congelamos o grafo em 21 de junho de 2026 usando os 90 dias anteriores de pagamentos. Para cada um dos 813 compradores que, nos 30 dias seguintes, pagaram pela primeira vez a um provedor que nunca haviam usado (um pago por pelo menos dois compradores), esse provedor é a resposta correta. Cada comprador tem cerca de 381 candidatos. P@1 é a parcela de compradores cuja resposta correta está classificada em primeiro lugar. AUC é a probabilidade de que a resposta correta supere um outro candidato escolhido aleatoriamente (0,5 = aleatório).

As classificações padrão baseadas em volume oferecem pouca orientação prática para agentes que buscam serviços relevantes. O Fluxo Amplificado (amp) não supera a filtragem colaborativa padrão em precisão, mas chega perto (AUC 0,869 vs. 0,880; P@1 22,8% vs. 23,2%). O que ele adiciona é a proteção econômica que falta à filtragem colaborativa. Como mostra a próxima seção, essa proteção é a verdadeira diferença: em um ataque modelado visando a classificação superior entre 813 compradores, o Fluxo Amplificado amp custa cerca de 23 vezes mais para manipular do que a base de filtragem colaborativa testada.

‍

Custo do Ataque: O Preço da Manipulação de Mercado

Alta precisão por si só não é suficiente. Para precificar a manipulação, injetamos um novo provedor p* no grafo congelado e permitimos que o atacante crie qualquer número de compradores falsos que paguem aos provedores conhecidos dos compradores testados e a p*. Resolvemos o gasto total mínimo que coloca p* na classificação k ou melhor para todos os 813 compradores testados de uma só vez. Esse gasto conta os pagamentos a provedores que o atacante não controla mais uma taxa de $0,017 por transação. “% do gasto dos compradores alvo” divide esse custo pelo gasto combinado desses compradores na janela, $41.331.

Uma linha parece um outlier: a Classificação de Uso parece extraordinariamente cara de atacar ($217.539, ou 526% do gasto dos compradores alvo). Mas esse valor é puramente taxas: 12,8 milhões de autopagamentos de $0,017 para superar o provedor mais movimentado. Ele cai para $310 na classificação 25. A classificação de uso também mostra a todos os compradores a mesma lista global, por isso raramente coloca o provedor certo em primeiro lugar (3,7% P@1). As construções de fluxo, por outro lado, classificam com precisão e permanecem bem acima da filtragem colaborativa em todas as classificações: no top 25, custam de $494 a $898 contra $50.

‍

Unindo Tudo: A Matriz de Utilidade vs. Segurança

Por que Ambas as Dimensões Importam

Avaliar um sistema de reputação em apenas uma dimensão dá uma imagem falsa. Um sistema que não recomenda nada é 100% seguro contra agentes mal-intencionados, enquanto um sistema que confia ingenuamente em todos parece notavelmente útil até que um atacante corrompa suas recomendações. O verdadeiro objetivo de um mercado agentic pronto para produção é pousar exatamente no quadrante superior direito, preciso e caro de atacar ao mesmo tempo; apenas o Fluxo Amplificado e o de Somatória chegam lá.

‍

Implantação Prática

O Anduin opera com zero alterações nos protocolos subjacentes:

• Sem modificações em x402, cabeçalhos de pagamento HTTP ou padrões ERC.
• Sem requisitos para um novo token, registro de staking ou rede de oráculos.
• Funciona em conjunto com marketplaces selecionados; nenhuma parte decide sozinha quais provedores são visíveis.

Cada consulta toca apenas a vizinhança de dois saltos do comprador: seus provedores, os outros compradores desses provedores e os provedores desses compradores, nunca o grafo inteiro. O fluxo de somatório custa uma passagem única pelos co-usuários do comprador e, em seguida, tempo constante por candidato; as variantes de fluxo máximo resolvem um pequeno problema de fluxo por candidato. Indexadores e serviços de RPC que já possuem os dados da blockchain podem atender a essas consultas personalizadas para agentes leves.

‍

Discussão e extensões futuras

• Cold Start: Um agente sem histórico de transações não possui provedores conhecidos, portanto, as classificações de grafo são indefinidas para ele. Novos agentes podem inicializar a partir de listas de permissões selecionadas. Um pagamento liquidado é suficiente para produzir um ranking personalizado, mas a proteção cresce com o histórico: um comprador com US$ 5 de histórico é um alvo barato. Da mesma forma, novos provedores permanecem sem classificação até que um co-usuário lhes pague.
• Dias de retorno (wd): Ponderar um relacionamento pelo número de dias distintos que ele abrange é o sinal preditivo mais forte que medimos. Seu apelo é que o capital não pode comprimir o tempo — mesmo um adversário com fundos ilimitados não pode falsificar meses de histórico comercial consistente da noite para o dia, embora possa começar a envelhecer muitas carteiras em paralelo com bastante antecedência. O problema é que essa defesa não é denominada em dólares: um dia de espera forçada não tem um preço claro, por isso relatamos os dias de retorno como um resultado de precisão, em vez de incluí-los nos custos de ataque denominados em dólares acima. Precificar a "paciência" como um custo de ataque é uma direção em aberto.
• Limitações: A utilidade mede qual provedor um comprador escolheu a seguir, não se ele atendeu bem ao comprador. As garantias pressupõem que o atacante não controla nenhum dos provedores existentes do comprador, portanto, um provedor estabelecido promovendo um novo serviço próprio está fora do modelo. Uma carteira compartilhada por vários agentes mistura seus históricos; chaves de sessão por agente os separariam.

‍

Conclusão: Fazendo com que Sybils paguem pelo seu próprio caminho

Este trabalho preenche a lacuna de descoberta confiável destacada no artigo de visão da Circle, Building the Open Agentic Economy.

À medida que agentes autônomos de IA assumem fluxos de trabalho econômicos essenciais, os sistemas que orientam sua alocação de capital devem ser tão seguros quanto a criptografia que protege suas chaves.

Sistemas de reputação que são baratos de fabricar serão inevitavelmente explorados. Ao derivar a confiança diretamente de fluxos de pagamento localizados, Anduin ancora a reputação em gastos econômicos irreversíveis.

Em uma economia agêntica construída sobre blockchains públicas, o grafo de pagamentos já contém o sinal de confiança — e o Anduin ajuda a garantir que cada dólar de reputação visto por um comprador seja respaldado por um dólar efetivamente pago aos próprios provedores desse comprador.

Artigo de pesquisa: link

‍

‍

_{Nota: Este artigo descreve tecnologia desenvolvida pela Circle Research, uma divisão da Circle comprometida com o bem público e contribuições de código aberto para expandir as fronteiras da tecnologia usada em cripto, blockchain e Web3. Esses projetos não representam software ou serviços concluídos e lançados. Salvo indicação em contrário, o conteúdo publicado pela Circle Research é de código aberto e está disponível para qualquer pessoa consumir, usar e desenvolver. Devido à sua natureza experimental e emergente, as inovações da Circle Research são fornecidas para serem testadas e avaliadas a critério do desenvolvedor ou da empresa.}