Os agentes raramente agem sozinhos. Um usuário pede a um agente para fazer algo. O agente chama uma ferramenta. A ferramenta chama outro agente. Quando o trabalho é concluído, três ou quatro atores já atenderam à solicitação, cada um agindo em nome do anterior.
A identidade tem que sobreviver a essa cadeia. A cada salto, você precisa responder a duas perguntas, não a uma. Quem originalmente solicitou isso? E qual ator está fazendo essa ligação específica? Perca qualquer uma das respostas e você perderá a capacidade de autorizar a chamada corretamente ou explicá-la posteriormente.
Duas reivindicações carregam toda a cadeia
Os padrões já modelam isso. A RFC 8693 outline troca de tokens: um ator troca o token que recebeu por um novo para fazer a próxima chamada, sem descartar quem veio antes. O token carrega duas afirmações importantes aqui.
O sub reivindicação é o sujeito, o principal authentic. Foi o usuário quem iniciou tudo e isso não muda à medida que a solicitação avança na cadeia.
O act reivindicação é o ator, a parte que faz a chamada atual. Isso muda. E quando um agente liga para outro, act ninhos: Agente B agindo em nome do Agente A agindo em nome do usuário. Aninhado act é a única maneira honesta de representar uma cadeia multi-hop, porque mantém todos os elos em vez de desmontá-los.
O modo de falha tem um nome
O atalho é achatar a cadeia. Em vez de trocar tokens e aninhar actum agente relembra um novo token que diz, na verdade, “este sou eu, ligando em meu próprio nome”. É mais simples. Também destrói a corrente.
Agora sub aponta para o agente, não para o usuário. O principal authentic desapareceu. A atribuição desapareceu: a ferramenta downstream vê o agente e não tem ideia de quem foi a solicitação que deu início a isso. E como a ferramenta vê apenas a identidade do agente, ela autoriza as permissões do agente, que são mais amplas do que esta tarefa específica deveria permitir. Você concede demais em todas as chamadas downstream.
Este é o deputado confuso: um processo que atua com autoridade que foi concedida a outra pessoa, usada para uma finalidade que o concedente nunca pretendeu. O token achatado é como o deputado confuso é criado em um sistema de agente. A cadeia preservada é como você a evita. A diferença é se você ainda pode fiscalizar, na ferramenta, quem pediu e quem está agindo.
Onde a corrente vive ou morre na prática
Esta não é apenas uma história de padrões. A cadeia é preservada ou destruída em duas superfícies de protocolo que o público principal está implantando no momento.
Agente para ferramenta é executado no Mannequin Context Protocol (MCP). A especificação MCP de meados de 2025 adotou metadados de recursos protegidos OAuth 2.1 e RFC 9728. Isso é importante porque permite que um agente descubra qual autorização uma ferramenta requer, em vez de codificá-la. O agente lê os metadados do recurso, aprende onde obter um token e qual escopo ele precisa, e pede exatamente isso. A descoberta é o que torna prática a autorização por ferramenta com escopo definido em tempo de execução.
Agora a realidade implantada, pois a especificação não é a mesma do que está rodando. Uma grande parte dos servidores MCP em circulação são enviados com autorização fraca ou ausente. O protocolo suporta fazer isso corretamente. Muitas implantações não. Essa lacuna é o tema desta série: os padrões existem e os sistemas construídos sobre eles ignoram as partes que protegem a cadeia.
Agente para agente passa por A2A e seus cartões de agente. Um Cartão de Agente é uma declaração detectável do que é um agente, o que ele pode fazer e quais esquemas de autenticação ele aceita. É como um agente aprende como ligar para outro sem que um humano conecte os dois com antecedência. O cartão também é onde um agente anuncia se espera um token delegado ou se aceitará qualquer coisa com prazer. Leia as cartas do seu ecossistema. Eles dizem onde a cadeia é respeitada e onde está prestes a ser achatada.
Essas duas superfícies, MCP e A2A, são os locais concretos onde a cadeia de delegação pode ser inspecionada de ponta a ponta ou desmoronada silenciosamente em um token que mente sobre quem está agindo.
O take-away
A delegação não é um símbolo transmitido ao longo da linha. É uma cadeia, e uma cadeia saudável é aquela que você pode inspecionar a cada salto: sub fixado no principal authentic, act aninhados em cada ator que tocou na solicitação. Achate-o e você terá construído um deputado confuso que concede demais e não pode ser auditado.
Nos seus próprios sistemas, a cadeia é preservada ou perdida no MCP e A2A. Verifique duas coisas. Seus agentes trocam e aninham tokens ou renovam tokens simples? E os servidores MCP e cartões de agente em seu ecossistema realmente exigem autorização delegada ou aceitam o que quer que apareça?
Agora você pode descrever um agente, atribuir-lhe uma identidade e transportar essa identidade por meio de uma cadeia de chamadas. A próxima questão é onde residem as regras para tudo isso. Quem determine o que um agente pode fazer e o que acontece no momento em que um agente tem que agir em algum lugar que sua própria plataforma não alcança? Essa é a próxima postagem.